Firewall as a Service（FWaaS）とは？

Firewall as a Service（FWaaS）とは？

Firewall as a Service（FWaaS）は、クラウド提供型のネットワークセキュリティモデルであり、トラフィックを検査し、ポリシーを適用し、プロバイダーが運用するインフラストラクチャから攻撃を阻止します。経路上にオンプレミスのアプライアンスは不要です。ポリシーは1つのコントロールプレーンに集約され、分散された適用ポイントが、ユーザーやワークロードの接続先を問わずそれらを適用します。

攻撃者は、突破すべき境界を越える必要はなく、ログインするだけで侵入できます。CISAとFBIは、正規の認証情報を使用して通常のトラフィックに紛れ込んだ Volt Typhoon のような侵害事例を、 共同ネットワークアクセスガイダンス で挙げ、広範なリモートアクセスからの移行を促しています。

ユーザーが企業ネットワークを経由せずにSaaSアプリケーションへアクセスする場合、アプライアンスは、責任を負うべきトラフィックの経路上にもはや存在しません。

Firewall as a Serviceとサイバーセキュリティの関係

FWaaSは、適用が行われる場所と、それを維持する主体を変えます。検査はネットワーク境界からクラウドエッジへ移るため、リモートワーカーがSaaSアプリケーションを開く場合でも、そのセッションが企業ネットワークを通過しなくても同じポリシーが適用されます。ポリシー作成もポリシー適用から分離されます。中央コンソールで一度ルールを作成すれば、プロバイダーがそれを配布するため、本社から支社オフィスのファイアウォール設定が乖離する原因となる構成ドリフトを解消できます。

脅威インテリジェンスも同じ経路をたどります。プロバイダーが配信するシグネチャやインジケーターは、サイトごとの更新時間を調整する必要も、取り残されるサイトもなく、すべての適用ポイントに一度に届きます。 ハードウェアファイアウォールの導入 では、3つすべての場所に穴が残ります。すでに企業ネットワークを経由しないトラフィックが多いほど、その穴は大きくなります。

Firewall as a Serviceの中核コンポーネント

ファイアウォールサービスは、検査エンジン、分散された適用ポイント、中央ポリシープレーン、脅威インテリジェンスフィード、ログ記録層で構成されます。特定の問題がそのどれに属するかを把握すれば、トラブルシューティングもベンダー比較も迅速になります。

1. クラウドネイティブな検査エンジン

検査エンジンはアプリケーション層でトラフィックを読み取り、ディープパケットインスペクション、パケットペイロードのTLS復号、侵入防止を適用します。 NIST SP 800-215 では、次世代ファイアウォールの3つの機能としてこれらを挙げ、クラウドサービスとしての提供、すなわちFWaaSをその導入オプションの1つとして示しています。Firewall as a Serviceのエンジンは伸縮性のあるクラウドコンピュート上で動作するため、検査の深さは、3年前に購入したアプライアンスのシリコン性能に制約されません。

2. 分散された適用ポイント

プロバイダーは地理的に複数の地域で適用ポイントを運用しており、各セッションは宛先に到達する前に、検査のため最寄りのポイントへルーティングされます。この地理的配置により、シンガポールのユーザーが、自席から数マイルの場所でホストされているアプリケーションに到達するために、オハイオのアプライアンスを待つヘアピン経路が解消されます。

3. 一元化されたポリシー管理

ポリシーは1つのコントロールプレーンに存在し、そこからすべての適用ポイントへルールが配信されます。ポリシーの作成と適用は同じ作業ではなくなります。1回の更新が数分以内に反映され、支社の設定を標準に合わせるために、エンジニアが多数のアプライアンスに触れる必要はありません。

4. 脅威インテリジェンスの統合

ファイアウォールサービスプラットフォームは、政府機関、業界共有グループ、ベンダーの調査チームからフィードを取り込み、その後すべての適用ポイントを自動的に更新します。チームはフィード購読の維持やシグネチャ配信のスケジュール調整をしなくて済むようになります。新しいインジケーターは最初の適用時からあらゆる場所で有効になります。

5. ログおよび分析インフラストラクチャ

すべての適用ポイントからのログは、調査、コンプライアンスレポート作成、および他のテレメトリーとの相関分析のために中央ストレージへ集約されます。ログ保持期間、エクスポート形式、クエリ性能は調達要件として扱ってください。これらによって、FWaaSの記録が利用可能な ネットワークセキュリティ の証拠になるのか、単なるストレージ請求になるのかが決まります。

SentinelOneのようなオープンスキーマ上に構築されたプラットフォーム Singularity Data Lake は、それらの記録をエンドポイントおよびアイデンティティのテレメトリーと並べて保持します。これにより、1つのクエリでネットワークイベントとその周辺のエンドポイントアクティビティを対象にできます。

Firewall as a Serviceの仕組み

FWaaSはネットワーク層でトラフィックをインターセプトし、クラウドエッジで検査し、セッションが宛先に到達する前にポリシーを適用します。各接続は、インターセプト、アイデンティティ評価、ポリシーマッチング、検査、アクションの順に処理されます。

1. トラフィックのインターセプト。 ユーザーのデバイスは、エージェントベースのルーティング、DNSベースのリダイレクト、またはサイトからのIPsecトンネルを通じて適用インフラストラクチャに到達します。どのトラフィックも検査を回避しません。
2. アイデンティティ評価。適用ポイントは、ポリシーが適用される前に、ユーザー、デバイスポスチャ、場所、要求されたアプリケーションを解決します。
3. ポリシーマッチング。 システムは、セッションを中央ポリシーセットと照合します。対象は、アプリケーション制御、URLカテゴリ、コンプライアンス要件、脅威防止ルールであり、最も具体的な一致から最も一般的な一致の順に評価されます。
4. ディープパケットインスペクション。 FWaaSはTLSセッションを復号し、アプリケーション層のコンテンツを分析し、Layer 7の可視性のために侵入防止シグネチャを適用します。
5. アクションとログ記録。 FWaaSは、検査結果に基づいてセッションを許可、ブロック、リダイレクト、または分離し、一致したアイデンティティ、アプリケーション、アクション、ルールを含むログエントリを書き込みます。

アイデンティティ評価、ポリシーマッチング、検査はすべてのセッションで繰り返されます。適用ポイントの容量とポリシーの健全性によって、その繰り返しが実際に何かを保護するのか、それともホップを増やすだけなのかが決まります。

FWaaSの中核機能と検査手法

以下の機能はほとんど重複しません。これは調達時に重要です。プロバイダーが省略した機能は、同じ保護の薄い版ではなく、カバレッジ上の穴になります。

• アプリケーション制御とURLフィルタリング: Layer 7検査は、ポート番号ではなく動作パターンによってアプリケーションを識別します。たとえば、どちらもポート443のHTTPSを使用していても、個人用DropboxアカウントをブロックしながらSalesforceを許可できます。
• 侵入防止と検知: シグネチャベースの検知は、既知の攻撃パターンに一致します。振る舞い分析は、ゼロデイ攻撃や高度持続的脅威を示唆する異常を特定します。
• TLS/SSL 復号: FWaaS は TLS 接続を終端し、復号したコンテンツを検査した後、送信のために再暗号化します。これにより、暗号化の中に隠れた脅威を検出できます。現在、これは Web トラフィックの大半を占めています。
• DNS セキュリティ: DNS フィルタリングは、接続が確立される前に悪意のあるドメインをブロックし、マルウェアのコマンド＆コントロール通信やフィッシングの試行を防止します。
• アンチマルウェアとサンドボックス: ファイル検査では、ダウンロードされたファイルをマルウェアのシグネチャについて分析します。不審なファイルは、振る舞い分析のために分離されたサンドボックス環境で実行されます。

ハイブリッドおよびマルチクラウド展開における FWaaS

ほとんどの組織は、オンプレミス インフラストラクチャ、複数のクラウドプロバイダー、そして多数の SaaS アプリケーションを運用しており、ファイアウォールサービスはその 3 つすべてにわたって 1 つのポリシーセットを維持します。プロバイダーは主要なクラウドリージョン内に適用ポイントを配置するため、 マルチクラウド環境 間のトラフィックは、自社のデータセンターにヘアピンで戻すことなく検査されます。オンプレミス統合は通常、サイトから最寄りの適用ポイントまでの IPsec トンネルまたは専用回線を使用します。

難しいのは、作成したポリシーが実際に適用されているポリシーであることを検証することです。リージョン間にまたがる分散管理により、単一の適用ポイントで有効なルールセットの可視性が低下し、設定ミスは依然としてファイアウォール障害の最も一般的な原因です。

Firewall as a Service がネットワーク適用をどう変えるか

作成するルールは、アプライアンスでもクラウドサービスでもほぼ同じに見えます。変わるのは、ルールの下流にあるすべてです。つまり、適用がどこで実行されるか、それを支えるコンピュートがどれだけあるか、そして誰がパッチを適用するかです。

すべてのセッションを復号し、検査し、再暗号化することはコンピュート負荷が高く、アプライアンスは上限に達して、検査カバレッジとスループットのどちらを優先するかの選択を迫られます。クラウドファイアウォールは、そのコンピュートを必要に応じてスケールします。完全な復号を実行するチームは、通常まずクラウドモデルに行き着きます。

Firewall as a Service と SASE アーキテクチャ

Firewall as a service は、SASE アーキテクチャのネットワーク適用レイヤーを提供します。 CISA と FBI のガイダンス では、SASE は 5 つの機能を組み合わせたクラウドアーキテクチャとして説明されています。すなわち、software-defined wide area networking、Secure Web Gateway、Cloud Access Security Broker、Zero Trust Network Access、およびファイアウォールであり、SASE 展開ではファイアウォールはクラウドサービスとして実行されます。そのアーキテクチャのセキュリティ側は security service edge であり、同じガイダンスでは FWaaS をその 4 つのセキュリティ機能の 1 つとして挙げています。

この 2 つの数え方は 1 項目だけ異なり、その項目は SD-WAN です。SD-WAN はセキュリティ機能ではなくネットワーキング機能であるため、5 つからこれを除くと、security service edge を構成する 4 つのセキュリティ機能が残ります。FWaaS がコントロールプレーンを共有するコンポーネントは次のとおりです:

• SD-WAN。サイト間のトラフィックルーティングと WAN パフォーマンスのため。
• Secure Web Gateway。Web アクセス制御、脅威防御、およびデータ損失防止のため。
• Cloud Access Security Broker。SaaS アプリケーション利用の可視化と制御のため。
• Zero Trust Network Access、検証済みのIDとデバイスポスチャに基づくアプリケーションレベルのアクセス判断のために使用されます。

その共有コントロールプレーンにより、SASEセキュリティポリシーの一貫性が維持されます。1つのコンソールでWeb、アプリケーション、ネットワークトラフィックをカバーし、個別のポリシーセットで時間の経過とともに発生するようなルールの乖離を防ぎます。また、1つのコンソールであれば、特定のセッションにどの制御が適用されたかを監査担当者に問われた際にも、1つの回答で済みます。より広範な SASEセキュリティフレームワーク は、同じロジックをIDおよびアプリケーションアクセスにも拡張します。

Firewall as a Serviceの主な利点

FWaaSはハードウェア管理のオーバーヘッドを排除し、トラフィックスパイク時にも自動的にスケールし、数週間ではなく数日で導入でき、連邦セキュリティフレームワークの検証も備えています。

1. 運用の複雑さの軽減: アプライアンスごとの管理が不要になります。50の支社オフィスのファイアウォールを個別に設定する代わりに、ポリシーを一度設定するだけで済みます。クラウドベースのインフラストラクチャは主要なSOC構造となっており、ほとんどの組織が自動応答メカニズムを統合しています。
2. 弾力的なスケーリング: ハードウェアアプライアンスは処理能力が固定されているため、トラフィックスパイク時に障害を起こします。FWaaSはコンピュートリソースを自動的に追加することで水平方向にスケールします。クラウドネイティブアーキテクチャは、プロバイダーがリージョン全体で余剰容量を維持しているため、TLS/SSL復号化のような計算負荷の高い処理をより効果的に処理します。
3. 迅速な導入: 新しい支社オフィスを開設するには、従来、ハードウェアの調達、配送、設置、設定が必要でした。FWaaSでは、ユーザー認証資格情報とポリシー割り当てが必要です。GartnerのMagic Quadrant分析によると、FWaaSの採用は2020年の5%未満から、2026年までに新規の分散型支社オフィス向けファイアウォール導入の30%超へと移行する見込みです。
4. 政府フレームワークによる認知: CISA、FBI、GCSB、CERT-NZ、CCCSによる複数機関のガイダンスでは、FWaaSがZero Trust Network Access、Cloud Secure Web Gateway、Cloud Access Security Brokerと並ぶ中核的なSSEセキュリティ機能として明示的に位置付けられています。NIST SP 800-215は、FWaaSを中核コンポーネントとするSASEフレームワークについて連邦レベルの検証を提供しています。

これらの運用上の利点により、FWaaSは分散型組織にとって魅力的なものになりますが、クラウドネイティブアーキテクチャは従来のファイアウォールにはない新たな複雑さをもたらします。

Firewall as a Serviceの課題と制限

集中型の強制適用は障害も集中させるため、不適切なルールが今や一度に全員に影響を及ぼします。また、他社のインフラストラクチャ上で検査を実行することは、レイテンシ、管轄、アップタイムが自社の管理外になることも意味します。

• 設定の複雑さ。 中央ポリシー管理は、不適切なルールが数分以内にグローバルに伝播するまでは利点です。API駆動の自動化はエラーの余地を広げ、1つの欠陥あるルールがすべてのユーザーに一度に影響を与える可能性があります。自動化されたポリシー検証と、本番環境を反映した非本番環境が必要です。
• リアルタイムアプリケーションに対するレイテンシ。 クラウドの強制適用ポイントを経由するルーティングにより、すべてのセッションに数ミリ秒が追加されます。ほとんどの業務アプリケーションでは問題になりません。リアルタイム音声、取引プラットフォーム、運用技術環境では影響があり、そこでのわずかな増加が機能低下を引き起こします。
• 特殊なコンプライアンスに対する粒度の制限。 標準化されたクラウドプラットフォームは、スケールのためにカスタマイズ性を犠牲にします。PCI DSS、HIPAA、または CMMC に基づくきめ細かなセグメンテーション要件を持つ組織では、補完的なツールなしにファイアウォールサービスだけですべての制御を満たせないことがよくあります。
• データレジデンシーの複雑さ。 検査は強制適用ポイントの場所でデータを処理します。最寄りの強制適用ポイントがGDPR、CCPA、または業界規制で求められる境界の外にある場合、規制対象データを非準拠の管轄区域で処理する可能性があります。導入前に強制適用ポイントの地理的位置を確認してください。
• プロバイダーインフラストラクチャへの依存。 強制適用の可用性は、プロバイダーの可用性そのものです。ベンダー選定の一環としてSLA、冗長化アーキテクチャ、公表されている過去のアップタイムを評価し、リージョン障害時に自社のポスチャがどう見えるかを把握しておく必要があります。
• 非ネットワーク攻撃に対する盲点。 FWaaSはトラフィックを検査します。これは、 endpoint security 制御をすり抜けて実行されるマルウェア、有効な認証情報を保持する攻撃者、またはクラウドワークロードに対するランタイム攻撃を阻止するものではありません。2020年のSolarWinds侵害では、 MITRE ATT&CK documented SolarWinds自身のコード署名証明書で署名されたバックドア、被害環境内の正規ホスト名に一致するよう設定されたコマンドアンドコントロールのホスト名、そして被害者自身の国から引かれたVPNインフラストラクチャが記録されています。これらはいずれもネットワーク検査には異常に見えません。正当に署名されたバイナリを、実行後に何をするかで判断するのは実行レイヤーの作業であり、その役割を担うのが Singularity Endpoint のようなツールです。

これらそれぞれにどれだけのコストがかかるかは、アーキテクチャよりもプロバイダーに大きく依存します。つまり、リスト全体がベンダー選定の議題に載ることになります。

Firewall as a Serviceでよくあるミス

組織がFWaaSで失敗するのは、未検証の設定を導入し、マーケティング上の主張に基づいてベンダーを選定し、法務レビューを省略し、統合の複雑さを過小評価し、ネットワークセキュリティを完全な保護と見なすためです。以下は、よくある5つの主要なミスです:

1. 設定テストなしで導入する: 組織は非本番環境での検証なしに、ポリシーを直接本番環境へ導入します。単一の設定ミスがすべての強制適用ポイントに同時に伝播します。
2. マーケティング上の主張に基づいて選定する: 調達チームは、認知された手法を用いた最新の独立したテスト結果を要求するのではなく、仕様に基づいてベンダーを候補選定します。
3. 調達時に法務レビューを省略する: 組織は、導入前にプロバイダーのデータ処理および保存場所を確認しなかったため、コンプライアンス監査中にGDPRまたはCCPA違反を発見します。
4. 統合要件を過小評価する: チームは統合の複雑さに関するベンダーの予測が正確だと想定し、その後、購入後にSIEMプラットフォーム、IDプロバイダー、エンドポイント保護との非互換性を発見します。
5. 完全なセキュリティスタックを置き換える: 組織はFWaaSを包括的な保護と見なしますが、実際にはネットワークレベルの脅威にしか対処せず、エンドポイント侵害やIDベースの攻撃に対して無防備なままになります。

こうしたミスを回避するには、導入を確約する前に機能を検証する、意図的な調達および展開の実践が必要です。

Firewall as a Serviceのベストプラクティス

ファイアウォールサービスにおける運用上の問題の多くは、誰もテストしていないポリシー変更や、誰にも確認されていないログから始まります。以下の実践はそれに対処するものです:

• 本番の適用ポイントに反映される前に、ステージング環境ですべてのルール変更をテストする自動化されたポリシー検証ワークフローを実行します。
• 未使用、シャドー化、矛盾したルールがないか、定期的にルールセットを監査します。ルールの肥大化は、クリーンなポリシーを静かに予測不能なものへと変えてしまいます。
• 適用ポイントの場所、ログ保存の地理的位置、データ処理の場所を文書化し、法務レビューは契約締結後ではなく評価中に完了させます。
• FWaaSログを SIEMプラットフォーム に接続し、ネットワークイベントをエンドポイントおよびIDシグナルと相関付けられるようにします。
• FWaaSを多層アーキテクチャにおける1つのネットワーク層制御として扱います。これをエンドポイントセキュリティ、 IDおよびアクセス管理、およびクラウドワークロード保護と組み合わせ、ネットワーク検査では見えない攻撃対象領域をカバーします。

すべての項目を、責任チーム名を明記したランブックに落とし込んでください。担当が割り当てられていない検証ワークフローは、1四半期のうちに形骸化するためです。

SentinelOneでネットワークセキュリティを強化

FWaaSはネットワーク経路を保護します。最も深刻な攻撃はその先で動作し、正しく認証される認証情報、有効な証明書で署名されたコード、そして適用ポイントを経由しないワークロードを利用します。これらをカバーするには、同じデータに基づいて動作するエンドポイント、ID、クラウド保護が必要です。

SentinelOneの Singularity Platform は、ファイアウォールサービスでは到達できない攻撃対象領域全体に自律型AI保護を適用します。 Singularity Endpoint は、振る舞いAIを使用して、ランサムウェア、ファイルレス攻撃、ゼロデイエクスプロイトを実行レイヤーで阻止します。これは、検査を通過したペイロードが最終的にその動作に基づいて判断されるポイントです。 Singularity Identity は、認証情報の悪用、あり得ない移動、Active Directoryを介したラテラルムーブメントを検出します。これらの活動は、ファイアウォールサービスには正当な認証済みセッションとして見えます。 Singularity Cloud Security は、ワークロード、コンテナ、Kubernetes環境にランタイム保護を追加します。ここでは、侵害されたエンドポイントから移動する攻撃者は、適用ポイントをまったく通過しません。

相関分析こそが、それらのシグナルを調査へと変えるものです。 Singularity AI SIEM は、FWaaSログをエンドポイント、ID、クラウドのテレメトリーとともに1つのペタバイト規模のデータレイクに取り込み、 Purple AI は、そのデータを自然言語クエリと自律調査によって処理し、手動でデータを収集することなく、単一の不審なネットワークイベントから攻撃チェーンを再構築します。 IDC Purple AI study によると、顧客は脅威の特定を63%高速化し、修復時間を55%短縮しました。

SentinelOneはまた、 Latio's security operations evaluation においてSOC Platform Leaderにも選出されました。これは、EDR、XDR、SIEM、SOAR、MDR機能にまたがるSOCプラットフォームに関する同社初の評価です。 

SentinelOneのデモをリクエスト して、ファイアウォールサービスがカバーできていない領域をご確認ください。

シンギュラリティ・プラットフォーム

リアルタイムの検知、マシンスピードのレスポンス、デジタル環境全体の可視化により、セキュリティ態勢を強化します。

デモを見る