おはようございます。こんにちは。こんばんは。
ミッド（＠mid_v_lab）です
レンタルサーバでブログを立ち上げて、初期設定していると不意に邪魔してくるのが、
WAF
です。
最近はレンタルサーバに標準搭載されるようになっていて、WordPressのプラグインでもWAFを導入することが可能です。
私は「SiteGuard WP Plugin」ってプラグインを入れてます。こいつがWAFです。
ちなみにConoHaでサーバをレンタルしているのですが、こっちのサーバ機能としてもWAFが標準搭載されています。
ConoHaの場合、ConoHaコントロールパネルから、「サイト管理＞サイトセキュリティ＞WAF」で確認できます。
プラグイン入れてないけど、なんか設定が反映されない！って場合には、レンタルサーバ自体のWAFが邪魔していることがあるので、是非確認してみてください。
ブログ設定するには邪魔することも多いWAFですが、優秀なセキュリティ製品ですので「是非オンに」しておいてください。
WAFって何？を解説していきます。
WAFとは？
WAFは、Web Application FireWallの頭文字をとったもので、FireWallの一種となります。
FireWallが通信ポート（プロトコル）単位で、WEBはブロック、メールはブロックなど、サービスの単位ごとに制限を行うものですが、WAFの場合はWebページのさらに通信の中身を見てブロックを行います。
＜過去記事＞
たぶん通信プロトコルとか言われても、訳わかんないと思うんでペットボトル飲料で説明します。
500mlのペットボトルに、水250mlと砂250mlが混ざっているとします。
FWの場合はペットボトルの蓋を外した状態で、水も砂も出てきます。ペットボトルの中身に対して一律の制御になるからです。蓋を閉めて両方止めるか、両方出すかしかできません。
しかしWAFの場合は、ペットボトルの中身に対して、水なのか砂なのかを判断することが可能です。
そのため、ペットボトルから出てくる中身は水だけにする、もしくは砂だけにするという制御が可能です。砂でも直径5mm以下は出すとかの細かい制御も可能です。
ブログの場合、WEBの通信（80、443番のポート）を許可しておかないと読者の皆さんがページを閲覧しに来れませんよね？
でもブログに攻撃が来るので、WEBのサービスを守るためにFWでWEB通信を遮断してしまうと、サービス自体が止まってしまいます。本末転倒ですね。
そのため、普通のブログ閲覧の通信は許可しつつ、ブログへの攻撃は遮断する必要が出てくるのです。
それを実施してくれるのがWAFというわけです。
ちなみにFWで通信先のIP単位でブロックを入れることもできます。しかし、攻撃元のIPを都度更新しないといけないですし、そもそも攻撃元のIPが皆が使っているIPだったりすると、普通の人のアクセスもブロックしてしまうので限界があります。
なにはともあれ、WAFが通信の内容をみて、
と判断しているので、
と安易にオフにしないで、設定の時だけオフにして後は有効化するか、きちんと除外設定を行って、正しい通信のみを許可するようにしましょう。
WAFで防御しなくても大丈夫？
とお思いの方、それは違います。
まず、WEBサーバを攻撃してくる攻撃者は、最初は明確な意思をもって攻撃してくるわけではなく、サーバの穴を探すソフト（スキャナーソフト）を、世界中の公開サーバに対して実行して、セキュリティの弱いサーバを常に探しています。
私のブログも全然PV数とかないですけど、下記のようなブロックログがたくさん出ています。
■ブロックログ
ｈttp[:]//mid-v-labo.com/wp-content/plugins/mac-dock-gallery/macdownload.php?albid=../../../wp-config.php
大したことない「ディレクトリトラバーサル攻撃」という手法ですね。
公開ディレクトリの上位フォルダにアクセスできないかを試行しています。
設定ミスでもしてない限りは、公開ディレクトリ以外のディレクトリが公開されていることはありませんが、
操作ミスや勘違いで気づかない内に公開されてしまうこともあります。
攻撃者はこうした穴を探すために調査を行い、セキュリティが弱そうなサーバを更に攻撃して、不正なプログラムを置いたり、他のサーバへの攻撃の踏み台として利用します。
例えば総務省のサイトを攻撃したり、迷惑メールに添付されたリンクを踏んだ後のマルウェアのダウンロードリンク先として使われたり、悪用のパターンは色々あります。
一番悪いのは攻撃者ですが、セキュリティ対策をしっかりと講じていなかったサーバ管理者もその責を問われかねませんので、裏で悪用されないようにしっかりと自分のサイトも守る必要があります。
まとめ
WAFは、WEB通信の中の攻撃通信を見極めてブロックしてくれます。
攻撃の通信だと認識されるものはブロックされるため、ブログ設定のための正しい通信でも止まります。必要に応じて除外などの設定が必要です。
WAF機能をオフでノーガードの場合、悪い攻撃者にサイト悪用されて、自サーバのみならず他の人のサーバにまで影響を及ぼす可能性がありますので、WAFはオン推奨です。
まさか自分のブログサイトが・・とならないように、安易にセキュリティ機能をオフにするのはNGです。用法用量を守って正しくお使いください。
WAFって結構お高い製品なので、レンタルサーバに標準搭載されていたり、プラグインでWAF機能を入れられるなんて結構すごいなと思ってます。
無料ですし、オフにせずに是非使ってください！
ではでは
