WAFのシステム開発の進め方/やり方/流れや方法/手法/工程/手順

WAFのシステム開発は、WAF製品を一から作ることではなく、既存のクラウドWAFやSaaS型WAFを選び、対象アプリケーションへ組み込み、ルール調整と監視まで運用できる状態にすることです。

「WAFを導入したいものの、どこから始めればよいか分からない」「導入後に正常なアクセスまで止まらないか心配」「製品料金以外に何が必要か知りたい」という方に向けて、要件整理から定着運用までの進め方を解説します。2026年時点の公開料金や導入事例も踏まえ、実際のプロジェクトで使える確認項目をまとめます。

▼全体ガイドの記事
・WAFのシステム開発の完全ガイド

WAFのシステム開発の全体像

WAFはWebサイトやWeb APIの前段でHTTPやHTTPSのリクエストを検査し、SQLインジェクションやクロスサイトスクリプティングなどの攻撃を検知・遮断する仕組みです。導入作業では、製品を契約してルールを有効にするだけではなく、アプリケーション固有の通信を把握し、ログを見ながら安全にブロックへ移行することが重要です。

WAFが守る対象は、インターネットから到達できるWebアプリケーションの通信です。たとえばECサイト、会員サイト、予約サイト、業務ポータル、公開APIなどに対して、URI、HTTPヘッダー、Cookie、クエリパラメータ、リクエスト本文などの内容を検査します。標準ルールではOWASP系の代表的な攻撃パターンを検知し、IPアドレスや地域、アクセス頻度を条件にした制御も設定できます。

一方で、WAFは脆弱なソースコードを修正する仕組みではありません。認可の実装漏れ、漏えい済みパスワードの悪用、内部不正、OSやミドルウェアの未更新を単独で解決するものでもありません。IPAの「安全なウェブサイトの作り方」が示すように、WAFは脆弱性を修正するまでのリスク低減策として活用し、安全な実装、パッチ適用、脆弱性診断、認証・認可と組み合わせる必要があります。

クラウドWAFは、AWSのCloudFrontやApplication Load Balancer、AzureのApplication GatewayやFront Door、Google Cloudのロードバランサーなど、利用中のクラウドサービスと統合しやすい方式です。DNSやCNAMEを切り替えてWebサーバーの前段へ配置でき、トラフィックの増減に追随しやすい点が特徴です。すでに利用しているクラウドのログ基盤や権限管理を生かせるため、単一クラウドで運用する企業に向いています。

SaaS型WAFは、ネットワークの前段をサービスとして提供し、ルール調整やレポート、問い合わせ対応まで任せやすい方式です。専任のセキュリティ担当者が少ない企業や、オンプレミスとクラウドをまたいで複数サイトを守りたい企業に適しています。アプライアンス型は、オンプレミスのネットワーク要件や閉域接続、細かな責任分界がある場合に候補になりますが、機器更新、冗長化、保守契約まで含めて検討する必要があります。

選定時は「一番高機能な製品」を探すのではなく、対象サイトの数、月間リクエスト、ピーク時の帯域、APIやファイルアップロードの有無、個人情報や決済情報の取り扱い、既存クラウド、監視体制を照合します。AWS WAFの導入事例では、ecbeingがCloudFrontとAWS WAFを組み合わせて約1,000サイトを運用しており、複数サイトを共通のルールと運用で管理する考え方の参考になります。

WAFのシステム開発・導入の進め方

WAFの導入は、要件整理、製品選定、設計・開発、テスト、稼働、定着の6フェーズで進めると判断がぶれにくくなります。特に大切なのは、最初から全面ブロックに切り替えず、検知モードで実トラフィックを観測し、正常な業務通信を確認してから段階的に適用することです。

最初に、保護する資産を一覧化します。WebサイトのURLやFQDNだけでなく、ログイン画面、管理画面、決済画面、ファイルアップロード、公開API、バッチ連携の入口、オリジンサーバーのIPアドレスまで洗い出します。AWS、Azure、Google Cloud、オンプレミスのどこに配置されているかも同じ台帳へ記載し、WAFを通過しない経路が残っていないか確認します。

次に、守るべき脅威を要件に変換します。SQLインジェクションやXSSだけでなく、認証画面への大量試行、クレデンシャルスタッフィング、悪性Bot、スクレイピング、APIのレート超過、地域制限、DDoS、管理画面への不正アクセスを対象にします。OWASP Top 10は2025年版が公開されているため、最新のリスク分類を参照しつつ、自社の事故履歴や脆弱性診断結果を加えることが有効です。

要件定義書には、検知・遮断する条件だけでなく、ログ保存期間、アラート通知先、誤検知時の一次対応者、緊急解除の承認者、監視時間、SLA、障害時の切戻し時間も書きます。決済を扱う場合は、PCI DSS 4.0.xの要件6.4.2にある「公開Webアプリケーションに対するWebベース攻撃を検知・防止する自動化された技術的解決策」という観点も、監査証跡と一緒に整理します（出典: PCI Security Standards Council、2025年3月31日適用）。

方式を選ぶときは、クラウドとの統合、ルールの柔軟性、APIやJSONの検査、Bot対策、DDoS対策、ログの検索性、運用支援、移行性を同じ条件で比較します。AWS中心ならAWS WAF、Azure中心ならAzure WAF、Google Cloud中心ならGoogle Cloud Armorが候補になります。複数クラウドや海外向けサイトを一元管理したい場合はCloudflareや国内SaaS型WAFも比較対象になります。

この段階で、WAF製品のベンダーと導入パートナーの役割を分けて考えることが重要です。製品ベンダーは機能や料金体系を提供しますが、現行アプリの例外ルール、テスト計画、ログの業務判断、24時間の一次対応まで自動で担うとは限りません。見積依頼では「ルールの初期作成は誰が行うか」「誤検知を何時間以内に調査するか」「ルール更新の承認者は誰か」「契約終了時に設定やログを引き渡せるか」を質問します。

開発会社を選ぶ際は、WAF本体をスクラッチ開発できるかよりも、同じ業界・規模のWebアプリを安全に切り替えた実績を確認します。WAFのエンジンを自社開発すると、検知品質、ルール更新、性能、回避攻撃の調査、24時間対応まで自社責任になります。独自開発は、複数サイトへのルール配布、社内申請、SIEM連携、レポート生成など周辺機能に限定する方が安全です。

設計では、利用者からWAF、ロードバランサー、Webサーバー、アプリケーション、データベースへ至る通信経路を図にします。HTTPSをどこで終端するか、WAFからオリジンへ渡すヘッダーをどう扱うか、送信元IPをどのログ項目で確認するか、WAFを経由しない直接アクセスをどう防ぐかを決めます。オリジン側ではWAFやロードバランサーからの通信だけを許可し、公開IPへ直接到達できないようにすることが基本です。

ルールは、まず標準のマネージドルールを基礎にし、アプリ固有の条件をカスタムルールで補います。たとえば管理画面は社内IPやVPNに限定し、ログインや検索など濫用されやすいエンドポイントにはレート制限を設けます。ファイルアップロードやJSON APIでは、正当なリクエスト本文まで誤って遮断しないよう、Content-Type、URI、パラメータ形式、許容サイズを実データで確認します。例外を増やす場合は、全体許可ではなく対象パス、メソッド、条件を限定します。

設定はコンソールだけで変更せず、可能な範囲でIaCや変更管理の対象にします。ルール名、目的、対象パス、アクション、作成者、承認日、解除条件を台帳に残すと、障害時の復旧と監査が容易になります。個人情報を含むリクエストログはマスキング、閲覧権限、保管期間、削除方法を決め、CloudWatchやSIEMなどへ連携する場合は転送失敗時の扱いも設計します。

本番相当のステージング環境で、正常系と異常系の両方を確認します。トップページの閲覧だけでなく、ログイン、ログアウト、検索、カート、決済、ファイルアップロード、管理画面、APIの各操作を実行し、レスポンスコード、画面表示、セッション、業務データに差がないかを確認します。特に検索語やJSONに記号が含まれる業務では、SQLインジェクションに似た正常データが誤検知されることがあります。

攻撃シミュレーションでは、SQLインジェクション、XSS、パストラバーサル、OSコマンドインジェクション、異常なHTTPメソッド、過剰なリクエスト頻度などをテストします。許可した通信が通ることだけでなく、検知ログの内容、遮断時の画面、担当者への通知、問い合わせ時に追跡できるリクエストIDまで確認します。性能試験では、WAF追加前後のレスポンスタイム、スループット、CPU、オリジン負荷を比較し、ピーク時の余裕を確保します。

テストの合格条件は「攻撃を止めた」だけでは不十分です。正常通信の遮断件数、重大な検知漏れ、ログ欠損、アラートの遅延、ルール変更の反映時間、WAF障害時の切戻し時間を数値で定めます。AWSの事例紹介では、Sumarchが段階的な導入によりレスポンスタイムを最大30%改善したと報告されており、セキュリティ対策でも性能と運用を同時に検証する重要性が分かります（出典: AWS公式ブログ、2026年1月）。

本番リリースでは、いきなりすべてのルールをブロックへ変更せず、検知またはカウントモードで1〜2週間程度観測する方法が安全です。ログから、どのルールが、どのURIで、どのパラメータに反応したかを確認し、正常業務に必要な例外だけを追加します。その後、影響の小さいルールや明らかな悪性IPから限定的にブロックし、問題がなければ対象範囲を広げます。

切替当日は、DNSのTTL、証明書、ヘルスチェック、キャッシュ、オリジン許可リストを確認します。WAFの前段化で送信元IPの見え方が変わると、アプリケーションや監査ログのアクセス制御に影響するため、アプリ側のログも合わせて確認します。万一、決済やログインが止まった場合に備え、解除するルール、承認者、連絡先、切戻し方法を事前に決めておきます。

稼働後は、月次または週次でブロック件数、検知件数、誤検知件数、上位の送信元、上位のURI、レスポンスタイム、オリジン負荷、ルール変更数を確認します。数値を集めるだけでなく、「正常通信を何件止めたか」「重大なアラートを何分で確認できたか」「例外ルールが増え続けていないか」を運用KPIにします。例外が増える場合は、アプリの仕様変更やルールの粒度を見直します。

脆弱性情報や新しい攻撃手法に応じてマネージドルールを更新し、アプリのリリース前にはWAFの影響を確認します。Botやアカウント乗っ取り、API濫用、AIエージェントによる大量アクセスなどは、従来のシグネチャだけでは判断しにくい場合があります。AIを使う検知機能を採用する場合も、検知理由、ログの保存、誤検知の修正方法、追加料金、最終判断者を確認し、万能な防御として扱わないことが大切です。

運用手順書には、通常のルール変更、緊急ブロック、誤検知の解除、WAF障害、オリジン障害、証明書更新、ログ保管、インシデント報告の流れを記載します。ベンダー任せにせず、自社側にもルールの意図と責任分界を残すことで、担当者の異動や開発会社の撤退があっても防御を継続できます。

WAFのシステム開発にかかる費用相場とコストの内訳

WAFの費用は、WAF製品の利用料、クラウド基盤や通信の利用料、初期導入の人件費、ログ保管費、ルールチューニング費、監視・障害対応費に分けて考えます。WAF専用の市場平均が公開されているわけではないため、以下の導入費は人月単価と一般的なセキュリティ導入工数から整理した推定レンジです。サイト数、リクエスト数、API、複数クラウド、24時間監視の有無で変わります。

1サイトのクラウドWAFで、DNSやロードバランサー、TLS、標準ルール、ログ出力、疎通確認だけを行う場合は、初期30万〜100万円程度が推定目安です。検知モードでの観測、業務画面やAPIの例外設定、誤検知調整、攻撃・負荷テスト、運用手順作成まで含める通常導入では、初期50万〜200万円程度を見込むと比較しやすくなります。

複数サイト、複数クラウド、SIEM連携、IaC、権限分離、BCP、移行・切戻しを含める場合は、初期200万〜500万円程度へ広がる可能性があります。社内向けのルール申請画面や複数サイトへの配布基盤を追加開発する場合は、300万〜1,000万円超になるケースもあります。WAFエンジンそのものをフルスクラッチ開発する場合は、1,000万円以上かつ6〜12か月以上を想定する必要があり、通常のWebサイト防御では既存製品の活用が現実的です。

導入作業の人月単価は、調査ノートの業務システム向け目安ではフリーランスが50万〜80万円、中小開発会社が80万〜120万円、大手SIerが150万〜200万円です。WAF導入専用の統計ではなく、体制や責任範囲で変動する参考値ですので、単価だけでなく、要件整理からテスト、運用引き継ぎまで何人日含まれるかを確認します。

セルフ設定型のクラウドWAFは、製品料金だけなら月額数千円〜数万円に収まることがあります。ただし、クラウド基盤、CDNやロードバランサー、ログ、マネージドルール、Bot対策、監視は別料金になる場合があります。AWS WAFの公式料金表では、Web ACLが月5ドル、ルールが原則1ルール月1ドル、リクエストが100万件あたり0.60ドルという例が示されています。Web ACL 1個、ルール19個、月間1,000万リクエストなら、AWS WAF部分は月30ドルです（出典: AWS WAF公式料金表、2026年8月確認）。1ドル150円と仮置きしても約4,500円ですが、CloudFrontやALB、ログ、追加ルールの費用は含まれません。

運用支援付きの公開価格では、WafCharmが初期費用・サポート費用0円で、Lite月額46,000円から、Business月額112,000円から、Enterprise月額192,000円からを提示しています。別途、AWS WAF、Azure WAF、Google Cloud Armorの利用料が必要です。Scutumは初期費用110,000円、月額32,780円からで、ピーク時トラフィックに応じて月額65,780円、140,800円、162,800円、217,800円、327,800円などの料金体系です（出典: WafCharm公式料金表・Scutum公式料金表、2026年8月確認）。

以上から、記事での予算取りは、セルフ設定型の製品利用料を月数千円〜数万円、SaaSや運用支援を含む場合を月4万〜20万円超、SOCやDDoS対策、複数サイト、24時間対応まで含む場合を月10万〜50万円超として分けると現実的です。これは公開価格と導入条件から整理したレンジであり、トラフィック、FQDN数、為替、ログ量、SLA、監視範囲によって最終金額は変わります。

運用費には、ログ分析、誤検知の調査、ルール更新、脆弱性情報の確認、証明書更新、月次報告、アラート通知、緊急時のブロックや解除が含まれます。業務システム全般の保守費は初期開発費の年間15〜25%程度という目安がありますが、WAFではログ量や監視時間によって変わるため、その割合だけで決めないことが大切です。特に24時間365日のSOC対応や緊急連絡を求める場合は、通常の保守と別の費目にします。

見積書では、対象FQDN数、月間リクエスト数、ピークMbps、ログ保存期間、監視時間、誤検知の調査時間、月次報告の有無、ルール変更回数、証明書更新、障害時の切戻しを明記してもらいます。「WAF運用一式」だけでは、安く見えても必要な作業が含まれていない可能性があります。製品料金、クラウド料金、導入費、運用費、追加オプションを分けた見積もりが適切です。

WAFの見積もりを取る際のポイント

WAFの見積もりは、製品名と月額だけを比較すると失敗しやすくなります。対象資産、通信量、アプリの仕様、セキュリティ要件、運用体制を同じ条件で提示し、初期費用と継続費用の両方を比べます。次の項目をRFPやヒアリングシートに含めると、提案内容の差が見えやすくなります。

最低限、保護対象のFQDN、サイトとAPIの一覧、クラウドやオンプレミスの構成、月間リクエスト数、ピーク時の帯域、HTTPS終端位置、オリジンIP、主要なURI、ファイルアップロードの有無を用意します。会員情報、個人情報、決済情報の有無、海外アクセス、管理画面の接続元、既存のCDNやDDoS対策、脆弱性診断の結果も伝えます。

運用面では、誰がログを見るか、夜間や休日の連絡が必要か、誤検知を何分以内に調査したいか、ログを何日保存するかを決めます。PCI DSSや取引先の監査要件がある場合は、WAFの設定画面だけでなく、変更履歴、検知・遮断ログ、インシデント対応記録を提示できるか確認します。要件が分からない場合でも、未定の項目を隠さず「要調査」として一覧にする方が、後からの追加費用を抑えられます。

複数社から提案を受ける場合は、同じ質問を同じ順番で確認します。標準ルールとカスタムルールの範囲、検知からブロックへ移行する手順、誤検知の調査担当、ルール更新の頻度、24時間対応の有無、アラートの通知方法、月次報告の内容、ログの保管場所を比較します。製品の機能一覧よりも、実際に障害が起きたとき誰が何分以内に動くかが重要です。

また、AWS専用の運用自動化に強い会社、マルチクラウドや海外アクセスに強い会社、国内SaaS型で運用を任せやすい会社など、シナリオ別に適合度を見ます。WafCharmのように複数クラウドのWAF運用を支援するサービスでも、基盤WAFの利用料が別にかかることがあります。Scutumのようにピーク時トラフィックとFQDN数で料金が変わるサービスもあるため、自社の測定値を渡して見積もりを依頼します。

WAFで起こりやすい失敗は、標準ルールを有効にした直後に正常な検索、ログイン、API、アップロードまで止めてしまうことです。検知モード、観測、限定ブロック、全体適用の段階を契約上の作業範囲に含め、例外ルールには期限と見直し日を設定します。例外を永久に増やすのではなく、アプリの入力仕様や安全な実装を修正できないか、開発チームと毎回確認します。

切替失敗を防ぐには、事前の負荷試験と切戻し試験が欠かせません。WAF障害時にサービスを停止するのか、限定的に迂回するのか、迂回時にオリジンをどう保護するのかを決めます。WAFを迂回する経路を残すと、切戻しがそのまま無防備な公開になりかねないため、オリジンの送信元制限と緊急時のアクセス制御をセットで設計します。

ベンダー依存を抑えるには、設定ファイル、ルール台帳、IaC、ログの保存先、運用手順、変更履歴を自社でも管理します。契約書には、設定とデータの所有権、終了時の引き渡し、サポート時間、SLA、再委託先、脆弱性情報の通知方法を記載します。担当者の経験だけに依存せず、別会社へ移行できる状態を最初から目指します。

WAFのシステム開発でよくある質問

ここでは、導入前に特に相談が多い疑問へ回答します。WAFは製品を入れるだけで完了するものではないため、料金、開発会社、脆弱性対策の役割分担を分けて考えることがポイントです。

すべてのサイトに同じ構成が必要とは限りませんが、公開Webアプリ、会員機能、決済、個人情報、公開APIがある場合は導入を前向きに検討します。改修に時間がかかる古いシステム、攻撃ログを監視できる担当者がいないシステム、取引先や決済事業者から自動的な防御を求められているシステムも候補です。導入しない場合は、代替する脆弱性診断、レート制限、ネットワーク制御、監視体制を説明できるようにします。

WAFエンジンを自社で開発することは技術的には可能ですが、通常は既存のクラウドWAFやSaaS型WAFを導入する方が安全で合理的です。自社開発では、攻撃パターンの更新、誤検知の調査、回避攻撃への対応、性能試験、24時間の監視まで継続的に負担します。自社開発する場合も、ルール申請、配布、ログ分析、レポートなど周辺機能に限定することをおすすめします。

標準ルールとDNS、TLS、ログ出力、疎通確認だけなら1〜2週間程度が目安です。業務画面やAPIの例外設定、検知モードでの観測、誤検知調整、攻撃・負荷テスト、運用手順まで含めると1〜3か月程度を見込みます。複数サイト、複数クラウド、SIEM連携、BCP、権限分離がある場合は2〜6か月程度になる可能性があります。

不要にはなりません。WAFは通信を検査して攻撃を遮断する防御層であり、脆弱なコード、認可漏れ、設定ミス、古いライブラリ、漏えい済み認証情報を直接修正するものではありません。脆弱性診断、パッチ適用、安全なコーディング、認証・認可、バックアップ、インシデント対応と役割を分け、診断で見つかった内容をWAFの一時的な緩和策とアプリ修正の両方へ反映します。

まとめ

WAFのシステム開発・導入は、要件整理、製品選定、設計・開発、テスト、稼働、定着の6フェーズで進めます。保護対象のFQDNやAPI、月間リクエスト、ピーク帯域、個人情報、決済、監視時間を先に整理し、検知モードで実トラフィックを観測してから、限定ブロック、全体適用へ移行することが安全な進め方です。

最初の打ち合わせでは、(1)保護するサイト・API・管理画面、(2)クラウドとオリジンの構成、(3)月間リクエストとピーク帯域、(4)ログイン・決済・アップロードの有無、(5)脅威と監査要件、(6)誤検知時の連絡先、(7)ログ保存期間、(8)切戻し方法を確認します。見積書は、製品料金、基盤料金、導入費、ルール調整、テスト、監視、保守を分けて比較します。

WAFは導入日がゴールではなく、ルール更新、誤検知対応、脆弱性情報、ログ分析、インシデント対応を続けて初めて効果を発揮します。自社に合う方式や運用体制が分からない場合は、現在の構成と守りたい業務を整理したうえで、PoCや段階導入から始めると過剰投資と切替リスクを抑えられます。

▼全体ガイドの記事
・WAFのシステム開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。