やらない方が安全だった、とならないために

5種類のファイアウォールの違いを解説　みんな違ってみんな良い？（1/2 ページ）

パケットフィルタリング、アプリケーションレベルゲートウェイ、次世代型など、ファイアウォールにはさまざまな種類がある。本稿では、5種類の基本的なファイアウォールを取り上げ、その類似点と相違点を解説する。

公開 2018年02月21日 09時01分

著者

Robert G. Ferrell

[TechTarget]

印刷する

ファイアウォールの違いを正しく理解

　システム管理者が「システムとは頻繁に攻撃を受けるものである」と認識してから、ファイアウォールは必須の仕組みとなった。インターネットが始まって間もない頃、ファイアウォールは、ネットワークトラフィック（データの流れ）を監視し、攻撃の兆候を見極める何らかのプロセスであると位置付けられていた。ただ、その仕組みはあまり明らかではなかった。

　不要なネットワークトラフィックをフィルターで取り除くプロセスを1987年ごろに初めて「ファイアウォール」と称したのは、米電話会社であるAT&Tのスティーブン・ベロビン氏だといわれている。

　この名称は、「炎が、ある部分から別の部分に燃え移らないようにする防火壁」になぞらえたメタファー（隠喩）だ。ネットワークの場合、ネットワーク接続を通じて出入りするトラフィックを監視するために、見た目上は安全な内部ネットワークと、外部に大きく広がるインターネットとの間にフィルターを挿入するという考え方を指す。

併せて読みたいお勧め記事

ファイアウォールの基本を理解

次世代のファイアウォールとは何なのか

　ファイアウォールという用語は徐々に浸透し、ネットワークセキュリティに関する話題では「当たり前のこと」としてあえて触れられなくなった。ここに至るまで、ファイアウォールはさまざまな方法で進化し、さまざまな種類のファイアウォールを生み出している。本稿では、基本的なファイアウォールを独断で5種類選んでいる。だが、ファイアウォール製品の動作自体がそれぞれ若干異なることから、正確に何種類のファイアウォールがあるかは、さほど重要ではないと考える。

本稿で取り上げるのは以下の5種類だ。

パケットフィルタリングファイアウォール
サーキットレベルゲートウェイ
ステートフルインスペクションファイアウォール
アプリケーションレベルゲートウェイ
次世代ファイアウォール

　ファイアウォールはネットワーク接続の途中に挿入され、そこを通過する全てのトラフィックを監視する。そして、トラフィックが安全か、それとも攻撃の一部なのかを通知する役割を果たす。ここで注意したいのは、ファイアウォールの種類がどうであれ、全てのファイアウォールは、ほぼ間違いなく不可能なことをするためにあるいうことだ。

　その理由はプログラムの本質的な構造にある。プログラムとは、一連のコンピュータに対する命令だ。そして命令とは小さな作業、タスクの組み合わせだ。小さな作業の組み合わせが最終的にどんな結果をもたらすのか、プログラム実行せずに予測するのは難しい。未来予知ともいえる。この延長線上で考えれば、ネットワークトラフィックを見ただけでその目的を判別することは不可能だ。

　ただし、これまでに遭遇した既知の攻撃パターンがネットワークトラフィックに含まれているかどうかを調べることは可能だ。これこそが、初期の「パケットフィルター」型のファイアウォールがしていたことだ。これは今も変わらない。

　一般に、どのような種類のファイアウォールであっても導入するときは、常に最新状態に保たれたファイアウォールルール（規則）と一緒にする。このルールが前述の「既知の攻撃パターン」がどんなものであるかを示している。ルールに違反しないネットワークトラフィックのみを許可することで安全にデータを目的の相手（受信側のデバイス）に渡すことが可能となる。

　ここからは、ファイアウォールカテゴリーの進化に重要な役割を果たしてきた5種類のファイアウォールを紹介する。

パケットフィルタリングファイアウォール

　ファイアウォールの原型で、ルーターやスイッチなどのデバイスが機能する接合点で動作する。

　ファイアウォールにはパケットルーティング機能を持つものがある。パケットルーティングとはデータを小分けにしたもの（パケット）を対応表（ルーティングテーブル）に従って別のネットワークにルーティング（転送）する機能のことだ。

　パケットフィルタリングファイアウォールはパケットをルーティングしない。代わりに、受信した各パケットを一連の設定条件と比較する。こうした設定条件には、許可するIPアドレス、パケットの種類、ポート番号などがある。大まかに言うと、問題があるとフラグが付いたパケットはあっさりと削除される。つまり、そのパケットは転送されず、消滅する。