ファイアウォール：パケットフィルタリングと次世代型

ファイアウォールは、あらかじめ定義したルールに基づいて送受信トラフィックを監視・制御するネットワークセキュリティデバイス（ハードウェアまたはソフトウェア）です。ファイアウォールは、信頼できる内部ネットワークと信頼できない外部ネットワークの間に配置され、門番の役割を果たします。ファイアウォールは境界防御の基本的な制御手段ですが、暗号化されたチャネルや信頼済みゾーン内でのラテラルムーブメントを利用する現代の攻撃は、ファイアウォールだけでは不十分であり、他の防御層と組み合わせる必要があることを示しています。

パケットフィルタリングファイアウォール（ステートレスファイアウォールとも呼ばれます）は、送信元IP、宛先IP、送信元ポート、宛先ポート、プロトコルなどのヘッダーフィールドに基づき、各パケットを個別に検査します。そして、ACL（アクセス制御リスト）と呼ばれる単純な許可・拒否ルールを適用します。各パケットを独立して検査するため、パケットが確立済みセッションの一部かどうかを追跡できません。そのため、期待されるヘッダー値を偽造する攻撃や、複数パケットの脆弱性を悪用する攻撃に対して脆弱です。

ステートフルインスペクションファイアウォールは、アクティブな接続を追跡するステートテーブルを保持します。パケットが到着すると、ファイアウォールはそのパケットがすでに確立されたセッションに属しているかどうかを確認します。これにより、明示的なルールがなくても戻りのトラフィックを自動的に通過させられます。ステートフルファイアウォールは、パケットフィルターよりもはるかに安全です。有効なセッションに属さないパケット（ステルススキャンで使用される未承諾のACKパケットなど）を検出し、接続単位のポリシーを適用できるためです。

次世代ファイアウォール（NGFW）は、ステートフルな追跡に加えて、ディープパケットインスペクションとアプリケーション認識機能を提供します。NGFWは、単にポートを見るのではなく、プロトコル解析や機械学習を使用して、トラフィックを生成しているアプリケーションを識別できます。NGFWの主な機能には、アプリケーション制御（ポートに関係なくDropboxをブロック）、ユーザーID連携（ADグループに紐付けたルール）、統合IPS、SSL/TLSインスペクションがあります。ベンダーとしては、Palo Alto Networks、Fortinet、Check Point、Cisco Firepowerなどがあります。

ファイアウォールルールは上から下の順序で評価され、最初に一致したルールが適用されます。そのため、より具体的なルールを、より一般的なルールより前に配置する必要があります。最下部にある暗黙のすべて拒否ルールは、明示的に許可されていないトラフィックをすべてブロックします。よくあるミスには、具体的な拒否ルールより前に広範な許可ルールを置くこと、シャドーイング（先行するルールが常に先に一致するため、決して一致しないルール）、そしてアプリケーションが必要とする戻りのトラフィックやICMPエラーメッセージの許可を忘れることがあります。

WAF（Web Application Firewall）はレイヤー7で動作し、SQLインジェクション、XSS、CSRFなどの攻撃からWebアプリケーションを保護するために特化して設計されています。ネットワークトラフィックを広範に保護するNGFWとは異なり、WAFはHTTPとHTTPSのセマンティクスを理解し、URL、ヘッダー、Cookie、リクエストボディを検査します。WAFは、検知モード（ログに記録するがブロックしない）または防止モード（悪意のあるリクエストをブロック）で動作させることができます。AWS WAF、Cloudflare、Impervaは、一般的な商用ソリューションです。

現在ではほとんどのトラフィックがHTTPSで暗号化されているため、脅威がTLSセッション内に隠れている可能性があります。SSL/TLSインスペクション（SSLインターセプションまたは復号とも呼ばれます）を使用すると、NGFWは中間者プロキシとして動作できます。ファイアウォールがクライアントのTLS接続を終端し、平文を検査してから、宛先に向けて再暗号化します。これにより、暗号化トンネル内のマルウェアスキャンやDLPが可能になります。ファイアウォールの証明書はクライアントから信頼される必要があり、通常はGroup Policyを通じて企業デバイスに配布されます。

ファイアウォールは、信頼境界に配置すると最も効果を発揮します。一般的な設計では、インターネットとDMZの間に境界ファイアウォールを、DMZと内部ネットワークの間に内部ファイアウォールを配置します。これにより、スクリーンドサブネットが形成され、外部公開サーバー（Web、メール）が分離されます。そのため、サーバーが侵害されても、攻撃者が内部システムに直接到達することはできません。現代の設計では、ラテラルムーブメントを制限するため、内部セグメント間にもファイアウォールを配置します。

IDS（侵入検知システム）はトラフィックを監視し、疑わしいパターンを識別するとアラートを生成しますが、トラフィックをブロックすることはありません。IPS（侵入防止システム）はインラインに配置され、悪意のあるパケットをリアルタイムで破棄したり、接続をリセットしたりできます。現代のNGFWの多くには統合IPSが含まれています。検知方法には、既知の攻撃パターンと照合するシグネチャベースと、学習したベースラインからの逸脱を検出するアノマリーベースがあります。

UTM（Unified Threat Management）アプライアンスは、ファイアウォール、IPS、アンチウイルス、VPN、Webフィルタリング、場合によってはメールセキュリティなど、複数のセキュリティ機能を1台のデバイスに統合します。UTMは管理を簡素化し、コストを削減できるため、中小企業で広く利用されています。一方で、1台のアプライアンスが単一障害点となり、専用ソリューションほどの性能や機能の深さを提供できない可能性があります。企業環境では、UTMという用語はほぼNGFWに置き換えられています。

Security+試験では、与えられたシナリオに適したファイアウォールの種類を選択する能力が問われます。パケットフィルタリングは高速ですがステートレスで、容易に回避されます。ステートフルインスペクションはセッションを追跡し、現代のネットワークにおける基本となります。NGFWは、アプリケーション認識、ユーザーID、統合IPSを追加するため、企業の境界に適しています。WAFは、レイヤー7のHTTPでWebアプリケーションを特に保護します。常に制御手段を脅威に適合させてください。WAFでポートスキャンを阻止することはできず、パケットフィルターでSQLインジェクションを阻止することもできません。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、パケットフィルタリングファイアウォールはステートレスで、ヘッダーフィールドだけを使って各パケットを評価すること、ステートフルファイアウォールは接続状態を追跡して戻りのトラフィックを許可し、異常なパケットを検出すること、そして次世代ファイアウォールはアプリケーション認識、ユーザーID、統合IPSを追加して、より詳細な検査を行うことを学びました。次は、ネットワークセグメンテーションとVLANについて学びます。