用語比較
WAFとファイアウォールの違い
一言でいうと
公開WebやAPIでHTTPリクエストを検査するならWAF、管理ポートや内部区画への到達を制限するならネットワークファイアウォールを使います。公開サイトと管理経路を同じ基盤で持つなら、両方の役割を設計します。WAF導入時はオリジンへの別経路、本文検査の上限、正規操作の誤遮断を確認します。
WAFとファイアウォールの違いを、HTTPリクエストの検査、ネットワークの到達制限、ログの観点で比較。公開WebやAPIで両方が必要になる条件、AWS WAFの本文検査上限、誤遮断を減らす試験と費用の見方を解説します。公開管理画面の無料点検表付きです。
- 難易度
- 初級
- 想定読者
- 公開Web・APIを運用する情シスと開発者
- 所要時間
- 約10分
- 最終確認
- 2026-11-06
- 1｜入口を洗い出す
公開ホスト、管理面、オリジンの入口を構成図で確認。
- 2｜検査範囲を分ける
通信を許す範囲と、HTTPのどこまで検査するかを決める。
- 3｜正常系で確かめる
正常操作の結果とルールログを照合し、切り戻し担当を決める。
ネットワークファイアウォールとは
接続元・接続先、ポート、プロトコル、接続状態などで通信を制御する機能です。ここではネットワーク到達制御を中心に比較します。次世代型は機種や設定によってアプリ識別等も行います。
WAFとは
Web Application Firewall。対象のHTTPリクエストを、ヘッダーやパス、対応範囲内の本文などを使って検査し、設定したルールで扱いを決めます。
違いの比較表
| 比較軸 | ネットワークファイアウォール | WAF |
|---|---|---|
| 制御する対象 | ネットワークや区画をまたぐ接続 | 保護対象に届くHTTPリクエスト |
| 判断材料 | IP、ポート、プロトコル、接続状態など | パス、ヘッダー、本文など。対応項目・上限は構成で変わる |
| 設置する場所 | 外部境界・内部区画・クラウドの経路 | CDNやロードバランサーなど、対象HTTPを検査できる場所 |
| 導入を優先する条件 | 管理面の露出、不要なポート、区画間の到達範囲を抑えたい | 公開フォーム・APIの要求を監視し、ルールで制御したい |
| ログで確認すること | どの接続を許可・拒否したか。時刻と送受信先を記録 | どのルールが一致し、計数・遮断等のどの処理になったか |
| 検証する限界 | 正規のHTTPS接続を許可しても、アプリ内の認可は別に必要 | WAFを経由しない通信、本文上限、アプリ内の認可は別に確認 |
公開経路を決めたら、管理面の露出を点検する
管理面の公開範囲、接続元、認証、ログを棚卸しするための点検表です。判断表で不足した条件を、次の記録へ引き継げます。
無料の公開管理画面チェックリストを開く使い分け
- 公開フォームやAPIでは、HTTPを検査できる位置にWAFを置きます。オリジンに届く経路を台帳と構成図で照合します。
- 管理コンソールやデータベースは公開Webと分け、承認された送信元と宛先だけが到達できることを確認します。
- CDN配下の公開Webと管理面が併存するなら、WAFの検査とネットワークの到達制御をそれぞれ受入試験に入れます。
WAFを置く場所と、ネットワークで先に閉じる経路
公開サービスの入口から、CDNやロードバランサー、オリジンまでを1枚の構成図にします。クライアントと入口、入口とオリジンの2区間で、どこがTLSを終端し、どのサービスがHTTPを検査できるかを記録します。
公開側から直接オリジンへ到達できる設計では、WAFのルールが適用されない経路が残り得ます。クラウドの接続制限、許可された送信元、管理経路の分離を構成と承認済みテストで確認します。
AWS WAFの本文検査上限と、費用を見積もる単位
AWS公式資料によると、Application Load BalancerとAppSyncの本文検査上限は8 KB（8,192バイト）固定です。CloudFrontやAPI Gateway REST APIの既定は16 KB（16,384バイト）で、構成に応じて16 KB刻みで64 KBまで選べます。対象サービスと上限超過時の処理を別々に確認してください。
たとえばALBに届く12 KBの正常な入力では、本文全体をWAFが検査したとみなせません。上限を超えた本文が必要な業務では、アプリ側の入力制限と認可を確認します。AWS WAFの本文検査ルールはgRPCには適用されません。
AWS WAFの見積もりにはWeb ACL・ルール・月間リクエスト数を使い、該当リソースで上限を引き上げるなら既定の16 KBを超えて検査するリクエストも見ます。AWS公式料金表のALB例では、Web ACL 1件・マネージドルールグループ3件・月1,000万リクエストでWAF分が月14米ドルです。ALB本体、ログ、追加機能は別に見積もり、契約・リージョンで確認します。
誤遮断を減らす手順と、遮断へ切り替える条件
認証、検索、アップロードの3操作を例に、承認済みの検証環境で通常入力を使って試します。最初は観測できるルールを用い、AWS WAFならCountの一致数と後続ルールの処理結果を区別します。決済や外部通知がある場合は正常系に追加します。
合格条件の例は、必須操作が全件成功し、公開入口とオリジンのアクセス制御を確認でき、誤検知をログから再現できることです。失敗時は影響ルールと範囲を切り分け、承認済みの切り戻し手順を使います。ログには認証情報や入力本文を不用意に残しません。
よくある誤解
- WAFのログに何も出ない場合、別経路、検査対象外、ログの欠損も確認します。
- WAFを置いても、画面・API側で利用者に対象データの閲覧権限があるかの判定は必要です。
- NGFWとWAFの機能が重なる構成では、製品名より、保護対象の経路と実際に検査できる項目を比較します。
よくある質問
WAFとファイアウォールは両方必要ですか？
公開HTTPの検査と、管理面や内部区画の到達制限の両方が必要なら、それぞれの制御を用意します。単一製品で提供される場合も保護経路とルールを個別に確認します。
WAFでHTTPS通信を検査できますか？
WAFがTLS終端後のHTTPリクエストを扱える位置にある場合は、対応項目を検査できます。終端の場所と入口からオリジンへの別の通信区間を確認します。
8 KBを超えるとAWS WAFが必ず遮断しますか？
上限は構成で異なり、上限超過時の扱いはルール設定で変わります。ALBの8 KB固定と、CloudFrontなどの16 KB既定を区別し、正規の大きな入力で確認します。
WAFを導入したらアプリの修正を延期できますか？
アプリ修正とWAFルールの適用範囲は別に判断します。認可や入力検証の修正を追跡し、暫定ルールを使う場合は有効期限と解除条件を記録します。
編集・確認情報
CyberLens編集部がNISTのファイアウォール指針とAWSの現行WAF文書を照合しました。本文の検査サイズはAWS WAFの構成例です。検証手順は編集部が作成した例で、実環境での製品性能評価は行っていません。 最終確認日は 2026-11-06 です。
参考資料は用語・設計・機能例の確認先です。製品ごとの範囲は異なり、特定製品の推奨や比較全体の公式認定ではありません。資料の公開時点と現行の公式案内も合わせて確認してください。
新しい解説を見逃さない
CVE・KEVの初動対応や実務チェックリストは随時追加しています。使いやすい方法で更新を受け取れます。