WAF(Webアプリ保護)
Webアプリケーションへの不正アクセスや攻撃を検知・防御するセキュリティ対策です。主なメリットは、SQLインジェクションやクロスサイトスクリプティング(XSS)など、Webアプリケーションの脆弱性を狙った攻撃を検知・遮断できる点です。本ページでは攻撃遮断くん・Cloudbric WAF+・Scutumなど4サービスを、料金・機能・無料トライアルの有無で比較しています。月額1万円程度から利用できるサービスもありますが、多くは月額3万円前後が中心相場で、初期費用が数万円〜10万円程度かかることもあります。まずは保護対象のWebサイト数と想定トラフィック量、扱う情報の機微度(個人情報・決済情報の有無)を整理することから始めると、比較検討がスムーズです。
WAF(Webアプリ保護) おすすめ比較
| サービス | 月額費用 | 初期費用 | 無料トライアル | 資料 |
|---|---|---|---|---|
 攻撃遮断くん
|
10,000円〜 | 要問い合わせ | 要問い合わせ | 資料請求ページ |
 Cloudbric WAF+
|
28,000円〜 | 68,000円〜 | 要問い合わせ | 資料請求ページ |
 Scutum
|
29,800円〜 | 98,000円〜 | 要問い合わせ | 資料請求ページ |
 BLUE Sphere
|
45,000円〜 | 100,000円〜 | 要問い合わせ | 資料請求ページ |
導入するメリット
- SQLインジェクションやクロスサイトスクリプティング(XSS)など、Webアプリケーションの脆弱性を狙った攻撃を検知・遮断できる
- クラウド型ならDNSの向き先変更だけで導入でき、自社サーバーへの機器設置やソフトウェアインストールが不要
- DDoS攻撃対策や悪性ボット遮断、SSL証明書などのセキュリティ機能を統合提供するサービスもあり、対策を一元化できる
- 個人情報や決済情報を扱うECサイト・会員サイトの情報漏洩リスクを軽減し、顧客からの信頼維持につながる
導入する費用の相場
月額1万円程度から利用できるサービスもありますが、多くは月額3万円前後が中心相場で、初期費用が数万円〜10万円程度かかることもあります。保護対象のサイト数(FQDN数)やトラフィック量に応じて料金が変動するため、自社サイトの規模や必要な保護範囲を整理したうえで比較するのがおすすめです。
導入するまでの流れ
- 保護対象のWebサイト数と想定トラフィック量、扱う情報の機微度(個人情報・決済情報の有無)を整理する
- 候補サービスに資料請求を行い、料金体系(FQDN数・トラフィック量による変動)と検知精度、誤検知時のサポート体制を比較する
- 無料トライアルや無料相談で、DNS切り替えなど導入時の設定のしやすさを確認する
- 契約後、DNSの向き先変更などの設定を行い、検知ログを確認しながら誤検知(過検知)を調整する
- 運用開始後も定期的に検知ログを確認し、新たな攻撃パターンへの対応状況をチェックする
サービス一覧
攻撃遮断くん
★★★★★★★★★★- 初期費用
- 要問い合わせ
- 月額費用
- 10,000円〜
- 無料トライアル
- 要問い合わせ
- 最短導入
- 要問い合わせ
- SQLインジェクション・XSSなどのWeb攻撃を検知・防御
- クラウド型WAFの国内シェアNo.1という豊富な導入実績
- DDoS攻撃対策・サーバーセキュリティ機能も選択可能
Cloudbric WAF+
★★★★★★★★★★- 初期費用
- 68,000円〜
- 月額費用
- 28,000円〜
- 無料トライアル
- 要問い合わせ
- 最短導入
- 要問い合わせ
- 114ヵ国から収集する脅威情報とエキスパート部隊による運用支援
- WAF・DDoS攻撃対策・SSL証明書などを1サービスに統合
- FQDN数とピーク時トラフィックに応じた複数プランを用意
Scutum
★★★★★★★★★★- 初期費用
- 98,000円〜
- 月額費用
- 29,800円〜
- 無料トライアル
- 要問い合わせ
- 最短導入
- 要問い合わせ
- DNSの向き先変更だけで導入できる手軽なクラウド型WAF
- 最低利用期間1ヶ月からの短期契約に対応
- FQDN数に応じた明確な初期費用体系
BLUE Sphere
★★★★★★★★★★- 初期費用
- 100,000円〜
- 月額費用
- 45,000円〜
- 無料トライアル
- 要問い合わせ
- 最短導入
- 要問い合わせ
- 1契約で登録Webサイト数に制限がなく複数サイト運営に有利
- 攻撃を含むインバウンド通信は課金対象外の料金体系
- 防御・保険・サポートをワンストップで提供
関連コラム
よくある質問
WAFの料金相場はいくらですか?
月額1万円程度から利用できるサービスもありますが、多くは月額3万円前後が中心相場で、初期費用が数万円〜10万円程度かかることもあります。保護対象のサイト数(FQDN数)やトラフィック量に応じて料金が変動するため、自社サイトの規模を整理してから比較しましょう。
ファイアウォールやIPSがあればWAFは不要ですか?
守る範囲が異なるため、併用するのが基本です。ファイアウォールはIPアドレスやポート単位で通信の可否を判断し、IPS/IDSはOSやネットワークを狙う不正な通信を検知します。WAFはWebアプリケーションへの通信内容を見て判断する役割を担い、互いを補い合います。
WAFを導入すれば脆弱性診断は不要になりますか?
役割が違うため、組み合わせて実施するのが一般的です。WAFは攻撃と判断した通信を継続的に遮断する仕組みで、脆弱性診断はアプリケーション自体の弱点を洗い出して修正につなげる取り組みです。修正が完了するまでの間をWAFで守るという使い分けもできます。
正常なアクセスまで遮断されてしまうことはありますか?
正常な通信を攻撃と判断してしまう過検知は起こり得ます。導入直後は遮断せず検知のみを行うモードで様子を見て、ログを確認しながら除外設定を調整する進め方が一般的です。チューニングを代行してくれるマネージド型のサービスもあります。