保護するのはクライアントかサーバか

ファイアウォールの本当の必要数を見極める

クライアント保護かサーバ保護かでファイアウォールの設定は大きく異なる。また、別々のファイアウォールを利用した方がいいこともある。

公開 2009年06月22日 07時30分

更新 2012年09月04日 18時00分

著者

Joel Snyder

[TechTarget]

印刷する

　ファイアウォールとセキュリティポリシーについて検討するとき、知っておくと役に立つ用語が2つある。「クライアント保護」（client-protecting）と「サーバ保護」（server-protecting）だ。

　ファイアウォールがWebを閲覧するユーザーとインターネットとの間にあるときは、「クライアント保護」が該当する。例えば、ユーザーがマルウェア感染サイトに行こうとすると、ファイアウォールがマルウェアのダウンロードを阻止する。これがクライアント保護の動作だ。

　もう一方の「サーバ保護」は、ファイアウォールがサーバを攻撃や感染から守ることをいう。例えば何者かがWebサーバに既知のSQLインジェクション攻撃を仕掛けると──Webサーバに脆弱性があるかどうかを問わず──ファイアウォールの侵入防止システム（IPS）がそれを阻止する。これがサーバ保護だ。

　こうした用語が必要なのは、守っているのがクライアントかサーバかで、ファイアウォールの設定が大きく違ってくるからだ。実際、設定や条件の違いはあまりに大きいので、サーバとクライアントとで、別々のファイアウォールの利用を検討するといい。それが常に適切であるとは限らないが、事は極めて単純になる。自分が何を守ろうとしているのか、そして弱点がどこにあるのかに的を絞れるからだ。

　同じ装置でクライアント保護とサーバ保護の設定を混同すると、問題が起きる。ファイアウォールの中には、トラフィックの種類に応じてそれぞれ別々の保護を掛けることができないものもある。時には、ファイアウォールが守っているのがクライアントなのかサーバなのかが極めて分かりにくいこともある。説明文や設定ツールは一般的に、トラフィックの流れがどちらの方向に向いているのかが非常にあいまいなのだ。コスト上の疑問が生じることもある。ウイルス対策、侵入検知といった有料サービスを利用する場合、2つの小規模システムで自分が守りたいもののためだけに料金を払う方が、1つの大規模システムで全ユーザーにあらゆる保護を掛けるよりも安く上がるかもしれない。

　インターネットと接するサーバが、電子メールサーバや「イントラネット」方式のWebサーバ、あるいはVPNゲートウェイなど数えるほどしかない場合、大部分はクライアント保護になる。こうしたケースでは2つのファイアウォール設置は過剰かもしれず、恐らく1つのシステムで必要なことは達成できるだろう。

　一方、Webコンテンツ配信、電子商取引などの一般向けサービスをインターネットユーザー向けに提供しているサーバが多数ある場合、こうしたサーバとファイアウォールおよびインターネット接続は、社内のエンドユーザーがWeb閲覧やインスタントメッセージングといった職務／非職務関連のインターネット接続に使うものとは切り離した方がいい。これには多くのメリットがある。

　例えば、1人のユーザーが意図的に、あるいは無意識のうちにインターネット接続やUTM（統合脅威管理）／ファイアウォールを洪水状態にしてしまったとしても、接続とファイアウォールを別にしてあれば、電子商取引やWebサイトのトラフィックに影響を及ぼさずに済む。例えば何かの手違いでWebサーバにサービス妨害（DoS）攻撃が仕掛けられた場合、セッションテーブルの生成でファイアウォールの動作が遅くなったり停止したりすることはあっても、エンドユーザー側のファイアウォールが巻き込まれることはなく、仕事を続けられる。反対に、エンドユーザーがトロイの木馬に感染してそのPCが攻撃マシンと化し、ファイアウォールがロックされてしまった場合でも、サーバ側に入ってくるトラフィックに影響が出ることはない。

　必ず守らなければならないルールなど存在しない。あまりに機能を切り離し過ぎると、ファイアウォールばかり増えて管理に頭を抱えるという別の問題につながることもある。しかし、以下のガイドラインはユーザー10～1000人の環境で、最善の判断を下す一助となるだろう。

ネットワーク全体がクライアント保護になる場合、あるいは外部から入ってくるサービスが電子メールなどごくわずかしかない場合、ファイアウォールは1つ（または可用性を高めた設定のファイアウォール2つ）で恐らく事足りる
同じ構内のネットワークに多数のクライアントと多数のサーバがあり、すべてがインターネット経由でWebサーバや電子商取引といったアプリケーションにオープンなアクセスを提供している場合、ファイアウォールを切り離し、さらにはインターネットも切り離すことを検討した方がよい
インターネットを中心とした業務を展開していて従業員の大部分が常にインターネットを使っている場合、あるいは収益の大部分をインターネットの商取引で上げている場合、複数のファイアウォールを使ってそれぞれを高可用性モードに設定し、安定性と拡張性の両方を確保するために複数の接続を使うことが必須となる

本稿筆者のジョエル・スナイダー氏は、セキュリティとメッセージングを専門とするITコンサルタント会社Opus Oneのシニアパートナー。

印刷する