マルハニチロ株式会社

弊社は水畜農産品の輸出入、食品製造・販売などの事業を幅広く展開している中で、 グループ会社を含め、数多くのシステムを運用しています。

私はDX推進部のシステム管理課に所属しており、社内システムのインフラの運用や管理を主な業務として行っています。インターネット環境から端末の管理まで、そしてセキュリティまでが業務範囲です。

マルハニチロソリューションズ株式会社はマルハニチログループの一員であり、 私が所属している運用部ではDX推進部と連携・協力しながらマルハニチログループ全体のITシステムを運用・管理しています。

その中でも私はインフラの部分を担当しており、AWSをはじめ、インフラのOS構築から保守運用まで担当しています。

2020年頃から社内システムをAWSへ段階的に移行するプロジェクトを始めました。それに伴い、新しく構築するシステムもAWSで行う方針となりました。

外部からのアクセスがかなり多いシステムの構築もAWSですることとなったため、そのタイミングでセキュリティ強化の必要性を感じ、WAFの導入を検討することとなりました。

サードパーティーベンダーが提供するWAFの導入も比較検討しましたが、コストパフォーマンスを考慮し、AWS WAFを導入することに決めました。

まず、AWS WAFのマネージドルールだけでは設定の自由度が足りないと感じました。マネージドルールのルール（シグネチャ）の詳細が非公開となっているため、ルールの内容を確認・調整することができず、セキュリティ上の懸念がありました。具体的にどのような攻撃をブロックしているのか、またブロックしていないのかが見えない状態だったのです。

また、インスタンス数が膨大なため、すべてのシステムに対して適切なセキュリティ設定を手動で行うには多大な工数がかかります。特に、個々のシステム特性に合わせた細かいチューニングが必要になるケースでは、専門知識を持つ人材が限られている中で対応することが非常に困難でした。

さらに、新たな脅威が日々出現する中で、常に最新のセキュリティ対策を維持するためには、継続的なルールの見直しや更新が必要です。しかし、それらをすべて社内リソースで対応することは現実的ではありませんでした。

AWSへの移行の中、外部からアクセスがかなり多いシステムを新たに構築することになりました。新しいシステムによって外部アクセスが一気に増えることが想定できるのでセキュリティをより一層強化しないといけないと感じ、高度なセキュリティレベルを実現しつつAWS WAFの運用工数を抑えるサービスを探し始めました。

そこでWafCharmに出会いました。WafCharmを利用すると個々の環境に合わせてルールの設定を代行してくれるため、ルール設定や調整にかかる作業工数が不要になるので、大きなメリットだと感じました。

高いセキュリティレベルを保ちながらAWS WAF運用チームの作業工数を抑えることができると感じ、WafCharmの導入を決めました。

ダッシュボード（コンソール）が非常に使いやすく、視覚的にわかりやすいと感じました。攻撃の状況やブロックしたリクエストの詳細がグラフ化されて一目で把握できるため、セキュリティ状況が可視化できるという点について大きなメリットだと感じました。

ただ、トライアル段階では実際にシステムは一般公開せず、社内のグローバルIPからの接続テストのみを実施していましたので、実際に公開した際にどれくらいの攻撃が来るのか、ちゃんとブロックされるのかといった点については不安もありました。

また、誤検知が発生した際にシグネチャ更新にかかる時間について懸念はありました が、実際導入して公開してみないとわからない部分もあるので、いったん導入をして様子を見ることにしました。

とても良いと思います。実際、システムを公開してみると想定よりも攻撃が多く、開発部門も『こんなに来るんだね』と驚いていました。WafCharmを導入する前は、海外からの攻撃が中心かなと思っていましたが、意外にも日本からの攻撃も多かったです。そういった攻撃もWafCharmによってブロックされるので安心しました。

また、開発部門を含めたほかの部署や関係者にAWS WAFの効果や直面するセキュリティリスクを共有していますが、WafCharmの導入によってAWS WAF関連の情報共有が容易くなって、セキュリティリスクの特定や把握もより簡単にできました。

懸念点として先ほど挙げたシグネチャの更新時間に関しても、WafCharmサポートが丁寧に対応してくださったので特に問題ありませんでした。シグネチャの調整や変更依頼にもご対応いただき、 我々に専門知識がない部分をしっかりとサポートしていただけるのは大きな安心感につながっています。

私たちも実際にWafCharmを選定し、導入前に思い描いていた成果を得られ、満足度の高いサービスだと日々感じています。特に、AWS WAFに対する知見やセキュリティ人材が不足している企業にとって、WafCharmは大きな助けになると感じています。

セキュリティ対策を自社内のリソースだけで対応しようとすると敷居が高いですが、WafCharmのようなサービスを利用することで、負担を軽減しながらもセキュリティをしっかりと担保することができます。

どの企業もセキュリティ人材の確保は難しいと思いますので、まずはWafCharmの無料トライアルから始めて、自社に合うかを確認されることをお勧めします。