サイトWAF検出

このページで確認できるWAFの識別結果

サイトのURLまたはドメインを入力すると、外部から観察できる応答をもとにWAFの兆候を識別し、「検出」または「未検出」の状態を表示します。検出時に名前を取得できた場合は、WAFまたはサービス名が表示され、別の製品情報が返る場合は追加表示されます。名前が特定できないときは、検出状態だけが表示されることがあります。

WAFはWeb Application Firewall（ウェブアプリケーションファイアウォール）の略称です。ウェブアプリケーションへの通信を確認し、設定されたルールに応じて通信を許可・遮断する防御機能を指します。識別結果は、対象サイトの設定画面を直接読んだものではなく、指定した入口から得られる情報に基づく手がかりです。WAFの概要や導入・運用の考え方は、IPAの解説資料も参照できます。

検出状態と名称の読み分け

「WAFの兆候を検出」は、今回の確認で識別結果が得られたという意味です。表示名は応答に含まれる識別候補であり、管理者が設定した製品名や契約サービスを確定する証明とは限りません。「未検出」は識別可能な兆候が得られなかった状態で、WAFが存在しないという断定ではありません。防御が特定の経路だけに適用される場合や、応答から製品情報を判断できない場合もあります。

結果を記録する際は、入力したホスト名、実行日時、検出状態、表示名をひとまとまりにしておくと、後から構成変更や運用記録と照合しやすくなります。名称が不明でも状態は確認できます。検査に失敗した場合は、未検出と混同せず、エラーとして扱ってください。

サイトを指定して結果を見る

1. 管理または検査許可のあるサイトを選ぶ

   自分が運営するサイト、または所有者から確認の許可を得たサイトを対象にします。URLにログイン情報やセッション情報などの秘密を含めないでください。

2. サイトURLまたはドメインを入力する

   https://example.comのようなURL、またはexample.comのようなドメインを入力できます。対象の入口を明確にしたい場合は、通常利用するプロトコルを含めて入力します。パスやクエリを付けず、サイトのホストを指定してください。

3. 診断を開始して表示を読む

   診断開始を押すと、結果欄に検出状態と取得できた名称が表示されます。検出名が表示されない場合は、名前が不明の結果として記録します。エラーが出たときは診断失敗として扱い、未検出の結果に読み替えないでください。

4. 自分の管理情報と照合する

   対象ホスト、確認日時、状態、表示名を記録し、DNSやプロキシ、セキュリティサービスの管理画面、設定履歴と照らし合わせます。環境変更後の比較では、同じホスト名と同じ入力形式を使うと差を整理しやすくなります。

結果を確認するときの疑問

許可された対象で、手がかりとして利用する

この結果は外部からの識別候補であり、WAFの有無、設定の正しさ、攻撃への耐性、サイト全体の安全性を保証しません。

• 自分が管理する、または明示的に検査を許可されたサイトだけを対象にしてください。識別結果を防御の回避や未許可の試験に利用しないでください。
• 診断ではサイトのホスト情報がサーバー側の検査サービスへ送られます。秘密情報を含むURLや、公開すべきでない内部アドレスは入力しないでください。
• この確認は脆弱性診断やWAFルールの有効性試験ではありません。保護状態の判断には、管理者の設定、ログ、適切な許可を得た検証を用いてください。