ホストベースファイアウォールとアプリケーション許可リスト

ネットワークファイアウォールはネットワークの境界に配置され、ネットワークセグメント間のトラフィックをフィルタリングします。一方、ホストベースファイアウォールは個々のエンドポイント上で動作し、その特定のマシンとの間のトラフィックをフィルタリングします。ホストベースファイアウォールは多層防御を実現します。攻撃者がVPN、侵害された内部関係者、または別の感染ホストからのラテラルムーブメントによってネットワークファイアウォールを回避しても、ホストファイアウォールがローカルのトラフィックルールを適用します。企業ネットワークの境界外へ持ち出され、信頼できないネットワークに接続されるノートPCでは、特に重要です。

Windows Defender Firewall（WDF）は、最新のすべてのWindowsバージョンに組み込まれているホストファイアウォールです。3つのプロファイルをサポートしています。Domain（企業ドメインに接続 — 通常はより許可的）、Private（信頼できるホームネットワーク）、Public（信頼できないネットワーク — 最も制限が厳しい）です。WDFのルールでは、ポート、プロトコル、アプリケーションパス、リモートIP、ユーザーIDに基づいてフィルタリングできます。Windows Defender Firewall with Advanced Security（WFAS）のMMCスナップインとGroup Policyを使用すると、ドメインに参加しているすべてのマシンのファイアウォールルールをエンタープライズ環境で一元管理できます。

LinuxのホストファイアウォールはNetfilterカーネルフレームワークを使用し、iptables（レガシーですが、現在も広く使用されています）または最新のnftablesで設定できます。ルールは、テーブル（filter、nat、mangle）内のチェーン（INPUT、OUTPUT、FORWARD）に整理されます。デフォルトポリシーはDROPとし、必要なトラフィックに対して明示的なACCEPTルールを設定する必要があります。これはデフォルト拒否の姿勢です。ufw（Ubuntu）やfirewalld（RHEL/CentOS）などの高レベルツールは、内部ではNetfilterを使用しながら、より扱いやすいインターフェースを提供します。

ホストベースファイアウォールはアプリケーション層でルールを適用できます。つまり、単にポートだけでなく、トラフィックを生成したアプリケーションに基づいてフィルタリングできます。Windows Defender Firewallは、アプリケーションベースのルールをサポートしています。たとえば、C:\Program Files\MyApp\app.exeにはアウトバウンド接続を許可し、同じポート上の他のすべての通信をブロックできます。これにより、マルウェアが信頼されたアプリケーションを装って、許可されたポートを乗っ取ることを防止できます。アプリケーション層のルールは、ポートだけに基づくルールよりも大幅に効果的です。ポートだけのルールは、マルウェアを443などの一般的なポートにバインドすることで回避される可能性があるためです。

アプリケーションのallowlisting（以前はwhitelistingと呼ばれていました）は、エンドポイント上で実行できるアプリケーションを、明示的に承認されたものだけに制限するセキュリティ制御です。allowlistにない実行可能ファイルは、マルウェアであるか、単に未承認のソフトウェアであるかにかかわらず、すべてブロックされます。これはマルウェアに対する強力な防御策です。未知の新種やゼロデイのマルウェアであっても、承認済みリストにない限りブロックできるためです。課題は運用面にあります。大規模で変化の多い環境でallowlistを管理するには成熟した変更管理プロセスが必要で、調整が不十分だと大量のサポートチケットが発生します。

AppLockerは、EnterpriseエディションとEducationエディションで利用できる、Windows組み込みのアプリケーション制御機能です。実行を次の基準でフィルタリングします。path（%TEMP%やユーザーが書き込み可能なディレクトリからの実行可能ファイルをブロック）、file hash（既知の安全なハッシュだけを許可）、publisher（MicrosoftやAdobeによって署名されたソフトウェアを許可）。AppLockerポリシーはGroup Policyで展開され、Windows Event Logに記録されます（Event ID 8003 = ブロック）。まずAppLockerをAudit Modeで実行すると、ブロックを適用せずに記録できるため、適用を開始する前にチームでallowlistを調整できます。

WDACはAppLockerを後継する、より強力な機能であり、ユーザー空間ではなくカーネルレベルで適用されます。AppLockerとは異なり、WDACはローカル管理者権限を持つ攻撃者にも回避されにくいため、高セキュリティ環境で推奨される制御です。WDACポリシーはXMLで記述し、MDM（Intune）またはGroup Policyで展開するバイナリポリシーファイルに変換します。また、WDACではIntelligent Security Graph（ISG）との統合も可能です。これはMicrosoftのクラウドレピュテーションサービスを使用して、信頼できる評価を持つソフトウェアを自動的に許可し、allowlistを手作業で管理する運用負担を軽減します。

Allowlistingは強力ですが、運用上の負担が大きくなります。一般的な課題には次のようなものがあります。LOLBins（Living-Off-the-Land Binaries）では、攻撃者がPowerShell、wscript.exe、mshta.exeなど、通常はすべてのallowlistに含まれるWindowsシステムツールを使用します。そのため、実行を許可するかどうかだけでなく、これらのツールの呼び出し方法も制限する必要があります。スクリプト言語（PowerShell、Python）はallowlistに含まれることが多い一方で、悪意のあるコードを実行できます。誤検知、つまりallowlistによって正規のソフトウェアがブロックされると、ヘルプデスクへの問い合わせが増え、制御を緩める圧力につながります。成熟したallowlistingプログラムでは、追加のConstrained Language ModeポリシーによってLOLBinsに対処します。

Allowlistingは明示的に承認された項目だけを許可し、それ以外をすべてブロックするため、より強固なセキュリティ態勢になります。Denylisting（blacklisting）は明らかに悪意のある項目だけをブロックし、それ以外はすべて許可する、従来のアンチウイルスのモデルです。Denylistingは未知の脅威に対しては機能せず、allowlistingはLOLBinsや範囲が広すぎる許可エントリに対しては機能しません。成熟したセキュリティプログラムの多くは、重要なシステムではallowlistingを主要な制御として使用し、許可されたアプリケーションの悪用をbehavioral detection（EDR）で検知します。重要度の低いシステムでは、適切に調整したdenylistと振る舞いの監視の組み合わせが許容される場合があります。

ホストベースファイアウォールとアプリケーションのallowlistingは、相互補完的な多層の制御です。allowlistは未承認のコードが実行されるのを防ぎ、ファイアウォールは、承認済みであっても侵害されたコードによる未承認のネットワーク接続を防ぎます。両者を組み合わせることで、エンドポイントのアプリケーション層とネットワーク層の両方に最小権限の原則を適用できます。さらに第3の層としてEDRを追加すると、多層防御の構成になり、各制御が他の制御の見逃しを補完します。その結果、エンドポイントへの攻撃を成功させるためのコストと複雑さが大幅に高まります。

ホストベースファイアウォールの価値は、生成するログの質に左右されます。攻撃の試行やポリシー違反を記録するため、ブロックされた接続のログ記録を有効にしてください。監査証跡を維持するため、管理ツールを許可するルールなど、機密性の高いルールでは許可された接続のログ記録も有効にしてください。ファイアウォールログをSIEMに転送して相関分析します。1台のホストからアウトバウンド接続のブロックが繰り返し発生している場合、マルウェアがC2へのコールバックを試みている可能性があります。Windowsでは、ファイアウォールログはデフォルトで%systemroot%\System32\LogFiles\Firewall\pfirewall.logに書き込まれるため、Windows Event Forwarding（WEF）またはログエージェントを介して転送する必要があります。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、ホストベースファイアウォール（Windows Defender Firewall、iptables）が、デフォルト拒否の姿勢とアプリケーション単位のルールによってエンドポイントごとにトラフィックをフィルタリングすること、アプリケーションのallowlisting（AppLocker、WDAC）がマルウェアを含む未承認の実行可能ファイルの実行をブロックすること、そしてファイアウォール、allowlisting、EDRの多層化によって多層防御が実現し、攻撃のコストが大幅に高まることを学びました。次は、メール認証のSPF、DKIM、DMARCについて学びます。