ファイアウォール

ファイアウォールの基礎

ファイアウォールは、インターネットなどの信頼できないと思われる外部ネットワークから信頼できる内部ネットワークを切り離すネットワーク セキュリティ デバイスです。事前設定済みのセキュリティルールに基づいて、出入りするネットワークトラフィックを規制します。ファイアウォールは、不正アクセス、有害なアクティビティ、潜在的な脅威からのネットワークの保護を重視するものであり、ハードウェア、ソフトウェア、Software-as-a-Service（SaaS）、パブリックまたはプライベート（仮想）クラウドの形態を取っています。

ファイアウォールは、ネットワークパケットを精査してセキュリティポリシーを導入することにより、承認されていないユーザーや悪影響を及ぼす可能性があるデータがネットワークを出入りするのを効果的に防ぎます。特に、ファイアウォールはゲートキーパーとして機能し、各ネットワークパケットを精査したうえで、事前設定済みのルールに基づいてそれらのパケットを許可するのかブロックするのかを決定します。これにより、安全で正当と思われるトラフィックのみをファイアウォールで許可できます。

このようなコア機能に加え、今日の次世代ファイアウォール（NGFW）は、ネットワークセキュリティを強化する幅広い機能を備えています。このような機能としては、ディープ パケット インスペクション、アプリケーションの可視化と制御、侵入の検知と防御、マルウェア防御、URL フィルタリングなどが挙げられます。

Cisco Secure Firewall：防御の最前線

ファイアウォールのタイプ

パケット フィルタリング ファイアウォール

このファイアウォールは、ファイアウォールを通過するデータの各パケットを精査し、送信元 IP アドレス、宛先 IP アドレス、ポート番号、プロトコルタイプなどのパラメータに基づいてフィルタ処理します。このファイアウォールは、比較的シンプルでコスト効率に優れていますが、パケットの内容を調べることができないため、高度な攻撃に対する効果が高くありません。

プロキシファイアウォール

プロキシファイアウォールは、初期型のファイアウォールデバイスであり、特定のアプリケーションに対するネットワーク間のゲートウェイとして機能します。プロキシサーバーは、ネットワーク外部からの直接接続を防ぐことにより、コンテンツキャッシングやセキュリティなどの追加機能を提供できます。ただし、これにより、スループット能力やサポートできるアプリケーションに影響が及ぶこともあります。

ステートフル インスペクション ファイアウォール

現在、従来型のファイアウォールとみなされているステートフル インスペクション ファイアウォールは、状態、ポート、プロトコルに基づいてトラフィックを許可するかブロックします。このファイアウォールは、接続の開始から終了までのすべてのアクティビティを監視します。フィルタリングは、管理者が定義するルールとコンテキスト（同一の接続に属する以前の接続やパケットの情報を使用すること）の両方に基づいて決定されます。

Web アプリケーション ファイアウォール（WAF）

Web アプリケーション ファイアウォールは、内外のネットワークの仲介者としての役割を果たし、内部ネットワーク代わってすべての通信要求を処理します。このファイアウォールは、パケットの内容を調べて悪意のあるデータや不正なデータを除外できるため、高度なセキュリティが実現します。ただし、プロキシサーバーに依存するため、遅延が生じてネットワークのパフォーマンスに影響が及ぶ可能性があります。

統合脅威管理（UTM）ファイアウォール

一般に UTM デバイスでは、ステートフル インスペクション ファイアウォールの機能と、侵入防御やウイルス対策の機能が緩やかに組み合わされています。また、追加のサービスが組み込まれている場合があります。クラウド管理が組み込まれていることもよくあります。UTM では、シンプルであることと、使いやすいことに重点が置かれています。

UTM デバイスの詳細はこちら

次世代ファイアウォール（NGFW）

次世代ファイアウォール（NGFW）は、従来のステートフル ファイアウォールより優れた機能を備えたネットワーク セキュリティ デバイスです。一般的に、従来のファイアウォールは、出入りするネットワークトラフィックに対してステートフル インスペクションを実行しますが、次世代ファイアウォールには、アプリケーションの認識と制御、侵入防御システム（IPS）、地理位置情報や評判に基づいた URL フィルタリング、脅威インテリジェンスなどの追加機能が搭載されています。NGFW は、連続的な攻撃全体を防ぐ統合型のポリシーで管理を容易にし、複雑性を低減できます。

次世代ファイアウォールの詳細はこちら

仮想ファイアウォール

仮想ファイアウォールは、一般的に仮想アプライアンスとして展開され、VMware ESXi、Microsoft Hyper-V、KVM、OpenStack、Nutanix をベースとするプライベートクラウド環境にオンプレミスでホストできます。また、Amazon Web Services（AWS）、Microsoft Azure、Google Cloud Platform（GCP）、Oracle Cloud Infrastructure（OCI）などのパブリック クラウド インフラストラクチャに展開することも可能です。仮想ファイアウォールを使用すれば、一元的なポリシー制御、中央管理、高度な脅威防御によってマルチクラウド環境全体のアプリケーションとデータを保護できます。

パブリッククラウド向けとプライベートクラウド向けの仮想ファイアウォールの詳細はこちらとこちら

クラウドネイティブ ファイアウォール

クラウドネイティブ ファイアウォールは、アプリケーションとワークロード インフラストラクチャを保護する方法を大規模に最新化します。クラウドネイティブ ファイアウォールは自動拡張機能を備えており、ネットワーキング運用チームとセキュリティ運用チームはすばやく作業を進めることができます。このファイアウォールは、俊敏で柔軟なセキュリティ、マルチテナント機能、スマートロードバランシングをサポートします。

ファイアウォールの仕組み

ファイアウォールの仕組みを理解することは、サイバーセキュリティ対策を強化しようとしている企業と個人の両方にとってきわめて重要です。ファイアウォールは、事前定義済みのルールに基づいて動作します。データパケットがネットワークを移動すると、ファイアウォールはパケットヘッダーを精査して規定のルールと比較します。パケットは、ルールに一致していると、設定されているポリシーに基づいて許可されるか拒否されます。

ステートフル インスペクションは、ネットワーク接続の状態を監視し、豊富な情報に基づいて許可またはブロックするパケットを決定できるようにする、高度なファイアウォール テクノロジーです。ステートフル インスペクション ファイアウォールは、通信セッション全体を監視することにより、IP スプーフィングやセッションハイジャックなどのさまざまな攻撃を検出して防止します。

ディープ パケット インスペクションは、ヘッダー情報に加えて、パケットの実際の内容を分析することでファイアウォール セキュリティを強化します。この機能により、ファイアウォールはパケットのペイロードを調べ、悪意のあるコードや禁止されているファイルタイプなど、特定の種類のトラフィックを特定してブロックできます。

ファイアウォールのポリシーと設定は、ファイアウォールの動作を定め、許可またはブロックするトラフィックを決定します。これらを組織のセキュリティ要件に合致させるには、定期的にレビューして更新する必要があります。

ファイアウォールの重要性

ファイアウォールを導入すれば、ネットワークと機密データのセキュリティを大幅に強化できます。ファイアウォールは多く見られるネットワーク脅威や攻撃を防御するため、サイバー脅威が高度化する中で不可欠なものとなっています。

また、ネットワークセキュリティの範囲を超えて、組織におけるコンプライアンス要件への対応や業界のベストプラクティスへの準拠を支援します。多くの規制の枠組みでは、機密性の高い顧客情報を保護するためにファイアウォールの使用が義務付けられていますが、ファイアウォールを導入することにより、組織はこうしたコンプライアンス要件に対応して罰金を科される可能性を回避できます。

適切なファイアウォールを選択するには、求められているセキュリティレベル、ネットワークパフォーマンス、拡張性、管理のしやすさなどの要因について慎重に検討する必要があります。組織に最適なファイアウォール ソリューションを選択するにあたっては、組織に固有のニーズを評価して IT プロフェッショナルに相談することがきわめて重要です。

ファイアウォールのベストプラクティス

ネットワークを保護するには、ファイアウォールのベストプラクティスを導入することが重要です。ファイアウォールを適切に設定して管理するとともに、定期的に更新プログラムやパッチを適用し、ファイアウォール アクティビティの監視と監査を行うことが不可欠です。

ファイアウォールルールの設定と管理

効果的なネットワークセキュリティを実現するには、ファイアウォールルールを適切に設定する必要があります。組織のニーズの変化や脅威の状況の進化に適合するように、これらのルールを定期的にレビューして更新することが重要です。

ファイアウォールへの定期的な更新プログラムやパッチの適用

その他のソフトウェアと同じように、ファイアウォールでも、脆弱性に対処して最適なパフォーマンスを維持するために、定期的に更新プログラムやパッチを適用する必要があります。一貫した更新プログラムとパッチの管理プロセスを導入することにより、セキュリティ侵害や潜在的なエクスプロイトのリスクを最小限に抑えます。

ファイアウォールを更新する理由トップ 5 を見る

ファイアウォール アクティビティの監視と監査

ファイアウォールのログやアラートを定期的にレビューすることにより、不審なアクティビティや不正なアクティビティを特定できます。さらに、潜在的な脅威をすみやかに検出してそれらに対応できる、リアルタイム モニタリング ソリューションの導入を検討します。ファイアウォールの設定とポリシーを監査すれば、ネットワークを外部に公開されたままの状態にしてしまう可能性がある設定不備やルールの競合を特定できます。

これらのベストプラクティスに従うことにより、ネットワークのセキュリティを大幅に強化して貴重なデータを保護できます。