先生と生徒の会話形式で理解しよう

生徒

「先生、AWS WAFってCloudFrontと連携するだけじゃなくて、ALBとも連携できるんですか？」

先生

「そうです。ALB（エーエルビー、Application Load Balancerの略）と連携することで、アプリケーション層での防御を強化できます。Webアプリケーションに届くリクエストをALBの手前でAWS WAFがチェックしてくれるんです。」

生徒

「なるほど！CloudFrontは世界中の入り口で守る感じで、ALBはアプリケーションの入り口を守る感じですか？」

先生

「そのとおりです。CloudFrontと違って、ALBとAWS WAFの組み合わせはアプリケーションに近い部分でセキュリティをコントロールできるんですよ。」

1. ALBとAWS WAFの基本

ALBは、読み方はアプリケーションロードバランサーといい、AWSのロードバランシングサービスのひとつです。リクエストの内容（パスやヘッダーなど）を見て、適切なサーバーに振り分ける仕組みを持っています。

AWS WAF（ウェブアプリケーションファイアウォール）は、Webアプリケーションを攻撃から守るサービスで、SQLインジェクションやクロスサイトスクリプティングなどを検知してブロックする役割を果たします。

この二つを連携させると、アプリケーション層でのセキュリティをさらに強化でき、システム全体の信頼性が高まります。

2. ALBとWAFを連携するメリット

ALBとAWS WAFを連携することで得られるメリットには以下のようなものがあります。

アプリケーションに届く前に攻撃を遮断できる
SQLインジェクションやXSS攻撃を未然に防止
レート制限を設定して大量アクセスからの保護
特定のIPアドレスや国からのアクセスを制御

このように、ALBとAWS WAFを組み合わせるとアプリケーション層の防御を細かく設計できるようになります。

3. 連携の流れ

初心者にも分かりやすいように、AWS WAFをALBと連携する手順を整理します。

AWSマネジメントコンソールにログイン
AWS WAFでWeb ACL（ウェブアクセスコントロールリスト）を作成
Web ACLに必要なルールを設定（IP制限、レート制限、SQLインジェクション検知など）
ALBを作成、または既存のALBを選択
ALBの「Web ACL」設定画面で、作成済みのWeb ACLを関連付け
設定を保存し、有効化

これでALBに届くリクエストは、まずAWS WAFによってチェックされるようになります。

4. 実際の利用シーン

例えば企業のWebシステムで、社内管理画面がALB経由で公開されている場合、AWS WAFを使って特定のIPアドレス以外からのアクセスを拒否することができます。

また、ECサイトやブログなどの公開サービスでは、ボットによる不正ログインやSQLインジェクション攻撃をブロックするルールを適用することで、安心して利用できる環境を提供できます。

5. 運用時の注意点

ALBとWAFの連携では、ルールの設定が重要です。ルールを厳しくしすぎると正規のユーザーのアクセスまでブロックしてしまうことがあります。

そのため、初めは「カウントモード」でアクセス状況を確認し、誤検知がないかをチェックしたうえで「ブロックモード」に切り替えるのがおすすめです。

6. 初心者が理解すべきポイント

初心者がまず理解しておきたいのは、ALBは「アプリケーションへの入り口を振り分けるゲート」、AWS WAFは「入り口で不審な動きを監視して守る盾」というイメージです。

この二つを組み合わせることで、単なる負荷分散だけでなく、セキュリティまで考慮したアプリケーション層の保護が実現できます。

まとめ

AWS WAFとALBを組み合わせて理解するアプリケーション層の防御

この記事では、AWS WAFをALBと連携させることで、Webアプリケーションをどのように守れるのかを、初心者向けに順を追って解説してきました。 ALBは単なる負荷分散の仕組みではなく、アプリケーション層で通信内容を見ながら振り分けを行う重要な役割を担っています。そのALBの手前でAWS WAFが動作することで、不正なリクエストや攻撃パターンを事前に検知し、アプリケーションに到達する前に遮断できる点が最大の特徴です。

SQLインジェクションやクロスサイトスクリプティング、異常なアクセス回数による負荷攻撃などは、アプリケーション開発者にとって常に意識すべき脅威です。これらをアプリケーションのコードだけで防ごうとすると、実装や保守の負担が大きくなりがちですが、AWS WAFを活用することでインフラ側で包括的に対策できます。特にALBと連携する構成では、CloudFrontを使わないシステムでも高いセキュリティレベルを保てる点が実務で評価されています。

運用を意識した設定と考え方

実際の運用では、いきなりすべてのルールを厳しく設定するのではなく、まずはカウントモードを活用してアクセスの傾向を把握することが重要です。正常なユーザーの通信と攻撃と疑われる通信を見比べることで、自分のシステムに合ったルール設計ができるようになります。 AWS WAFとALBの連携は一度設定すれば終わりではなく、アクセス状況に応じてルールを見直し続けることが、安全な運用につながります。

また、Personal Health DashboardやCloudWatchなど他のAWSサービスと組み合わせることで、障害や異常をより早く察知できます。セキュリティ対策は単体の機能だけで完結させるものではなく、複数の仕組みを連携させて全体で守るという意識が大切です。

参考となる設定イメージ

以下は、AWS WAFのWeb ACLをALBに関連付ける際の考え方を整理したイメージ例です。実際の設定はマネジメントコンソールで行いますが、構成を理解するための参考として確認してください。


Web ACL
  ├ IP制限ルール
  ├ レート制限ルール
  ├ SQLインジェクション検知
  └ XSS検知

ALB
  └ Web ACLを関連付け

このように、ALBにWeb ACLを関連付けることで、アプリケーションに届くすべての通信がAWS WAFのチェック対象になります。アプリケーション側で特別な設定をしなくても、防御の仕組みを追加できる点が大きなメリットです。

先生と生徒の振り返り会話

生徒

「最初はWAFって難しそうだと思っていましたけど、ALBとセットで考えると、アプリケーションの入口を守る仕組みなんだって分かりました。」

先生

「そうですね。ALBが入口の門だとしたら、AWS WAFは門番のような存在です。変な動きをする通信を中に入れない役割を担っています。」

生徒

「カウントモードで様子を見てからブロックする、という考え方も実際の運用を想像できて安心しました。」

先生

「実務ではその考え方がとても大切です。最初から完璧を目指さず、状況を見ながら少しずつ調整することで、安全で使いやすいシステムになります。」

生徒

「ALBとAWS WAFを組み合わせることで、負荷分散だけじゃなくて、セキュリティまで考えた設計ができるんですね。」

先生

「その理解でばっちりです。これからAWSでWebアプリケーションを作るときは、ぜひ最初からセキュリティも一緒に考えてみてください。」

この記事を読んだ人からの質問

AWS WAFをALBと連携してアプリ層の防御を強化する方法