大学の公式Webサイトは、学生や教職員だけでなく、受験生や保護者など多くの人が利用する情報発信の基盤です。一方で、Webサイトを公開している以上、不正アクセスやWebアプリケーションを狙った攻撃への対策も必要になります。
今回ご紹介する首都圏の情報系の私立大学では、大学を狙ったサイバー攻撃のニュースを目にする中で、Webサイトのセキュリティも強化したいと考えていました。
ただ、同大学で公式Webサイトの管理を担っているのは、WebやITを専門とする部署ではなく企画部門です。サーバーやセキュリティを専門としているわけではないため、「どの製品を導入するか」を自分たちだけで決めるのではなく、現在のWeb環境や予算も含めて相談しながら対策を検討しました。
複数の選択肢を比較したうえで、Webサイトへの不正な通信を検知・遮断するWAF（Web Application Firewall）を導入。ブロックを開始してから約3か月間で、23万件を超えるリクエストが遮断されました。
本記事では、同大学がWAFを導入した背景から、どのように必要な対策を検討したのか、導入後にどのような通信が遮断されているのかまでをご紹介します。
目次
Webサイトを管理していても、サーバーやセキュリティは専門外
同大学では、企画部門が大学の公式Webサイトの管理も担当しています。
担当者の業務はWebサイトの運用だけではなく、企画や学内のさまざまな業務に及び、Web関連業務が占める割合は全体の一部です。また、現在の業務を担当する以前に、サーバーやインフラに携わった経験もありませんでした。
そのため、サーバー管理についてクロジカとのやり取りを始めた当初は、ITの専門用語をその場で理解できるか、分からないまま話を進めてしまわないかという不安もあったといいます。
担当者にとって、Webサイトの管理は業務の一部であり、サーバーやセキュリティについて専門的に調査し、複数の製品を比較して選定することが本来の役割ではありません。
同大学では、企画業務を担う中でWebサイトの管理にも関わり、専門的なサーバー運用やセキュリティ対策については、クロジカと相談しながら進めていました。
サイバー攻撃のニュースを目にする中で、Webサイトのセキュリティ対策を検討
WAF導入を検討するきっかけの一つになったのが、大学などを狙ったサイバー攻撃に関するニュースでした。
担当者自身も、大学はサイバー攻撃の対象になり得るという認識を持っており、特に情報漏えいなどを防ぐためにも、セキュリティ対策をきちんと行っておきたいと考えていました。
ただし、「セキュリティを強化したい」と考えても、具体的に何を導入すればよいのかは別の問題です。
Webサイトのセキュリティ対策には、CMSやWebアプリケーションのアップデート、サーバーの脆弱性対応、認証対策、WAFなど複数の選択肢があります。
同大学でも、最初からWAFを導入すると決めていたわけではなく、特定の製品を指定して相談していたわけでもありません。
まず必要だったのは、現在のWeb環境に対して何が必要なのかを整理し、その中から適した対策を判断することでした。
「どのWAFを入れるか」ではなく、「自大学に何が合うか」から検討
セキュリティ対策を検討する中で、同大学ではクロジカからWAFを含む複数の選択肢について説明を受けました。
WAFとは、Webサイトへの通信を確認し、不正な通信を検知・遮断する仕組みです。WebサーバーやWebアプリケーションの手前で通信を確認することで、Webアプリケーションを狙う不審な通信がサイト側へ到達するリスクを減らします。
同大学が重視していたのは、機能の多さだけではありませんでした。
これまでのサーバー運用でも、予算の上限や実際の利用状況を踏まえながらプランを検討しており、セキュリティ対策についても、必要な対策と費用のバランスを取りたいという考えがありました。
そこで同大学では、現在利用しているWeb環境との相性や必要な対策、費用などを踏まえて、複数の選択肢を比較しました。
検討する中では、担当者から「本学の状況では何が適切なのか」という相談もありました。大学側だけで各製品の機能や違いを判断するのではなく、自大学の環境や予算に照らして何が適しているのかをクロジカと整理しながら検討を進めました。
その結果、条件に合う対策として提案されたAWS WAFを導入しました。
セキュリティ製品の機能だけを比較するのではなく、現在のWeb環境で必要な対策は何か、その対策を予算の中でどのように実現するかまで含めて判断したことが、今回の選定のポイントでした。
まず通信状況を確認し、その後ブロック運用へ
WAFは、導入すればそれだけで完了するものではありません。
通信をどのように判定するかによっては、不審な通信だけでなく、正常な通信まで遮断してしまう可能性があるためです。
同大学では、AWS WAFを導入してすぐに不審と判定された通信を遮断するのではなく、まずどのような通信が検知されるのかを確認しました。
正常なWebサイトの利用に影響しないかを見ながら通信状況を確認したうえで、不審な通信を実際にブロックする運用へ移行しています。
現在は、不審なIPアドレスからの通信に加え、Webアプリケーションに対する一般的な攻撃や不審な通信を検知・遮断しています。
これによって、Webサイトは通常通り公開したまま、不審と判定された通信を入口で遮断する構成としています。
単にWAFを導入するだけではなく、実際の通信状況を見ながら、正常な利用への影響を確認したうえでブロック運用へ移したことも、今回の導入プロセスの一つです。
WAF導入後、約3か月で23万件を超える通信をブロック
WAFのブロックを開始してから約3か月間で、23万件を超える通信がブロックされました。
実際のブロック状況を見ると、約8割は不審なIPアドレスなどをもとに判定した通信で、残る約2割では、BotによるアクセスやWebアプリケーションを狙う複数種類の不審な通信が確認されています。
ここからは、実際にどのような通信がブロックされていたのかを見ていきます。
ブロックした通信の約8割は、不審なIPアドレスなどをもとに判定
ブロックされたリクエストのうち、約8割は、不審なIPアドレスなどの情報をもとに判定・遮断された通信でした。
こうした判定では、悪意のある活動との関連が確認されているIPアドレスや、偵察行為に使われている可能性のあるIPアドレスなどが対象になります。
今回のデータからも、Webサイトを通常通り公開している中で、こうしたIPアドレスから継続的に通信が届いていることが分かりました。
WAFによって、これらの通信をWebアプリケーションへ到達させる前に遮断しています。
BotやWebアプリケーションを狙う複数種類の通信も確認
残る約2割では、Webアプリケーションを狙う攻撃など、WAFが不審と判定した複数種類の通信が遮断されていました。
実際の内訳を見ると、通常のブラウザからのアクセスとは異なる不審な通信やBotによるアクセスのほか、公開を想定していないファイルへのアクセス、サーバー内のファイルを不正に読み取ろうとする通信、Webページに不正なスクリプトを埋め込もうとする通信などが確認されています。
今回ブロックされた通信のすべてが、実際の被害につながるサイバー攻撃だったとは限りません。一方で、今回のデータからは、不審なIPアドレスからのアクセスだけでなく、Webアプリケーションを狙う複数種類の不審な通信が実際に届いていたことが確認できました。
WAFを導入したことで、Webサイトを公開し続けながら、こうした不審な通信をWebアプリケーションへ到達する前に検知・遮断する防御層を追加できたことが、今回の導入による大きな変化です。
また、WAFによってどのような通信が遮断されているのかも確認できるようになり、今後セキュリティ対策を検討する際の判断材料にもなります。
「セキュリティを強化したい」から、実際に防御できる状態へ
同大学が当初持っていたのは、具体的な製品への要望ではなく、「Webサイトのセキュリティをきちんとしておきたい」という課題でした。
公式Webサイトを管理している企画部門は、サーバーやセキュリティを専門としているわけではありません。そのため、最初から大学側でWAFや製品を決めるのではなく、現在のWeb環境や予算についてクロジカと相談しながら、必要な対策を整理しました。
その結果としてAWS WAFを導入し、まず通信状況を確認したうえでブロック運用へ移行。現在では、Webサイトを公開しながら、不審なIPアドレスからの通信やWebアプリケーションを狙う複数種類の通信を入口で遮断できる状態になっています。
約3か月で23万件を超えるリクエストが実際にブロックされていることからも、導入前には見えにくかった不審な通信がWebサイトへ届いていること、そしてWAFによってそれらを遮断できていることが確認できました。
「セキュリティを強化したい」という課題から始まり、現在の環境や予算を踏まえて対策を選び、実際に不審な通信を遮断できる状態までつなげたことが、今回のWAF導入による変化です。
大学WebサイトのWAF導入・運用も、クロジカサーバー管理にご相談ください
大学のWebサイトでセキュリティ対策を検討するときに、最初から「どのWAFを導入するか」まで決めておく必要はありません。
重要なのは、
- 現在どのようなWeb環境で運用しているのか
- Webアプリケーションに対する防御ができているか
- どのようなリスクへの対策が必要なのか
- 導入後に誰が設定や検知状況を確認するのか
を整理したうえで、必要な対策を決めることです。
クロジカサーバー管理では、現在のサーバー・クラウド環境や運用状況を確認しながら、WAFが必要かどうかの整理から、環境や予算に合わせた製品の提案、導入・設定、その後の運用まで支援しています。
「WAFを入れるべきか分からない」「現在のセキュリティ対策で十分なのか判断できない」といった段階からでもご相談いただけます。
コーポレートサイトをクラウドでセキュアに
クラウドサーバー管理
クロジカガイドブック
- コーポレートサイト構築・運用の課題を解決
- クロジカクラウドサーバー管理の主な機能
- 導入事例
- 導入までの流れ
