WAFログ解析の常識が変わる！生成AI「Gemini」×GASで運用工数90%以上削減の秘訣を徹底解説
インターネットの世界では、WebサイトやWebアプリケーションを狙うサイバー攻撃が日々進化しています。こうした脅威から大切な情報を守るために欠かせないのが「WAF（Web Application Firewall）」というセキュリティ対策です。しかし、WAFが検知したログの解析は非常に専門的で手間がかかるため、多くの企業で運用上の大きな課題となっていました。
そんな中、オーエムネットワーク株式会社は、この難解なWAFログの解析作業を劇的に変える画期的なシステムを開発しました。生成AI「Gemini」とGoogle Apps Script（GAS）を組み合わせることで、ログの自動解読と判定を実現し、WAF運用にかかる工数を90%以上削減することに成功したのです。本記事では、この革新的なシステムがどのように構築され、どのような効果をもたらすのかを、AI初心者にも分かりやすい言葉で詳しく解説していきます。
WAF（ワフ）とは？Webサイトを守る「専用の門番」
まず、WAFとは何かについて、AI初心者の方にも理解しやすいように説明します。WAFは「Web Application Firewall」の略で、日本語では「ウェブアプリケーションファイアウォール」と読みます。これは、例えるならWebサイトやWebアプリケーションをサイバー攻撃から守るための「専用の門番」のような存在です。
一般的なファイアウォールが、インターネットと社内ネットワークの境界で、どの通信を許可するかどうかといった「ネットワークの入り口」を見張るのに対し、WAFはWebサイトやWebアプリケーションへの「通信の中身」を詳しく検査します。具体的には、お問い合わせフォームに入力された文字や、ログイン画面で送信された情報など、Webアプリケーションが処理するデータの中に、悪意のあるプログラムや不正な操作が含まれていないかを細かくチェックするのです。
例えば、以下のようなサイバー攻撃からWebサイトを守る役割を担います。
-
SQLインジェクション: Webサイトのデータベースを不正に操作しようとする攻撃です。WAFは、データベースへの不審な命令を検知し、遮断します。
-
クロスサイトスクリプティング（XSS）: Webサイトに悪意のあるスクリプトを埋め込み、サイトを閲覧したユーザーの情報を盗んだり、改ざんしたりする攻撃です。WAFは、不審なスクリプトの挿入をブロックします。
-
ブルートフォース攻撃: 総当たり攻撃とも呼ばれ、パスワードなどを何度も試行して不正ログインを試みる攻撃です。WAFは、短時間に大量のログイン試行があった場合にこれを検知し、遮断します。
このように、WAFはWebサイトやWebアプリケーションの脆弱性を狙った攻撃に対して特に効果を発揮します。お客様の大切なデータを預かるクラウドサービスなどにおいて、この門番が24時間体制で目を光らせることは、セキュリティ対策の要であり、非常に重要な役割を担っていると言えるでしょう。
WAF運用の課題とエンジニアの負担
WAFは強力なセキュリティツールですが、その運用にはいくつかの課題が伴い、特に担当するエンジニアにとって大きな負担となっていました。セキュリティレベルを高く設定すると、WAFは「少しでも怪しい」と感じた通信をすべて記録し、担当者に通知します。これは安全性を高める上で必要なことですが、同時に以下のような問題を引き起こしていました。
「誤検知」への迅速な対応
WAFのセキュリティ設定を高くしすぎると、本来は問題のない「正常な操作」にもWAFが過剰に反応してしまうことがあります。例えば、パスワード変更や特定のフォーム送信など、ユーザーが行う通常の操作が、WAFには「攻撃の兆候」と映ってしまうケースです。このような「誤検知」が発生した場合、Webサイトの機能が一時的に停止したり、ユーザーが正常な操作を行えなくなったりする可能性があります。そのため、通知が届くたびに、それが「正規の操作によるものか」それとも「実際のサイバー攻撃によるものか」を迅速に判断し、適切な対応を取る必要がありました。この判断には専門知識と経験が求められ、エンジニアにとって大きなプレッシャーとなっていました。
解析の難解さと膨大な工数
WAFから通知されるログは、通常、URLエンコード（記号化）された難解な文字列で構成されています。これは、Web通信の特性上、情報を効率的に伝達するために行われる処理ですが、人間がそのまま読んでも意味を理解することは非常に困難です。エンジニアは、通知が届くたびに、この記号化された文字列をデコードし、その内容を詳細に精査しなければなりませんでした。この解析作業は非常に時間がかかり、専門的な知識が不可欠であるため、日常業務の多くの時間を費やす原因となっていました。特に、通知が頻繁に発生する環境では、この作業がエンジニアの生産性を著しく低下させていました。
報告業務の精度向上
一部の顧客や社内の経営層からは、Webサイトのセキュリティ状況について、より正確で迅速な報告が求められることがあります。しかし、毎日何十、何百と届く膨大なログの中から、本当に重要な情報だけを抽出し、分かりやすく整理して報告する作業は、非常に手間がかかり、高い精度が求められます。必要な情報を漏れなく、かつ迅速に報告するためには、常に集中力と正確性が求められ、これもエンジニアにとって大きな負担となっていました。
GAS×生成AI「Gemini」による自動判定エンジンの構築
オーエムネットワーク株式会社は、これらのWAF運用の課題を解決するため、既存のWAF設定には一切変更を加えず、通知後の判定工程を自動化する「外付けの判定エンジン」を構築しました。このシステムの基盤となっているのは、Google Apps Script（GAS）と、Googleが開発した高性能な生成AI「Gemini」です。
このシステム構築において最も注目すべき点は、生成AI「Gemini」の活用方法です。通常、このような複雑なシステムの開発には、多くのエンジニアが時間をかけてプログラムコードを記述する必要があります。しかし、オーエムネットワーク株式会社の取り組みでは、Geminiがプログラムコードの大部分を自動生成しました。これにより、エンジニアは生成されたコードの微調整やテストに集中することができ、人間による開発工程をほぼ介さない、極めて短期間でのシステム実装が実現しました。
具体的には、熟練のエンジニアが持つWAFログの判断基準や解析ノウハウをGeminiに学習させ、それを基に自動判定ロジックを設計・検証しました。Geminiは、エンジニアの経験と知識を迅速にプログラムへと落とし込むことで、効率的かつ高度な自動判定エンジンを構築する上で不可欠な役割を果たしたのです。これにより、WAFから送られてくる難解なログを、人間が手作業で解読・判定する手間を大幅に削減することに成功しました。
自動判定システムの主な特徴と導入効果
オーエムネットワーク株式会社が構築した自動判定システムは、WAF運用の効率化とセキュリティレベルの維持に大きく貢献する、以下のような特徴を持っています。
1. 高度なデコードと可視化
WAFから出力されるログは、前述の通り記号化されており、人間には直感的に理解しにくいものです。このシステムは、記号化されたログデータを瞬時に日本語にデコードし、内容を一目で把握できる形に可視化します。これにより、エンジニアはログの内容を読み解くための時間と労力を大幅に削減でき、本来の業務に集中できるようになります。
2. コンテキストによる自動仕分け
システムは、ログの内容だけでなく、その「コンテキスト（文脈）」を理解して自動的に仕分けを行います。例えば、Webサイトの管理画面内で行われた特定の操作や、既知の偵察Botからのアクセスなど、WAFが検知したものの、実際にはセキュリティ上の問題がないと判断できるケースがあります。このシステムは、これらのパターンをロジックに基づいて自動判定し、不要な通知をカットすることで、本当に対応が必要な「重要なアラート」だけを担当者に届けます。これにより、通知の数が激減し、エンジニアが確認すべき情報が明確になります。
3. 特定顧客向けの優先報告
セキュリティ報告の要件がある特定の顧客に対しては、システムが関連するログを自動的に判別し、専用のフラグを付与します。このフラグが付与されたログは、担当者へ即座に通知されるため、顧客への迅速かつ正確なセキュリティ状況報告が可能になります。これにより、報告業務のスピードと精度が向上し、顧客満足度の向上にもつながります。
これらの特徴を持つ自動判定システムの稼働により、これまで毎日10通ほど届いていたWAFからの通知確認が、「数日に一度の例外対応」へと劇的に効率化されました。これは、WAF運用にかかる工数を90%以上削減するという、非常に大きな成果です。セキュリティレベルを維持したまま、運用効率の大幅な改善を実現し、エンジニアの負担軽減と生産性向上に貢献しています。
今後の展望
今回の取り組みを通じて、オーエムネットワーク株式会社は「既存のセキュリティ設定を変えずに、判定工程だけをAIで自動化する」という運用改善のアプローチが、非常に有効であることを確認しました。
今後は、この自動判定エンジンの判定ロジックをさらに蓄積し、洗練させていくことで、より複雑な攻撃パターンや未知の脅威に対する対応スピードの向上を目指します。また、現在の「検知ログの自動判定」に留まらず、WAFが攻撃を検知した後の「初動対応」までを生成AIが支援する仕組みの構築も視野に入れています。これにより、セキュリティインシデント発生時の対応をさらに迅速化し、被害を最小限に抑えることが期待されます。
自動化によって生まれたリソースを、サービスのさらなる改善や新たな価値創造に充てることで、安全性と品質をより高い次元で追求していく方針です。AI技術の進化は、企業のセキュリティ運用に新たな可能性をもたらし続けています。
オーエムネットワーク株式会社について
オーエムネットワーク株式会社は、業務システム開発やシフト管理システム「R-Shift」の提供を通じて、企業の業務効率化を支援しています。
会社名：オーエムネットワーク株式会社
所在地：新潟県新潟市中央区
代表取締役：山岸真也
事業内容：業務システム開発、シフト管理システム「R-Shift」
提供Web：
