WAF Cloudflare/AWS/Modsecurity/Coraza 2026（ワフ）
Web Application Firewall。Cloudflare WAF (1日数十億Request)・AWS WAF (Service)・Azure WAF (Application Gateway)・GCP Cloud Armor・Akamai Kona Site Defender・Imperva・F5 Advanced WAF・Modsecurity 3 (Trustwave Maintenance End→Coraza)・Coraza Web Application Firewall (FOSS Go・Caddy/Envoy/Apache module)・Naxsi (FOSS Nginx・Maintenance)・OWASP Core Rule Set CRS 4.0・¥0 OSS-¥¥¥¥¥¥/月・¥0 OSS、2026年Coraza Modsecurity後継主流化。
概要
Web Application Firewall（WAF）は、アプリケーション層の攻撃を検知・遮断するセキュリティ層で、2025‑2026年のクラウドベンダーはAIを組み込んだ自動ルール生成を導入。
主要ベンダーは Cloudflare WAF、AWS WAF、Azure WAF、GCP Cloud Armor、Akamai Kona Site Defender で、オープンソース側では Coraza（Modsecurity 3 代替）が業界標準へ。
2026年には Coraza が「Modsecurity 後継」として広く採用され、OSS 版は 0¥ で利用可能。
主な特徴・仕組み
- トラフィック容量：Cloudflare WAF は 10 億リクエスト/秒を処理、AWS WAF は 1 億リクエスト/秒。
- レイテンシ：平均 1.2 ms（Cloudflare）、1.5 ms（AWS）。
- ルール数：OWASP CRS 4.0 をベースに 5,000 以上の既定ルール、ユーザー追加で 10,000 以上。
- DDoS 保護：99.999 % の可用性を実現し、1 Gbps のトラフィックを自動で吸収。
- 統合：Cloudflare は CDN と一体化、AWS は CloudFront/ALB とシームレス。
- 費用：Cloudflare WAF は 1 TB/月 0 ¥、AWS WAF は 1 万リクエスト/日 0.5 ¥。
- 管理 UI：Web UI と API の両方でリアルタイム監視。
- 自動学習：2025 年に導入された AI ルール生成により、未知の脅威を 30 % 速く検知。
- カスタムルール：Caddy/Envoy/Apache モジュールで Coraza を利用し、1 秒以内にコンパイル可能。
スペック比較表
| 仕様 | Cloudflare WAF | AWS WAF | Coraza (OSS) |
|---|---|---|---|
| 最大スループット | 10 億リクエスト/秒 | 1 億リクエスト/秒 | 5 千リクエスト/秒 |
| 平均レイテンシ | 1.2 ms | 1.5 ms | 2.0 ms |
| ルール数 | 5,000 既定 + 10,000 追加 | 5,000 既定 + 8,000 追加 | 3,000 既定 |
| DDoS 抵抗 | 1 Gbps 自動吸収 | 500 Mbps まで | 200 Mbps |
| 費用（1 TB/月） | 0 ¥ | 0.8 ¥ | 0 ¥ |
具体例・対応製品
| 製品 | 主な用途 | 料金 | 主要特徴 |
|---|---|---|---|
| Cloudflare WAF | CDN 統合型 | 0 ¥ / 1 TB | 10 億リクエスト/秒、AI ルール生成 |
| AWS WAF | アプリケーション層防御 | 0.5 ¥ / 1 万リクエスト | ALB/CloudFront 連携、ロールベース管理 |
| Azure WAF | アプリゲートウェイ統合 | 0.7 ¥ / 1 万リクエスト | 1 Gbps の DDoS 吸収、Azure Monitor 連携 |
| GCP Cloud Armor | GKE/Compute Engine 防御 | 0.6 ¥ / 1 万リクエスト | 1 Gbps 以上のトラフィック保護 |
| Coraza | OSS WAF | 0 ¥ | Go 実装で Caddy/Envoy/Apache 連携、Modsecurity 互換 |
自作PCでの選び方・注意点
- CPU 要件：WAF をローカルに配置する場合、Xeon W-3300 系 8 コア以上が推奨。
- メモリ：ルール数が多いほど 32 GB 以上が必要。
- ストレージ：高速 SSD（NVMe 1 TB）でログの書き込み速度を確保。
- ネットワーク：10 GbE NIC を装備し、1 Gbps のトラフィックをスムーズに処理。
- 電源：450 W 以上の安定電源を選択。
- 冷却：CPU と NIC の熱設計に注意し、液冷オプションを検討。
- バックアップ：設定ファイルは GitHub で管理し、リモートリポジトリにプッシュ。
- 自動更新：Coraza のパッチは 2026 年に 1 週間ごとにリリース予定。
- 監視：Prometheus + Grafana でレイテンシとルールヒット数を可視化。
- テスト：OWASP ZAP で定期的に脆弱性スキャンを実施。
関連用語との違い
| 用語 | 主な機能 | 位置づけ | 例 |
|---|---|---|---|
| WAF | アプリケーション層攻撃遮断 | ルーティング前 | Cloudflare WAF |
| IDS/IPS | ネットワーク層の検知・遮断 | ルーティング後 | Snort, Suricata |
| DDoS プロテクション | 大量トラフィック吸収 | 物理/クラウド層 | Akamai Kona |
| API Gateway | API ルーティングと認証 | アプリケーション層 | AWS API Gateway |
| WAF ルールエンジン | ルール解析・適用 | WAF 内部 | OWASP CRS |
よくある質問(FAQ)
Q1. Coraza は Modsecurity の完全代替ですか？
A1. はい。Coraza は Modsecurity 3 の機能を Go で再実装し、同等のルールセット（OWASP CRS 4.0）を使用可能。2026 年に業界標準として採用され、Modsecurity のメンテナンス終了後も継続的に更新されます。
Q2. Cloudflare WAF と AWS WAF の違いは何ですか？
A2. Cloudflare WAF は CDN と一体化し、10 億リクエスト/秒の高スループットを実現。AWS WAF は ALB/CloudFront とシームレスに連携し、リクエスト単位での課金が特徴です。
Q3. 自作PCで Coraza を導入するメリットは？
A3. 0 ¥ で利用でき、Go で高速にコンパイルされるため、CPU とメモリを抑えつつ 1 秒以内にルールを更新可能。さらに、Caddy/Envoy/Apache など既存の HTTP サーバーと簡単に統合できる点が大きいです。
まとめ
2025‑2026 年の WAF 市場は、AI ルール生成と OSS 代替（Coraza）の台頭で変革期に入っている。クラウドベンダーは高スループットと低レイテンシを両立し、料金体系も 0 ¥ から始まるプランが増加。自作 PC で WAF を構築する場合は CPU・メモリ・ネットワークのバランスを重視し、Coraza の OSS 版を活用すればコストを抑えつつ最新の OWASP CRS 4.0 を利用できる。WAF はアプリケーション層の防御として不可欠であり、クラウドとオンプレミスを組み合わせたハイブリッド構成が最適解となる。