次世代ファイアウォールのルール

　アプリケーション対応ファイアウォールとして知られる次世代ファイアウォールは、従来のステートフルファイアウォールに備わるポートやプロトコル分析機能に加え、パケットを生成するアプリケーションをベースにしたトラフィック分析機能を備える。ほとんどのステートフルファイアウォールは80番ポートのHTTPトラフィックヘッダしか識別できないため、トラフィック分析機能は近年のWebアプリケーションの爆発的増加とともに極めて重要になってきた。

　Gartnerはここ数年、次世代ファイアウォールがファイアウォール市場の主流になるかどうか、さまざまな議論を重ねてきた。そして、エンタープライズファイアウォールに関する最新のマジック・クアドラントにおいて、このトレンドが明白になったことを明らかにした。Gartnerは、これまで「ビジョナリー」ステータスに位置付けていたPalo Alto NetworksをCheck Point Softwareとともに市場の「リーダー」に引き上げた。

　その一方で、これまで長く「リーダー」として認めていた伝統的なステートフルファイアウォール製品ラインを持つJuniper Networksは、Cisco SystemsやMcAfee、Fortinetと同じ「チャレンジャー」に移されている。

　「われわれは、ファイアウォールベンダーが次世代ファイアウォールの領域へ移行することを待っていた」と語るのは、Gartnerのリサーチ副社長を務めるグレッグ・ヤング氏だ。「彼らはIPSへの信奉をなかなか捨てられなかった。それらのIPSの品質は本当にひどく、スタンドアロン（の次世代ファイアウォール）と競合することさえできなかった。スタンドアロン製品は徐々に市場を拡大していったが、（従来の）ファイアウォールベンダーはそれを無視し続けたのだ。そしてついに顧客の需要がベンダーの供給を上回る状況に至った。われわれは（マジック・クアドラントの）基準を見直し、市場のリーダーたるベンダーは（次世代ファイアウォールに）早急に対応する必要があることを示した」

　Gartnerがコンサルティングするクライアントの多くは、「次世代ファイアウォールにフォーカスした製品について知りたがっている」とヤング氏は語る。それらに積極的に投資したい、あるいは少なくともそれらについて学びたいという声が多いという。

　「ユーザーは（数年前まで）次世代ファイアウォールへの移行に懐疑的だった。だが現在、この市場にはさまざまな製品やベンダーがひしめいている」とヤング氏。「ユーザーはいよいよ次世代ファイアウォールに移行し始めた」

次世代ファイアウォール実装の問題点

　次世代ファイアウォールの特徴であるアプリケーション層分析は膨大な計算処理能力を要求する。そのため、「次世代ファイアウォールを導入するときは注意しなければならない」とGartnerのヤング氏は指摘する。多くのUTM（統合脅威管理）ベンダーは自社製品を“次世代ファイアウォール”とうたっているが、そうした製品は大規模な企業には適さない。アプリケーションインスペクションなどの機能を全てオンにすると、UTMアプライアンスは致命的なボトルネックになるだろう。

※訂正履歴：掲載当初、「小規模な企業には適さない」と記載していましたが、正しくは「大規模な企業には適さない」です。本稿は修正済みです。おわびして訂正いたします。（2012/2/20 20:35）

　「われわれはサイジングの悪い例をこれまで幾つも見てきた」とヤング氏は語る。「ほとんどのサイジング問題は、企業規模に合致しない機能を有効にしようとしたときに発生する。われわれは企業向けのUTMに極めて懐疑的だ。また、パフォーマンスに関する問題の多くは次世代ファイアウォールが統合化されていないことにも原因がある。統合化が表面的なものにすぎなければ、ボックスに何でもかんでも突っ込むと問題が発生し、パフォーマンスが一気に落ちてしまう」

　もっとも、「今や多くのファイアウォールベンダーが、強力なエンタープライズグレードの次世代ファイアウォール製品を提供している」とヤング氏は言う。「どのベンダーも自社製品がベストだと主張するだろう。だがユーザーは、それぞれの環境に最適な製品を自らの手で探し出さなければならない」

　次世代ファイアウォールは、運営チームに文化的な変化をもたらす。長年、ポートとIPアドレスのルールを定めてきたファイアウォール管理者たちは、次世代ファイアウォールの新しい世界に自分たちの安楽の地がないことを知るだろう。

　「ファイアウォールの概念が変わる」と、Capital Region Healthcareのスタリー氏は語る。「書くのはアプリケーションベースのルールだ。単にポートやIPだけでは済まない。アプリケーションベースのルールになじむまで、ファイアウォールの管理者はハードな時間を過ごすことになる」

アプリケーション進化の先にあるもの

　カリフォルニア大学アーバイン校のシステム管理者であるスティーブ・ギルマー氏は、アプリケーションの視認性が重要だと話す。だが次世代ファイアウォールを選択するときは、それだけを重視していたわけではない。

　大学の教室のセキュリティ強化に向けてWatchGuardのファイアウォールをインストールしたギルマー氏は、次世代ファイアウォールがどのようにHTTPSトラフィックの復号やインスペクションを実行するのかを学ぶのが大変だったという。同氏は、HTTPSをマルウェア侵入の重大な脅威と見なしていたが、ほとんどのファイアウォールベンダーはインスペクションのためのHTTPS復号を推奨していない。その代わりに各社とも、自社の製品はネットワークに侵入したあらゆるマルウェアを検出し、感染したマシンを隔離できるとしている。

　「マルウェアがネットワークに侵入していることは明らかであり、それが問題なのだ」とギルマー氏は話す。

　そのことを念頭に、同氏は各ベンダーの製品がどのようにマルウェアを検出しているのかに興味があるという。しかし、多くのベンダーはマルウェア検出機能をサードパーティーに依存しており、それらがどのように組み合わされているかを評価するのは難しい。