2009年09月01日 07時30分 UPDATE
特集/連載

抜け穴はないか?ファイアウォールのルール管理におけるベストプラクティス

ネットワークの複雑化に伴い、ファイアウォールのルールにもかなりの調整が必要になっている。ルールを適切に管理するための手段と技術を紹介する。

[Michael Cobb,TechTarget]

 会社のファイアウォールのルールを変更したせいで、ネットワークの防御に抜け穴ができてしまったのではないかと怪しんでいるネットワーク管理者は、どれくらいいるだろうか。

 現代のネットワークは複雑になり、周辺環境やアプリケーション、ユーザーの全体像を常に把握しておくことが難しくなった。IT担当者が変わったり新しいアプリケーションが加わったり、ユーザーが入れ替わったり職務の変更があったりといった変更に伴って、ファイアウォールのルールにかなりの調整が必要になることもあり、パーミッションにも混乱が生じやすい。本稿ではファイアウォールのルール変更を適切に行うための手段と技術を紹介する。

 まず初めに、わたしが考えるファイアウォールのルール管理に対する最善のアプローチは、以下の3点が鍵となる。

  • ルールの基本は常にシンプルに
  • すべてのルールを文書に残す
  • 変更管理ポリシーの導入

ルールの基本は常にシンプルに

 ファイアウォールのマニュアルは難解になりがちだが、覚えておくべき要点は、フィルタが例えば「ポート80をブロックする」といった特定の値についての動作を定めるものであるのに対し、ルールは「もしポートが80ならば拒否する」といった条件文を適用するものであるということだ。ファイアウォールをどう設定するかは、その組織のセキュリティポリシーで確立されたビジネスルールに直接起因するものでなければならない。ファイアウォール設定のアプローチがこの指針に沿うことを目標にすれば、ルールとフィルタはおのずと決まってくる。

 フィルタとルールを組み合わせる最善の方法は、まず基本的な「拒否」フィルタを作成し、その後、特定のケースを処理するためのフィルタやルールを作成することだ。例えば「全ポートをブロックし、ポート80を許可する」といった具合になる。このファイアウォールのルール管理のアプローチでは、必ずしもルールの重複を避けられるとは限らないが、「許可」のルールの優先度を常に「拒否」フィルタよりも低く設定しておけば、ルールセット全体としてのセキュリティは高まる。

この記事を読んだ人にお薦めの関連記事

注目テーマ

ITmedia マーケティング新着記事

news072.jpg

インテージ、「INTAGE connect」経由でモバイル空間統計データの提供を開始
インテージは、同社の「INTAGE connect」を通して、ドコモ・インサイトマーケティングが...

news138.jpg

MAppsと野武士、オプトが共同で行動データ連携リサーチおよび改善サービスの試験提供を開始
マーケティングアプリケーションズと野武士、オプトは、Webサービスとスマートフォンアプ...

news093.jpg

ソネット・メディア・ネットワークスが「Logicad Video Ads」の提供を開始
ソネット・メディア・ネットワークスは、2017年1月17日、「Logicad Video Ads」の提供を...