トラフィックの門番としてのファイアウォール

ファイアウォールは、ネットワークへの出入りを許可する通信を制御する機器またはソフトウェアであり、セキュリティの門番として機能します。あらかじめ定めたルールに照らしてパケットを検査し、それに応じて許可またはブロックします。ファイアウォールはネットワーク防御の中核であり、内部ネットワークとインターネットの接続点のような境界に配置して、不要な通信の侵入を防ぎます。

ファイアウォールはルールセット（アクセス制御リストとも呼ばれます）を適用します。各ルールでは、送信元と宛先のIPアドレス、ポート番号、プロトコルなどの条件に基づいて、通信を許可するか拒否するかを定めます。ファイアウォールはルールを上から順に照合し、最初に一致したルールに従って処理します。これにより、管理者は許可する通信を正確に定義できます。

ファイアウォールの基本原則に暗黙の拒否があります。明示的に許可されていないものは、デフォルトでブロックされます。そのため、特定の種類の通信を許可するルールがなければ、ファイアウォールはその通信を拒否します。このデフォルト拒否の方針は、すべてを許可して例外だけをブロックするよりも安全です。ルールの設定を忘れた場合でも、開放状態ではなく閉鎖状態、つまり安全な状態になります。

最も単純なファイアウォールは、ステートレスパケットフィルタリングを行います。IPやポートなどのヘッダーフィールドに基づき、過去の通信を記憶せず、各パケットを個別に判断します。ステートレスフィルタリングは高速ですが、既存の正当な通信の一部なのか、外部から不正に侵入しようとする要求なのかを判別できないため、機能に制限があります。

より高機能なファイアウォールはステートフルインスペクションを使用し、アクティブな接続の状態をテーブルで追跡します。コンピューターが通信を開始すると、ファイアウォールはその通信を記憶し、対応する返信を自動的に許可します。一方、既知のセッションに属さない一方的な受信通信はブロックします。ステートフルファイアウォールは、ステートレスなものより賢く安全であるため、現在の標準となっています。

次世代ファイアウォール（NGFW）は、アプリケーション層まで通信を検査します。特定のアプリケーションを識別したり、ユーザー単位でフィルタリングしたり、マルウェアをブロックしたりでき、侵入防止機能を備えることもあります。NGFWはポートやIPだけでなく、通信の実体が何であるかまで把握できるため、同じポートを使う通信でも、Web閲覧は許可しながら危険なアプリケーションはブロックするといった細かな制御が可能です。

ファイアウォールは、配置場所によって2種類に分けられます。

• ネットワークファイアウォール — ネットワークの境界でネットワーク全体を保護します。専用アプライアンスであることが一般的です。
• ホストファイアウォール — WindowsやLinuxに組み込まれているファイアウォールのように、1台のデバイス上で動作するソフトウェアです。

両方を使うことで多層防御が実現します。ネットワークファイアウォールが境界を守り、ホストファイアウォールが各デバイスを個別に保護します。

ファイアウォールは信頼境界に配置します。最も重要なのは、内部ネットワークとインターネットの間です。一般的な設計では、DMZ（非武装地帯）という緩衝ネットワークを使用します。DMZにはWebサーバーやメールサーバーなど、外部公開するサーバーを配置し、ファイアウォールルールによって内部LANから分離します。こうすることで、公開サーバーが侵害されても、内部ネットワークはもう1つの防御層によって保護されます。

ファイアウォールは、さまざまなセキュリティ業務を担います。

• インターネットからの一方的な受信接続をブロックします。
• 送信通信を承認済みのサービスに制限します。
• 内部のゾーン同士を分離します。
• 監視やインシデント対応のために通信をログに記録します。

これらの機能により、ファイアウォールは組織のセキュリティポリシーを適用する中心的な役割を果たします。

ファイアウォールは、検知システムと組み合わせて使われることがよくあります。IDS（Intrusion Detection System）は通信を監視し、不審な活動を警告しますが、ブロックはしません。IPS（Intrusion Prevention System）は通信経路上に配置され、検知した脅威を積極的にブロックできます。ファイアウォールが許可・拒否のルールを適用するのに対し、IDS/IPSは許可された通信の中から攻撃パターンを探します。現在のNGFWにはIPS機能が組み込まれていることも多く、門番としての機能と脅威のブロックを兼ね備えています。

試験対策として、ファイアウォールはIP、ポート、プロトコルに基づくルールで通信を許可または拒否し、暗黙の拒否に従うことを理解しておきましょう。また、ステートレスまたはステートフルであり、NGFWではアプリケーション識別機能が追加されます。ネットワークファイアウォールとホストファイアウォールの違い、および公開サーバーにDMZを使用する役割も理解しましょう。ファイアウォールは、ネットワーク境界を通過できる通信を制御する門番です。

ファイアウォールに関する知識を確認しましょう。

ファイアウォールは、IP、ポート、プロトコルに基づくルールセットで通信を許可または拒否し、許可されていない通信を暗黙の拒否によってブロックすることを学びました。ステートレスフィルターは各パケットを単独で判断しますが、ステートフルファイアウォールは接続を追跡して正当な返信を許可するため、現在の標準となっています。NGFWはアプリケーション層の識別機能と侵入防止機能を追加します。ファイアウォールにはネットワークアプライアンス型とホストソフトウェア型があり、信頼境界に配置され、DMZを使って公開サーバーを分離します。