ファイアウォールとは？定義、種類、仕組み

ファイアウォールは、事前に定めたセキュリティルールに基づき、ネットワークの送受信トラフィックを監視・制御する重要なセキュリティ機器です。このガイドでは、パケットフィルタリング、ステートフルインスペクション、アプリケーションレベルのファイアウォールなど、さまざまな種類と、不正アクセスからネットワークを守る役割を解説します。

強固なネットワークセキュリティを維持するための、ファイアウォールの設定・管理のベストプラクティスを紹介します。ファイアウォール技術の最新動向と、組織のデジタル資産を守る方法も確認できます。

ファイアウォールにはどのような種類がありますか？

ファイアウォールには、形態や機能によってさまざまな種類があります。まず基本的な導入形態を示し、次に機能別の種類を説明します。

ファイアウォールの導入形態には、次のものがあります。

• ルーター内蔵型ファイアウォール – 家庭や小規模企業で一般的に使われるインターネットルーターには、通常ファイアウォール機能が内蔵されています。利用者があまり意識せずに小規模ネットワークを保護できますが、専用製品に比べて制御できる範囲は限られます。
• クラウドネイティブファイアウォール – クラウド環境で動作し、仮想化インフラを保護します。あるネットワークを別のネットワークから隔離する従来型ファイアウォールの方式が適さない環境に対応します。
• ホストベースのファイアウォール – 個々のコンピューター上で動作してトラフィックを制御します。独立型やルーター内蔵型のファイアウォールを使用している場合には、第二の防御層となります。WindowsやMacOSなどのオペレーティングシステムには通常、ファイアウォールがプリインストールされていますが、有効化が必要な場合もあります。

ファイアウォールの機能別の種類には、次のものがあります。

• ステートフルインスペクションファイアウォール – 静的パケットフィルタリングファイアウォールと同様に、IPアドレス、ポート番号、通信に使用するプロトコルを検査します。さらに、過去の接続をステートテーブルで追跡します。これにより、システム管理者が設定した一般的なルールに加え、過去の正常な接続や問題のある接続に基づいて動的にフィルタリングできます。
• プロキシファイアウォール – プライベートネットワークとインターネットの間の通信を仲介するプロキシサーバーの一種です。データは転送前にプロキシサーバーでフィルタリングされます。初期からあるデータ保護の方式ですが、現在も広く使われています。
• 次世代ファイアウォール（NGFW） – NGFWシステムには、インテリジェンスに基づくアクセス制御、統合型の侵入防止システム、アプリケーションの識別など、高度なファイアウォール保護機能が含まれます。

ファイアウォールは必要ですか？

スタンドアロン型ファイアウォール– プライベートネットワークとの間で送受信されるインターネットトラフィックをフィルタリングするアプライアンス。この種の専用デバイスは大企業で一般的であり、家庭用インターネット環境などでは通常見られません。

ルーター内蔵ファイアウォール– 家庭や小規模事業所で一般的に使用されるインターネットルーターには、通常ファイアウォール機能が組み込まれています。これにより消費者が意識せずとも小規模ネットワークのセキュリティを確保できますが、専用ソリューションに比べると制御範囲は限定的です。

クラウドネイティブファイアウォール– クラウドベース環境で動作し、仮想化されたインフラを保護します。従来のファイアウォールがネットワーク間の遮断を前提とするのに対し、仮想化環境には不向きな手法です。

ホストベースファイアウォール– ホストベースファイアウォールは個々のコンピューティングデバイス上で動作し、トラフィックを規制します。スタンドアロンファイアウォールやルーターファイアウォールが稼働している場合、第二の防御ラインを提供します。WindowsやMacOSなどのオペレーティングシステムには通常、ファイアウォールがプリインストールされていますが、有効化が必要な場合があります。

はい、ファイアウォールは必要です。インターネットに接続するほぼすべてのコンピューティングデバイスに必要です。お使いのコンピューターとインターネットの間にも、すでにファイアウォールがある可能性が高いでしょう。

家庭用ルーターでは通常、ファイアウォールがデフォルトで有効になっています。また、ISPがクラウドベースのファイアウォールを使い、悪意のあるトラフィックが利用者のシステムに届くのを防いでいる場合もあります。ホスト側では、WindowsとMacOSの両方にファイアウォールが用意されていますが、デフォルトでは有効になっていない場合があります。企業では通常、ファイアウォール機能付きルーターや独立型の機器を使用します。Facebookなど、業務上不要と判断されたサービスにアクセスできないのは、その一例です。

この基本的なデータ保護がなければ、IoT（モノのインターネット）機器やネットワーク機器を含むデバイスは、外部からの脅威にさらされやすくなります。ファイアウォールは制約となる場合があり、性能に影響することもありますが、それでも導入する価値があります。

静的パケットフィルタリングファイアウォール（ステートレス検査ファイアウォールとも呼ばれる） – 送信元と宛先に基づいて、ネットワークを横断する個々のパケットをすべてチェックします。フィルタリングは、IPアドレス、ポート番号、使用中のプロトコルに基づいて実行されます。ルール（アクセス制御リストとして知られる）はシステム管理者によって設定され、必要に応じて変更可能です。過去の接続やデータコンテキストは追跡・考慮されないため、高速だが比較的洗練されていないフィルタリング手法となります。

ステートフルインスペクションファイアウォール– ステートフルインスペクションファイアウォールは、静的なパケットフィルタリングファイアウォールと同様に、送信に使用されるIPアドレス、ポート番号、プロトコルを検査します。ただし、ステートフルインスペクション手法では、状態テーブルで過去の接続も追跡します。これにより、システム管理者が設定した一般的なルールと組み合わせて、過去の正常な接続や問題のある接続に基づいて動的なフィルタリング手法が可能になります。

プロキシファイアウォール – プライベートネットワークとインターネット間の接続において仲介役として機能するプロキシサーバーの一種です。データは転送前にプロキシサーバーでフィルタリングされます。初期の形式のデータ保護手段であるプロキシファイアウォールは、現在も広く使用されています。

次世代ファイアウォール（NGFW）– NGFWシステムには、インテリジェンスベースのアクセス制御、統合型侵入防止システム、アプリケーション認識機能など、高度なファイアウォール保護機能が搭載されています。

ファイアウォールはシステムをサイバー脅威から守れますか？

ファイアウォールは、ネットワーク、クラウドインフラ、個々のホスト（コンピューター）への侵入を防ぐ有効な手段ですが、すべての脅威を排除できるわけではありません。ここで説明するように、サイバー攻撃の形態は多様です。インターネットからネットワークに侵入する攻撃だけではありません。

ソーシャルエンジニアリングやアカウントの侵害によって、侵入者がネットワークへのログインに必要な認証情報を入手することがあります。その後、マルウェアをインストールし、内部で深刻な被害を引き起こす可能性があります。エクスプロイトでは、未知または未修正の脆弱性が攻撃に利用されます。サービス拒否攻撃では、ネットワークに大量のトラフィックを送り込み、ほぼ使用不能にします。ファイアウォールを適切に設定・維持していても、脅威の緩和と対応には常に警戒が必要です。

ファイアウォールで業務上不要なサイトや露骨なコンテンツを含むサイトへのアクセスを制限

この記事では主に、悪意のある攻撃者やデータソースからの侵入に対する、サイバーセキュリティの第一の防御層としてファイアウォールを説明しています。一方、家庭や学校では、子どもが露骨なコンテンツを閲覧しないようにするペアレンタルコントロールとしても使われます。

企業では、生産性を高め、不要なデータ使用を抑えるため、従業員が業務用コンピューターで利用できるウェブサイトを制限できます。もちろん、スマートフォンが普及した現在、従業員は通常こうした制限を回避できます。ただし、その場合は少なくとも会社のネットワーク帯域を圧迫しません。もっとも、通常は大きな懸念ではありません。

この文脈でプロキシサーバーを使うことには、少し皮肉な面があります。あるファイアウォールを回避するために、別の種類のファイアウォールとして使える技術を利用するからです。正当な用途であれ、犯罪目的であれ、その中間であれ、インターネット技術には多くの機器やプログラムが組み合わされています。それでも、膨大な距離を驚くほど高速でデータ転送できるのです。

この基本的なデータ保護がなければ、IoT（モノのインターネット）デバイスやネットワーク機器を含むデバイスは、外部からの脅威に対してより脆弱になります。ファイアウォールは時に制限的であり、パフォーマンスを阻害することさえありますが、この種のフィルタリング装置はトレードオフの価値があります。

まとめ | ファイアウォールはサイバーセキュリティの重要な第一歩

ファイアウォールには長い歴史があり、30年以上にわたってネットワークを保護してきました。それでも、今なお有用かどうかという議論は続いています。インターネットからネットワークの境界を直接攻撃することは、サイバー攻撃の唯一の侵入経路ではないからです。

実際、ルーターのセキュリティは突破される可能性があります。それでも、この基本的な保護は多くの脅威を防ぐうえで有用です。サイバーセキュリティ全体には、ファイアウォールだけでは不十分です。適切なチームとツールがあればサイバー脅威を阻止できますが、ネットワークを守る担当者は常に警戒を続ける必要があります。

ソーシャルエンジニアリングやアカウント侵害により、侵入者はネットワークにログインするための認証情報を入手し、内部で大混乱を引き起こすマルウェアをインストールする可能性がある。エクスプロイト攻撃は未知または未修正の脆弱性を悪用し、サービス拒否攻撃はネットワークにトラフィックを集中させて機能不全に陥らせます。適切に設定・維持されたファイアウォールがあっても、脅威の軽減と対応には常に警戒が必要です。

ファイアウォールは非生産的・露骨なサイトへのアクセスを制限可能

本記事では主に、サイバーセキュリティにおける第一防衛線として、悪意ある攻撃者やデータソースからの侵入を防ぐファイアウォールについて論じています。しかし家庭や学校環境では、児童が露骨なコンテンツを閲覧できないよう、ペアレンタルコントロールとしてファイアウォールが導入されるケースもあります。

企業環境では、職場が業務用コンピュータでの従業員のウェブサイト利用を制限し、生産性向上と不要なデータ使用の抑制を図ることがあります。もちろん、スマートフォンが普及した現代では、従業員はこうした生産性制限を回避できる場合が一般的です。少なくとも会社の帯域幅を圧迫することはありませんが、これは通常大きな懸念事項ではありません。

この文脈でプロキシサーバーを利用することには、ある種の皮肉を感じられるかもしれない。なぜなら、ある種のファイアウォールとして機能する技術を、別のファイアウォールを突破するために導入することを意味するからだ。インターネット技術は、それが正当なものか犯罪的なものか、あるいはその中間的なものかに関わらず、膨大な距離を驚異的な転送速度でデータを送信するために寄せ集められた機器やプログラミングの量を考えると、驚くほどよく機能している。

結論 | ファイアウォールはサイバーセキュリティにおける良い第一歩です

ファイアウォールはコンピューティングにおいて豊かな歴史を持ち、30年以上にわたりネットワークの安全を守ってきました。しかし、ファイアウォールが今なお有用かどうかについての議論は今日まで続いています。結局のところ、インターネットからネットワーク境界を直接攻撃することは、サイバー攻撃の脅威ベクトルとしては決して唯一のものではありません。

現実には、ルーターのセキュリティは無効化される可能性がありますが、この基本的な防御手段は依然として多くの脅威を撃退するのに有用です。総合的なサイバーセキュリティにはファイアウォール以上の対策が必要です。適切なチームとツールを整備すればサイバー脅威は防げますが、ネットワーク防御者は常に警戒を怠ってはなりません。

"