いまどきのWebセキュリティの考え方

Webセキュリティの分野には難解な専門用語が溢れています。

「WAF」、「DDoS」、「Bot対策」、「Rate Limiting」、「SQLインジェクション」……

こうした用語は「専門的で難しそうだ」と敬遠されがちです。企業の経営者やWeb担当者にとって本当に重要なのは、言うまでもなくこれらの用語を暗記することではありません。以下に挙げるような、事業に直結する深刻なトラブルを未然に防ぐことこそが、Webセキュリティの本質です。

• 問い合わせフォームがスパムで埋まり、業務が止まる
• ECサイトが大量アクセスでダウンし、売上機会を失う
• 管理画面やログイン画面へ不正アクセスされ、個人情報が漏洩する

現代のWebサイトは、単なる「パンフレット」ではなく、24時間365日動く「事業の入口」です。この節では、難しい専門用語に振り回されず、企業がWebサイトの安全を守り、安定した運用を続けるための基本設計について分かりやすく解説します。

「うちは小規模だから狙われない」という誤解

「うちの会社は有名でもないし、大して重要なデータも持っていないから、サイバー攻撃に狙われるわけがない」などと安易に決めつけたりしていませんか？

そう考えてセキュリティ対策を後回しにしている企業は少なくありません。しかし、現在のサイバー攻撃の多くは、人が特定の企業を狙って手動で仕掛けているのではなく、攻撃プログラム（Bot）によって自動的、かつ無差別に発動されています。

悪意のあるBotは、インターネット上に存在する無数のWebサイトを24時間自動で巡回し、「問い合わせフォーム」、「ログイン画面」、「管理画面」、「古くなったCMSの脆弱性」など、外から触れる入口に隙がないか、無差別に探し回っています。

企業規模の大小にかかわらず、インターネットに公開されている以上、すべてのWebサイトが日常的に攻撃の標的になっているのが現実です。そのため「万一のはず」の事故が起きてから対処するのではなく、あらかじめ「入口を固めておく」という予防の視点が非常に重要になってきます。

セキュリティ製品を選ぶ前に「入口」を洗い出す

Webセキュリティを検討する際、いきなり「どのセキュリティ製品を入れるか」から考え始めるのは推奨できません。最初にやるべきことは、自社のWebサイトにおいてインターネットと接している入口（アクセスポイント）がどこにあるかを洗い出すことです。

代表的な入口としては、以下のようなものが挙げられます。

• 問い合わせフォーム、資料請求画面
• ログイン画面、会員ページ
• CMS（WordPressなど）の管理画面
• 商品検索、サイト内検索機能
• システム連携用のAPI

これらの入口は、すべて一律に厳重に防御する必要はありません。例えば、商品ページやコーポレートサイトは誰にでも自由に見てもらう必要があります。一方、管理画面は社内の限られたメンバーしかアクセスする必要がありません。また、検索機能は一般ユーザー向けですが、１秒間に何百回も連続で実行されるものではありません。

ここで注意すべきことは、攻撃を100%防ごうとするあまり、判定基準を厳しくしすぎない、ということです。それにより、商品の購入を検討している正当な顧客をBotと誤判定して弾いてしまったり、問い合わせフォームが正しく送信できなくなったりすることもあります。これでは、事業を守るためのセキュリティが、かえって事業の足を引っ張ること（機会損失）になってしまいます。

それを使うのは誰なのか、どこまでのアクセスを正常と考えるのか、といったことを入口ごとに整理することこそが、適切なセキュリティ設計の第一歩となります。また、最初に設定して安心せず、導入後のログやアクセス状況を定期的に確認しながら、必要に応じて更新していくといった運用も欠かせません。

代表的な4つの防御手法を確認する

Webセキュリティで使われる代表的な防御手法には、それぞれ得意とする役割があります。ここでは、それらの中から４つの手法を取り上げ、整理しておきましょう。

① WAF（Web Application Firewall）： 通信の中身を検査

WebサイトやAPIに届く通信データの中身（入力された文字や送信データ）を検査します。「SQLインジェクション」や「クロスサイトスクリプティング（XSS）」など、Webプログラムの隙（脆弱性）を突く不自然な入力や攻撃文言を検知してブロックします。

② DDoS対策： 大量のアクセスを受け止め遮断

サーバーをダウンさせることを目的に送りつけられる、過剰な大量アクセス（DDoS攻撃）を途中で吸収、遮断します。データや情報を盗むのではなく、サイトを停止させることを防ぐための防御策です。

③ Bot対策： 人間とプログラムを識別

アクセスしてきたのが人間なのか、自動で動くプログラム（Bot）なのかを判定します。ただし、プログラムによるアクセスでも、Googleなどの検索エンジンのクローラー（良質なBot）は通し、不正ログインや買い占め、無断スクレイピングを行う悪性のBotだけを制限します。

④ Rate Limiting（レート制限）： 「アクセス頻度」を抑える監視員

短時間に過剰に繰り返されるアクセスを制限します。例えば、ログイン画面で1分間に何百回もパスワード試行が行われたり、フォームが連続送信されたりした際に、一時的にアクセスを遮断して不正な処理を防ぎます。

AI時代に求められる「新しいアクセス整理」の考え方

これまでBot対策では、「人間か、Botか」、「良質なクローラーか、悪質な攻撃か」といった二者択一で判断するのが一般的でした。しかし、生成AIが普及した現在、その判断はより複雑になっています。

現在、Cloudflareをはじめとする最新のセキュリティ基盤では、AI関連の自動アクセスを主に以下の３つの目的に分類して制御できるようになっています。

• Search（検索・回答）： AI検索や回答生成のためにWeb上の情報を収集するアクセス
• Agent（代理操作）： ユーザーの依頼を受け、代わりにWebサイトを操作、閲覧するアクセス
• Training（AI学習）： 生成AIモデルの学習、追加学習のためにコンテンツを大量収集するアクセス

一般的に、企業としては、AI検索の回答には自社サイトの情報を活用してほしいものの、自社の独自コンテンツを無断でAIモデルの学習データとして利用されるのは困る、と考える場合がほとんどでしょう。つまり、「Search」は許可し、「Training」は制限したいということになります。こういった、ビジネス方針に応じた柔軟な設定が求められるようになってきているのです。

単に攻撃を防ぐだけでなく、自社の情報を誰に、どのような目的で使わせるか、ということまでコントロールすることが、現代のWebセキュリティの重要な役割となっています。

出典： Cloudflare Docs: Bots

Cloudflareでできること、できないこと

CloudflareをWebサイトの前段（プロキシ）に配置すると、インターネットからのアクセスはまず世界中のCloudflareネットワーク（エッジ）へ届きます。

そこでは、次のような不正アクセスへの対策が、エッジサーバー内でまとめて実行されます。

• WAFによる危険データのチェック
• DDoS攻撃の吸収、遮断
• 人間とBotの識別
• 過剰アクセスの制限（Rate Limiting）

その結果、安全だと確認されたクリーンな通信だけが、必要に応じてオリジンサーバーへ届けられます。これまでも繰り返し述べてきたことですが、複数のセキュリティ機能を、たったひとつの入口で一括して処理できるのが、Cloudflareの最大の強みです。

しかし、Cloudflareを入れさえすれば会社全体のセキュリティが100%完璧になるわけではありません。以下のような問題に対しては、Cloudflareでは対策できません。

• 社内のID、パスワードの使い回しや管理不備
• 管理者権限の過剰な付与や離職者のアカウント放置
• Webアプリケーション自体の設計上の不備
• CMSやプラグインの更新を怠ることによる脆弱性

Cloudflareが得意とするのは、あくまで「外部からWebサイトへ届く通信を入口で守ること」です。社内の運用ルールやアプリ内部の設計管理と、Cloudflareによる入口の防御を正しく組み合わせることが重要です。

DOMOの視点

攻撃名より先に、事業の入口を洗い出す

DOMOとしてWebセキュリティを考える際には、最初からやみくもにWAFやDDoS対策の導入を検討することはありません。最も重視しているのは、対象のWebシステムにおける「事業の入口」の整理です。そして、そこで起きている、つぎのような課題を確認します。

• 問い合わせフォームへのスパム投稿で、営業対応が圧迫されている
• 管理画面のURLが露出しており、海外からの不審なアクセスが絶えない
• ログイン画面への機械的なアタックで、サーバー負荷が高騰している

つまり、現場で起きている具体的な課題に対して、どの入口を、どのレベルで守るべきかを整理することから始めるのです。

Cloudflareを活用する最大の意義は、別々に導入、管理されがちなWAF、DDoS対策、Bot対策などを、ひとつの統合された入口でシンプルに運用できる点にあります。通信の入り口で、通す／制限する／止める、をスマートに判断し、本来のユーザーには快適なアクセスを提供しながら、事業を妨害するアクセスだけを制限する。この一貫した入口設計こそが、DOMOが提唱するセキュリティアプローチです。

まとめ

Webセキュリティは、サイバー攻撃を防ぐだけの専門技術ではなく、企業のWebサービスや事業の入口を安全に維持するための基本設計です。次のような点に留意して考えることが必要です。

1. 攻撃は自動化、無差別化されている： 企業規模に関係なく、インターネットに公開されているすべての入口が標的となる
2. 対策より先に「入口」を整理する： フォーム、管理画面、ログイン画面など、入口ごとの性質や正常な利用範囲を定義する
3. 正常と異常のバランスを取る： 厳しく遮断するだけでなく、正当なユーザーの利便性を損なわない「継続的なチューニング」が不可欠

まずは自社の「入口」がどう守られているかを見直すことから始めましょう。

覚えておきたい用語

• Webセキュリティ： WebサイトやAPIを攻撃、不正利用、過剰アクセスなどから守るための考え方と対策
• WAF： Web Application Firewallの略で、WebやAPIへの通信を検査し、脆弱性を狙う不正なアクセスを制御する仕組み
• DDoS： 多数の機器から大量の通信を送り、Webサイトやサービスを利用できなくしようとする攻撃
• Bot： 自動でWebサイトへアクセスし、特定の処理を行うプログラム
• Rate Limiting： 一定時間内のアクセス回数などに上限を設ける仕組み
• API： システム同士がデータや機能をやり取りするための接続口
• CMS： Webサイトの記事やページを管理する仕組み
• SQL Injection： 入力値などを悪用してデータベースへ不正な命令を実行させようとする攻撃
• XSS： Cross-Site Scriptingの略で、Webページ上で悪意あるスクリプトを実行させようとする攻撃
• オリジンサーバー： 元のWebサイトやアプリケーションが置かれている本番サーバー
• AIクローラー： AI検索や学習などを目的としてWebコンテンツを自動取得するプログラム
• AIエージェント： 人の依頼などに基づき、Webアクセスや外部ツールの操作を自動的に行うAIシステム
• スクレイピング： Webサイト上のデータをプログラムで自動収集する技術