Apache HTTP Server向けのWebアプリケーションファイアウォール（WAF）「ModSecurity」を使ってみよう | さくらのナレッジ

オープンソースのWAF WAFとして利用できるソフトウェアは多数存在しており、その多くはセキュリティ企業などが提供する商用製品/商用サービスとなっている。しかし、数は少ないがオープンソースのWAFも存在する。オープンソースのWAFとしてよく知られているのが次の5つだ。 ModSecurityはApache HTTP ServerやNginx、Microsoft IISのモジュールとして提供されているものだ。このモジュールを組み込むことで、これらWebサーバーをWAFとして利用できるようになる（図1）。 図1 ModSecurityのWebサイト 活発な開発が続けられており、採用実績も多い。DebianやUbuntu、Red Hat Enterprise Linux（RHEL）およびCentOSといったその互換OSなどでは標準でパッケージが提供されており、導入も容易だ。検出用のルールセットは

[ntmukai]

“WAF Testing Framework”

[hidehara]

OSSのWAF ModSecurity の紹介など

[nilab]

「WAFはWebサーバー宛のリクエストの中身をチェックし、定義されている検出ルールにマッチするかどうかでそのリクエストの正当性を判別する。そのため、適切に動作させるには適切な検出ルールを用意することが必要」