WAF製品の価格相場とは？AWSWAFとサードパーティ製WAFの料金体系と選び方を解説

WAFの主な提供元：パブリッククラウド製とサードパーティ製

WAFとは、Webアプリケーションに特化したセキュリティ対策ツールです。従来のファイアウォールがネットワーク層での通信を制御するのに対し、WAFはHTTP/HTTPS通信の中身を検査し、不正アクセスなど悪意ある攻撃を検知・ブロックします。
WAFには、AWSやAzureなどのクラウド事業者が自社クラウド向けに提供する「パブリッククラウド製のWAF」と、セキュリティベンダーが開発・提供しさまざまな環境に適用できる「サードパーティ製のWAF」の大きく2つあります。この違いを理解しておくことで、自社の環境や運用体制に適したWAFを選びやすくなります。
まずは、クラウドが普及し、利用者が多いAWS WAFの特徴や料金体系をご紹介します。

AWS WAFの特徴と料金体系

AWS WAFは、Amazon Web Servicesが提供するWAFです。AWS環境で稼働するWebサイトやアプリケーションを保護するために設計されており、自社のサイト特性やセキュリティ要件に応じてルールを細かくカスタマイズできることが特徴です。
ここではAWS WAFの仕組みと料金について解説します。

AWSのサービスと統合して利用するWAF

AWS WAFは、「ルール」と「Web ACL」という2つの要素で構成されています。
ルールとは、「SQLインジェクションをブロックする」「特定の国からのアクセスを拒否する」といった具体的な防御条件のことです。
1つ1つのルールが、個別の攻撃パターンや制御条件を定義します。

Web ACL（Web Access Control List）は、複数のルールをまとめたルールグループです。
このWeb ACLをApplication Load Balancer（ALB）やAmazon CloudFront（CDN）、Amazon API GatewayといったAWSのサービスに紐づけることで、それらのサービスをWAFで保護できます。

AWSコンソールでは、ほぼリアルタイムにトラフィックの状況を確認でき、どのルールがどのように作動したか、どのリクエストがブロックされたかを把握できます。
より踏み込んだ分析を行いたい場合は、WAFログをCloudWatch Logsに出力することで、トラフィックの詳細を可視化することも可能です。

これらの機能を持つAWS WAFの設定は、AWSの管理コンソールから行うため、すでにAWS環境を使っている企業であれば、すぐに導入できることがメリットです。

AWS WAFの料金体系

AWS WAFの料金は、先ほど説明したWeb ACLとルールの数、そして処理したリクエスト数に応じて課金される従量課金制を採用しています。コストの内訳は主に以下の3つです。

1. Web ACL（アクセスコントロールリスト）の数：$5.00/月（1つあたり）
2. ルールの数：$1.00/月（1つあたり）
3. 処理したリクエスト数：$0.60/100万リクエスト

参考：公式AWS WAF料金ページ

例えば、1つのWeb ACLに5つのルールを設定し、月間100万リクエストを処理する場合、月額料金は「$5（Web ACL） + $5（ルール5つ） + $0.60（リクエスト処理） = $10.60（約1,590円）」となります。
※1ドル150円で換算。実際の請求額は為替レートにより変動します。

標準のWAF機能だけですべてのBot対策・不正アクセス対策を完結させるのは難しく、AWS Managed RulesやBot Controlなど他のツールも組み合わせた運用が必要になる場面があります。これらを追加すると料金も増加します。

AWS WAFの強みは、AWSエコシステムとのシームレスな連携にあります。ALBやCloudFrontへの適用はコンソール上で数クリックで完了します。既に、AWSを使っている企業であれば、新たなベンダー契約も不要で、既存のAWS請求に統合される点も企業にとっては導入ハードルが低く、コストパフォーマンスに優れるといえます。

一方で、設計・運用の難易度がそれなりに高いという課題もあります。どのルールをどう組み合わせるか、どこまでブロックするかを自分たちで設計する必要があり、誤検知が発生した際のチューニングにも技術的な知識が求められます。

サードパーティ製のクラウド型WAFとは

サードパーティ製のクラウド型WAFとは、AWSなどパブリッククラウド事業者以外のセキュリティベンダーが提供するWAFサービスです。弊社が提供している「攻撃遮断くん」もその一つです。

AWS WAFがAWS専用であるのに対し、サードパーティ製クラウド型WAFはベンダーのクラウド基盤上で動作します。
そのため、AWS、Azure、Google Cloudなどのパブリッククラウド環境からレンタルサーバ、オンプレミスなど、環境を問わずWebサーバを保護することができます。
また、複数の異なる環境が混在している企業でも、単一のWAFで一元管理できる点が大きな特徴です。

サードパーティ製WAFの料金体系

サードパーティ製のクラウド型WAFは、AWS WAFのように「リクエスト数に応じて細かく課金される」モデルとは少し考え方が異なり、「月額金額」の料金体系で提供されるケースが多いです。

SaaS型・クラウドWAFでは、あらかじめ契約したプランに対して月額（もしくは年額）で支払うサブスクリプション型の料金体系が一般的です。
多くの場合、「初期費用+月額費用」で構成されている場合が多いです。
プランは各種サービスによって異なりますが、概ね以下の組み合わせで決まることが一般的です。

• トラフィック量・帯域
• 利用できる機能範囲（DDoS対策など）

サードパーティ製WAFの特徴

サードパーティ製WAFの大きな特徴の一つは、セキュリティベンダーによる運用が含まれているサービスが多い点です。

通常、ルールの更新や新たな脆弱性への対応はセキュリティベンダーが担うことが一般的で、適切なWAFの運用が可能となります。また、誤検知が発生した際の対応も、プランによってはベンダーのサポートに依頼してルールの調整を任せられるため、高度なセキュリティ知識がなくとも運用できます。

24時間365日のサポート体制をもち、何かあったときに素早く対応できる体制を持つサービスもあります。

AWS WAFでは、AWS Managed Rulesなどの事前定義されたルールセットを利用することもできますが、それでもどのルールをどう組み合わせるか、誤検知が発生した際にどのような対処を行うかといった設計・運用は、基本的に自社で行う必要があります。

一方、サードパーティ製WAFでは、あらかじめルールセットが組み込まれていたり、細かい調整はベンダーに相談・依頼しながら進められるため、セキュリティの専任担当者が少ない企業でも、運用を行いやすいというメリットがあります。

どう選ぶ？WAF選定のポイント

自社にはどのWAFが最適かは、「保護対象の環境」「セキュリティ人材の有無」「運用リソースを含むトータルコスト」によって決まります。ここでは、選定時に重視すべきポイントを解説します。

保護対象の環境

保護したいサイトやシステムがAWS環境のみで完結している場合、AWS WAFが第一候補となります。
具体的には、

• WebサイトがAmazon EC2やALBで構築されている
• CDNとしてAmazon CloudFrontを利用している
• すべてのインフラがAWS上にあり今後もAWSを使い続ける予定

といった状況です。
このようなケースでは、AWS WAFを利用することで、他のAWSサービス（CloudWatch、AWS Shield、AWS Configなど）との連携もスムーズで、AWSのコンソールから監視や設定を一元管理でき、運用効率も高まります。

一方、保護したいサイトが複数の環境にまたがる場合は、サードパーティ製WAFが適しています。
例えば、

• レンタルサーバで構築されている
• 専用サーバやプライベートクラウド基盤上で構築されている
• 国産クラウドや他社クラウド（Azure, Google Cloud など）上で動作している

といった環境をまとめて保護したい場合です。

AWS環境とレンタルサーバ環境など、複数の異なる環境が混在しているケースでは、サードパーティ製WAFなら一元管理できるので、選択肢として有力になります。

セキュリティ人材の有無

自社内でどこまでセキュリティ判断を行えるかという点も重要です。
AWS WAFは、攻撃を防御するルールを自社の要件に合わせて設計できる一方で、どのルールを採用するか、例外をどのように扱うか、運用ポリシーをどう定めるかといった設計判断を自社で担うことが前提になります。
脆弱性情報や攻撃トレンドを踏まえながら、継続的にルール設計を見直せる体制がある企業に向いています。

一方、サードパーティ製WAFは、一般的な攻撃に対応するルールセットや推奨設定があらかじめ用意されていることが多く、設計の初期段階からベンダーの知見を取り込みやすい点が特徴です。

運用リソースを含むトータルコスト

次に確認しておきたいのが料金の考え方と、運用にかかるリソースを含めた総コストです。
WAFには大きく分けて、従量課金と月額固定の料金体系があるとお伝えしました。
従量課金型は、リクエスト数に応じて費用が変動するため、利用状況によってはコストを抑えられる一方、アクセス増加時に想定以上の費用が発生する可能性があります。
一方、月額固定費型はコストの見通しが立てやすく、予算管理しやすい点が特徴です。

あわせて考慮すべきなのが、WAF運用に必要な人的リソースです。
WAFの運用を専任で担当できるケースは多くなく、インフラ運用など他業務との兼務になることが一般的です。
ルール調整や誤検知対応、ログ確認といった作業には一定の工数がかかるため、運用にかかる時間や負荷もコストとして捉える必要があります。
特に、保護対象のサイトが複数ある場合、管理工数や運用人材コストも膨らみます。このように保護対象が複数ある場合、保護対象無制限のようなプランが存在するサードパーティ製WAFが有力な候補といえます。

そのため、WAFの選定においては、表面的な月額料金や従量課金の安さだけでなく、「運用に割けるリソースはどれくらいあるのか」を踏まえ、運用工数を含めたトータルコストで比較検討することが重要です。

月額1万から始める、クラウド型WAF「攻撃遮断くん」

攻撃遮断くんはAWS環境を始めとするクラウド環境、レンタルサーバ、オンプレミス環境などあらゆる環境に導入できるサードパーティ製のクラウド型WAFです。
攻撃をブロックするルールは自動更新され、常に最新の脅威に対応します。
導入実績は20,000サイトを超え、業種業界を問わずご利用いただいています。