より広範なアプローチを採用する

　「セキュリティ業界には、何が予測できて、どのレベルの保護が提供されるのかについての誇大広告が多過ぎる」。そう指摘するのは、Fortinetで製品とソリューション部門のバイスプレジデントを務めるジョン・マディソン氏だ。「当社のアプローチでは、企業のネットワーク全体を見て、そのネットワークに最適と思われる場所にファイアウォールを導入する」（同氏）

　Fortinetは、ファイアウォールの導入や運用に関して以下のように推奨する。

• ミッドレンジのエッジファイアウォールをキャンパスネットワーク（オフィスビルのLAN群）の境界に設置
• 統合脅威管理（UTM）をブランチオフィス（支店、出張所）に設置
• 内部セグメンテーションファイアウォール（ISFW）をユーザーやアプリケーションでトラフィックを分離するように運用
• データセンターで運用するファイアウォールを中心設備として位置付け
• AWSやMicrosoft Azureといったクラウドでファイアウォールを運用
• インターネットサービスプロバイダーが通信業者クラスのファイアウォールを導入

　マディソン氏は次のように語る。「10年前、私たちはブランチオフィスとメインのデータセンターにファイアウォールを導入していた。現在、ITスタッフが懸念すべき構成は他にも多数ある。当社はファイアウォールについて、企業規模のアプローチで考えるよう働きかけている」

　「ファイアウォールはインフラ関連の購入リストの単なるチェック項目の1つではない」。そう言い切るのは、Ciscoでネットワークセキュリティの製品マーケティング担当ディレクターを務めるデイブ・スチュアート氏だ。

　ファイアウォールは、潜在的な感染の手掛かりとなるコンテキスト情報を提供できなければならない。ITスタッフには脅威を検出したことを警告するだけでなく、その脅威が害を及ぼすのもかどうかも伝える必要がある。「セキュリティ業界は、既知の脅威から保護する製品には長けていた。今日必要なのは、未知の脅威を特定できる製品だ」（スチュアート氏）

　Ciscoの次世代ファイアウォール「Cisco ASA 5500-Xシリーズ」向けのIPS（侵入防御システム）モジュール用ライセンス「Cisco ASA with FirePOWER Services」は、3つの自動化機能を提供する。まずシステムがネットワークに侵入する脅威を監視し、優先度に基づいて脅威を検疫に回して回復を図る。その後、システムは今後検出するマルウェアを隔離したりブラックリストに入れたりできるよう、新しいシグネチャを自動的に作成する。それから管理ソフトウェアは、一見無関係なネットワークとエンドポイント双方のマルウェアのサンプルについて関連付けをして、こうしたマルウェアを今後検疫できるようにする。

　Ciscoのエンドポイントセキュリティソフトウェア「Cisco Advanced Malware Protection」（AMP）は、疑わしいマルウェアをサンドボックスで分析し、回復を図ることができるように設計されている。IT部門には、マルウェアがどの程度LANに侵入しているかを警告する。「ユーザー企業は、従来のステートフルパケットインスペクション（SPI）ベースのファイアウォールが今でも便利だということを理解する必要がある。以前と異なるのは、こうした幅広い機能が1つのアプライアンスで手に入れられるようになったことだ」（スチュアート氏）

　エンドポイントに次世代ファイアウォールとマルウェア対策ソフトウェアを導入したとしても役に立たない。今日のネットワークは複雑だ。ネットワークのセキュリティを確保するには、もっと多くの作業が必要になる。セキュリティ業界のアナリストは、次世代ファイアウォールを1つの独立したカテゴリーだと見なしている。だがクラウドベースの脅威分析とエンドポイント戦略を持たない次世代ファイアウォールを評価している企業は、ファイアウォールについてもっと詳しく調べることをお勧めする。