「見えないWeb攻撃」──情報漏えい対策の盲点

WAFを89％すり抜ける事例も──AIが休みなく仕掛けるWeb攻撃、予防策はあるか（4/4 ページ）

公開 2026年08月03日 07時00分

著者

中西一博

[ITmedia]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

Webセキュリティに必要な予防的対策

　これまであげた対策も含め、Webセキュリティに関わる技術的な側面からの予防的対策例としては、以下のような施策が挙げられる。

「セキュア・バイ・デザイン」「DevSecOps」の考え方に基づくシステム・アプリケーション設計・開発・運用の実践と、最新AIによる検証・監査体制の確立
深刻度の高い脆弱性の公表から自社で修正パッチを当てるまでの初動の速度を上げるためのSBOM（ソフトウェア部品表）管理体制の強化と、脆弱性パッチ適用手順の整理
Webアプリケーション、APIを駆動する自社のプログラムコードや仕様・実装に潜在する欠陥および脆弱性を継続的に把握して修正を促し、それらを悪用しようとする攻撃の兆候をリアルタイムに検知、阻害できるAIを活用したシステムの導入
既知の脆弱性情報から作られるWAFルールだけに頼らない、WAAPによる多層防御能力を生かした攻撃試行の阻害、および実被害発生の防止（未活用機能の利用や、それらを的確に使いこなせるマネージドサービスの利用の検討）
自律的なAIによる、データベースや連携システム、組織内部への侵入、または横展開（ラテラルムーブメント）を抑制して、影響を封じ込めるための、マイクロセグメンテーションや、不要な通信ポートの閉鎖などによる、厳密で予防的な通信制御

　この他、特権IDへの多要素認証の導入や、WebアプリケーションにアクセスするWebブラウザの脆弱性を悪用するクライアントサイド攻撃への対策なども忘れず考慮に入れておくとよいだろう。AIのスピードを踏まえ、事後対処から予防へと舵を切るといった大きな方針転換が重要なポイントだ。それを助ける防御側の技術もAIの手を借りつつ続々と開発されている。

　進化するAIは毒にも薬にもなりうる。それを取り入れて使いこなすのは人間に他ならない。毎日のようにニュースでフロンティアAIのサイバー脅威が報じられている今だからこそ、攻守のステージが変わったことを強く意識したうえで「正しく恐れる」姿勢が大切になるだろう。