SaaS型 Web Application Firewallサービス Scutum

WAFがWebアプリケーションの脆弱性を悪用した攻撃に対して効果的なツールであるにも関わらず、導入がなかなか進まなかったのには理由がある。それは、コストが高い、専門の担当者が必要になるなど、導入への敷居の高さがあったからだ。それを解決したのが今回ご紹介する「Scutum」である。

ScutumはWAF機能をインターネット上に置くことで、自社のシステムを何ら変更することなく、フルに活用できるSaaS型サービス。ブラックリスト（不正な値やパターンを定義したリスト）に加え、論理的防護方式なども採用しており、攻撃を素早く検知し、被害を未然に防ぐことが可能だ。SaaS型サービスのため、社内に設備を揃えるより、はるかに低コスト＆低負荷でWebサイトを攻撃から守ることができる。

Scutumの最大の特長は、最短で申込んでから1週間後には稼働できること。SaaS型サービスなので、アプライアンスの設置やソフトウェアのインストールなどの作業は不要。DNS変更とSSL証明書情報の受け渡しさえ行えばよい。専門のIT担当者がいない企業においても、容易に導入できる。
また、Scutumは小規模サイトから大規模サイトまで柔軟に対応可能。今後のサイト運営では欠かせない、クラウドにも対応している。

更に、Scutumのシステムが収められているScutumセンターには、セキュリティとシステム運用のプロが常駐。障害対応はもちろん、電話での連絡にも即答してくれる。24時間365日のフルサポート体制だ。アップデートも自動的に行われるので、エンドユーザが何もしなくても防御能力は常に進化。担当者の作業は月1回10分程度、管理画面やレポートで攻撃の状況やプロの分析などを確認するだけだ。

Scutumのベースとなるソフトウェアは2004年に国内で開発されたもの。それをSaaS型に再開発したものがScutumだ。日本で生まれたソフトウェアだけに、万一、トラブルが起こっても迅速な手当てが可能であることに加え、日本特有の環境にも柔軟に対応できる。また、ScutumはSaaS型WAF製品市場で70.6%という圧倒的なマーケットシェアを獲得している（※）。ECサイトをはじめ金融機関や公的機関、BtoBサービスなど導入数は250件以上と、安心の実績を持つ。

※2011年 ミック経済研究所調べ

ScutumはSaaS型サービスのため、初期費用は9万8000円〜（運用可能ホスト数：1）という低価格で導入できる。トラフィック対応プランでも19万8000円〜（運用可能ホスト数：10）だ。また、月額費用も2万9800円〜。しかも1ヵ月単位で契約でき、いつでも止めることができる。例えばキャンペーンサイトなど、短期間だけ利用するということもOK。使い勝手は上々だ。

※価格は税別

課題：某学校法人では、学校広報、入試広報などでWebサーバの重要性が増しており、それを狙った攻撃の多様化への対応が求められていた。特に長期休暇中の攻撃をどう防ぐかが課題だったが、潤沢な予算があるわけでなく、IT知識に長けた人材も足らない。また、サーバの構成は各学部・附属機関の事情に合わせてまちまちで、かつクラウド環境のサーバも利用していた。

解決：最大の決め手は「コストパフォーマンスの高さ」と「運用負荷の低さ」。また、コンテンツの管理は各学部・附属機関が行い、サーバの管理は事務部で統括と、部署と権限を分担していた同校の場合、管理の手間を省けるブラックリスト方式の採用、クラウド環境への対応もポイントとなった。導入後はレスポンスが遅くなるなどの不具合もなく順調に稼働。管理者は攻撃の多くなる時期の作業負担や心理的負担が減少、導入は正解だったと高く評価されている。

課題：海外の人へ向けたサービスを提供している某EC事業者では、お客様が安心して買い物できるよう、WAFの導入を検討していた。条件は同社が採用している個別アプリケーションに対応でき、なるべく早く導入できることだった。

解決：アプライアンス製品まで含めて比較検討した結果、Scutumを導入。決め手となったのは、コスト、運用内容、導入期間などすべての項目で他社製品よりも優れていたこと。特にコストは百万単位で安かったという。また、運用面でも社内のリソースを用意する必要がないという点も魅力だった。実際の導入期間は、個別のアプリケーションに対応したにもかかわらず、約1ヵ月という短期間で完了。導入後の運用負荷も少なく、攻撃を防いでいることが管理画面からも分かるのもうれしいと、非常に満足している。