ネットワーク管理 ─ ファイアウォール・IDS/IPS

学習目標

本講を終えると、以下の問いに学術的な言葉で答えられるようになります。

• ファイアウォール(firewall) の役割を 境界防御(perimeter defense) と 許可/拒否ルールの適用 の観点から説明できる
• パケットフィルタ型、ステートフルインスペクション型、アプリケーションゲートウェイ型(プロキシ型)、次世代ファイアウォール(NGFW) の4世代を、参照するレイヤと判定材料の観点から区別できる
• ホワイトリスト方式(ポジティブセキュリティモデル) と ブラックリスト方式(ネガティブ) の違いを述べ、ファイアウォールがホワイトリストを採る理由を説明できる
• DMZ(DeMilitarized Zone) の3区画構成(外部 / DMZ / 内部) と、公開サーバを DMZ に置く設計上の理由を説明できる
• iptables / nftables / pf / Windows Defender Firewall 等の実装名と、その書式の例を読める
• IDS(Intrusion Detection System) と IPS(Intrusion Prevention System) の違いを、ミラーポート(プロミスキャスモード) vs インライン の接続方式と 検知のみ vs 検知+遮断 の機能差で説明できる
• シグネチャベース(パターンマッチング) と アノマリベース(振る舞い検知) の長所短所、および フォールスポジティブ / フォールスネガティブ のトレードオフを述べられる
• WAF(Web Application Firewall) が L7 で検知する攻撃(SQL インジェクション・XSS など) の例と、通常のファイアウォールとの守備範囲の違いを述べられる
• 運用視点として SOC(Security Operation Center) と SIEM(Security Information and Event Management) の役割を概説できる

このレッスンの目次

なぜ「境界に1台」を置くのか

大きな図 ① 境界に立つファイアウォール

図の見方:インターネットから到着するパケットは正規ユーザのものと攻撃者のものが混在している。ファイアウォールは 1パケットごと にルール表と突き合わせ、合えば緑色の PERMIT で内部へ通し、合わなければ赤色の DROP/REJECT で破棄する。「インターネットと内部の唯一の関所」になることが境界防御の前提条件。

3つの設計原則

考えてみよう: 大学のキャンパス LAN にもファイアウォールがあります。あなたが研究室から学外のサービスに接続するとき、何 GB ものトラフィックが、たった数台の関門装置を通り抜けています。「全パケットを1台で検査する」処理性能を担保するために、ファイアウォールは 専用 ASIC や高速 NIC を載せた専用機がほとんどです [要確認:機種により実装は異なる]。

ファイアウォールの4世代 ── どこまで覗くか

パケットフィルタ型(static / stateless packet filter)

もっとも素朴なタイプ。1 パケットの IP / TCP / UDP ヘッダだけ を見て、IP アドレス・ポート番号・プロトコル番号・TCP フラグ を判定します。状態(コネクション履歴) は持ちません。「来たパケット 1 個ずつを独立に判定する」だけ。

• 判定材料: 送信元 IP / 宛先 IP / 送信元ポート / 宛先ポート / プロトコル(TCP・UDP・ICMP) / TCP の SYN・ACK ビット
• 長所: 高速・実装シンプル・ルータ機能との親和性が高い
• 短所: 戻りパケットの判定が困難。「内→外の TCP 通信は許可するが、外→内のすべての TCP 開始を拒否」のようなルールを書こうとすると、戻ってくる ACK パケットまで止まってしまう。これを避けるためにルールが複雑化しやすい
• 例: 古典的な Cisco IOS の ACL、Linux の旧 ipchains

ステートフルインスペクション型(stateful inspection)

1990年代半ば(Check Point FireWall-1 が代表) に確立された方式。コネクション(セッション) の状態を内部のステートテーブルで管理 し、「今このコネクションは確立済みか?」「内部から発信したセッションへの応答か?」を判断します。今日のファイアウォールはほぼ全てこれ以降の方式です。

• 判定材料: 上記に加えて コネクション状態(NEW・ESTABLISHED・RELATED・INVALID)
• 長所: 「内部→外部の発信は自由、その応答パケットだけ自動で許可」という直感的なルールが書ける。戻りパケットを書かなくて済む
• 短所: ステートテーブルがメモリを消費。大量同時接続で枯渇するリスク。L7 の中身までは見ない
• 例: Linux iptables/nftables、OpenBSD pf、Cisco ASA、Check Point

アプリケーションゲートウェイ型(プロキシ型)

HTTP・SMTP・FTP など プロトコルごとに専用のプロキシ を持ち、クライアントとサーバの代わりに自分が中継して通信を再構築 します。クライアントは「ファイアウォールとコネクション確立」、ファイアウォールが「サーバとコネクション確立」── 2本のコネクションを跨ぐ仲介役です。

• 判定材料: アプリケーション層のメッセージ全体(HTTP のメソッド・URI・ヘッダ・ボディなど)
• 長所: プロトコルごとのきめ細かな制御、不正な書式や危険なコマンドの遮断、ログの粒度が細かい
• 短所: プロトコルごとにプロキシを実装する必要があり、新規プロトコルへの追従が遅い。コネクション 2 本分の処理で性能低下
• 例: Squid(HTTP プロキシ)、メールゲートウェイ製品全般

第4世代:次世代ファイアウォール(NGFW, Next-Generation Firewall)

2000年代末以降の主流。ステートフル機能を土台に、(a) アプリケーション識別(App-ID)、(b) ユーザ識別(User-ID; Active Directory 等と連携)、(c) 侵入防御(IPS) 機能の統合、(d) URL フィルタリング、(e) TLS インスペクション(復号して中身を見る) といった機能を組み合わせます。

• 判定材料: L3〜L7 すべて。ポート番号ではなく 「これは Skype のトラフィックだ」「これは社員 山田 の通信だ」 といった意味的な識別ができる
• 長所: ポート番号偽装をすり抜ける現代的な攻撃に対応。1 台で IDS/IPS/URL/AV まで集約できる(運用が楽)
• 短所: 高価。TLS インスペクションはプライバシ・性能・証明書管理の課題。誤検知時の影響が大きい
• 例: Palo Alto Networks PA シリーズ、Fortinet FortiGate、Cisco Firepower、Check Point Quantum [要確認:製品ラインアップは年々変動]

判定材料の参照範囲(レイヤ別)

図の見方:横がファイアウォールの世代、縦が参照レイヤ。世代が進むにつれ「より上のレイヤ」「コネクション状態」「ユーザ ID」までを判定材料にできるようになる。同時に必要な処理コストも増える ── たとえば NGFW で TLS インスペクションを有効にすると、暗号通信を一旦復号→検査→再暗号化するため、スループットが大きく落ちる場合がある [要確認:具体値は機種・条件依存]。

ステートフル動作 ── 5 ステップの判定フロー

walkthrough:HTTPS リクエストの判定フロー

図の見方:左の内部 PC から右の Web サーバへ向かう①の SYN を、ファイアウォールが②でルール照合・状態登録・送出し、戻ってきた③の SYN+ACK は 状態を見るだけで通過(ルール照合は省略) する。これが「内→外は許可、外→内は応答だけ通す」を1行で書ける理由。

ホワイトリスト方式(ポジティブセキュリティ)

DMZ ── 公開サーバを置く第3区画

大きな図 ② 3区画 DMZ 構成

図の見方:外部 → DMZ は 公開サービスのポートだけ を許可。DMZ → 内部 は 業務上どうしても必要なもの(例:Web サーバが社内 DB を引く必要があるなら、DB のポートだけ) に限定。外部 → 内部直接 は完全禁止。これにより、万一 Web サーバが侵害されても、攻撃者の足場は DMZ 止まりになり、内部 LAN への横展開を遅らせられる。

2台構成と1台構成(3レッグ型)

実装と書式 ── iptables / nftables / pf / Windows Defender Firewall

Linux: iptables(古典)

# デフォルト DROP(ホワイトリスト)
iptables -P INPUT   DROP
iptables -P FORWARD DROP
iptables -P OUTPUT  DROP

# 内→外:確立済みセッションの応答を許可(ステートフル)
iptables -A INPUT  -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED,NEW -p tcp --dport 443 -j ACCEPT

# 内部 LAN からの DNS は許可
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

Linux: nftables(後継・推奨)

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif "lo" accept
  }
  chain output {
    type filter hook output priority 0; policy drop;
    ct state new,established tcp dport 443 accept
    udp dport 53 accept
  }
}

OpenBSD / macOS: pf(Packet Filter)

set skip on lo
block all
pass out proto tcp to any port 443 keep state
pass out proto udp to any port 53 keep state

Windows: Windows Defender Firewall(PowerShell)

New-NetFirewallRule -DisplayName "Allow HTTPS Out" `
  -Direction Outbound -Action Allow `
  -Protocol TCP -RemotePort 443

Set-NetFirewallProfile -Profile Domain,Public,Private `
  -DefaultInboundAction Block -DefaultOutboundAction Block

tcp  6 431999 ESTABLISHED src=192.168.1.10 dst=203.0.113.5 sport=51234 dport=443 src=203.0.113.5 dst=192.168.1.10 sport=443 dport=51234 [ASSURED] mark=0 use=2

IDS と IPS ── ルールの外側を見張る

大きな図 ③ 接続方式の違いを動かして見る

下のアニメーションは、攻撃通信(赤いパケット) が IDS の場合は 素通り(アラートのみ)、IPS の場合は その場で遮断 される様子を示します。再生・一時停止・最初から、で観察してみてください。

図の見方:上段の IDS は経路の 傍ら にいて、スイッチがミラー(SPAN) で送ってくる コピー を観察する。攻撃パケット(赤) は標的サーバまで素通りし、IDS は事後的にアラートを上げる ── 検知は早いが 止められない。下段の IPS は 経路上に挿入 されており、攻撃パケットを その場で破棄 する ── 防げるが、IPS の障害は通信全断のリスク。

検知方式 ── シグネチャ vs アノマリ

シグネチャベース(パターンマッチング)

既知の攻撃を 「攻撃 1 つ = シグネチャ 1 つ」 として登録しておき、流れるパケットや HTTP リクエストの中身と照合する方式。たとえば「/etc/passwd という文字列を含む URL」「特定の SQL インジェクション文字列」など。

• 長所: 既知の攻撃を 確実に 検知できる。誤検知が比較的少ない
• 短所: 未知の攻撃(ゼロデイ) や独自実装サイトへの攻撃は見逃す。シグネチャ DB の更新が止まると陳腐化する
• 例: Snort・Suricata・OSS WAF の ModSecurity + OWASP CRS

第13回スライドの言葉を借りれば、登録されていないコードは見逃す ── これがパターンマッチングの宿命です。

アノマリベース(振る舞い検知 / 統計的検知)

「平常時のトラフィックや動作の 統計プロファイル」を学習しておき、そこから 逸脱したもの を疑う方式。たとえば「深夜2時に経理サーバから100GBの外向き通信が出ているのは異常」のような検知。

• 長所: 未知の攻撃にも対応できる可能性。インサイダー脅威・データ持ち出しの検知に有効
• 短所: 平常を学習する 初期キャリブレーション が難しく、フォールスポジティブが多くなりがち。「最近うちの社員が新しいクラウドサービスを使い始めた」という普通の変化が異常と判定されることも
• 例: 機械学習を組み込んだ商用 NDR/EDR 製品、UEBA(User and Entity Behavior Analytics)

ハイブリッド方式(現実の主流)

多くの実機は両方を併用します。シグネチャ で既知攻撃を高精度に止め、アノマリ で「シグネチャに載っていないが何かおかしい」事象を拾う。さらに レピュテーション(脅威インテリジェンス) ── 既知の攻撃元 IP やマルウェア配布ドメインのリスト ── を併用するのが現代の標準的な構成です。

誤検知のトレードオフ

図の見方:検知器を厳しくするほど右側(止める) に判定が偏り、TP も FP も増える。緩くするほど左側に偏り、TN も FN も増える。緑の対角線(TN + TP) を最大化、赤・橙(FP + FN) を最小化 するチューニングが運用者の仕事。組織のリスク許容度に応じて、止め過ぎ寄り(FP多め) か見逃し寄り(FN多め) かを決める。

WAF ── Web に特化した L7 ファイアウォール

WAF が止める代表的な攻撃

WAF の主な機能(整理)

• 攻撃の検知・防御: 接続元 IP のチェック、HTTP リクエスト/ヘッダの検査、攻撃ペイロードの遮断、アラート通知、ログ記録
• SSL アクセラレータ機能: HTTPS の暗号化されたパケットを WAF で復号 し、平文の HTTP として検査(中身を見るには復号が必須)。Web サーバの暗号処理負荷も軽減できる
• ブリッジ型 / モニタ型 / リバースプロキシ型: 配置形態。多くは リバースプロキシ型(Web サーバの前段に置き、クライアントからは WAF が Web サーバに見える)

WAF と通常のファイアウォールの守備範囲

図の見方:同じ HTTPS リクエストでも、L4 ファイアウォールは「443 番ポートへの正常な TCP 接続」としか見えない(○ 通す)。WAF は HTTP メッセージとして解釈し、クエリパラメータの値が SQL インジェクションのパターンに一致することを検出して遮断する(× 止める)。「FW がいらない」という意味ではない ── FW は前段で IP/ポート単位の攻撃を弾き、WAF はその先で HTTP の中身まで踏み込む、という 役割分担。

運用視点 ── SOC と SIEM の存在

本講では SOC/SIEM は 「ファイアウォールや IDS/IPS が活きるための後段の仕組み」 として存在を押さえる程度に留めます。検知装置を入れるだけでなく、ログを集めて読み解く運用 までがセキュリティ対策の全体像です。

つながる知識(発展編予告): 「内部 LAN は安全」という前提が崩れ、すべての通信を都度認証する 発想が ゼロトラスト(Zero Trust) です。VPN に代わる SASE・ZTNA は発展編で扱います。また、ファイアウォールでは止めきれない大量パケット型の攻撃(DDoS) には、Anycast による スクラビングセンタ 等の別アプローチがあり、これも発展編で扱います。本講(境界防御の基本道具) はその出発点です。

まとめと用語チェック

用語チェック

確認問題