旧来型から最新型まで

いまさら聞けない「ファイアウォール」5大タイプ　何が違うのか？

ファイアウォールの基本は理解していても、複数あるファイアウォールの違いを明確に理解できている人は多くないだろう。主要な5種類のファイアウォールについて、技術的な違いを見てみよう。

公開 2019年06月18日 05時00分

更新 2019年07月06日 18時48分

著者

Amy Larsen DeCarlo

[TechTarget]

印刷する

　何十年にもわたり、ファイアウォールはプライベートネットワークを保護する重要な役割を担ってきた。害を及ぼし得るトラフィックは、第三者のネットワークやインターネットからやってくる。ファイアウォールはトラフィックの着信と発信を監視することでそれらを防御する。そのうちポリシーに従わないトラフィック、危害を与える恐れがあるトラフィックをブロックする。

　主要なファイアウォールとして、以下の5種類が挙げられる。種類によって、トラフィックの評価方法とネットワークパフォーマンスに与える影響が異なる。

パケットフィルタリング型ファイアウォール
サーキットレベルゲートウェイ型ファイアウォール
ステートフルインスペクションファイアウォール
アプリケーションゲートウェイ型ファイアウォール
次世代ファイアウォール

併せて読みたいお薦め記事

ネットワークセキュリティ技術の基礎

新たなネットワークセキュリティ技術

1．パケットフィルタリング型ファイアウォール

　パケットフィルタリング型ファイアウォールは、ファイアウォールの原型ともいえるアプローチを取る。社内LANとインターネットなどの外部ネットワークの間に立つ「境界」において、悪意のあるトラフィックを食い止める。パケットを検査し、パケットの宛先、発信元IPアドレス、ポート番号、パケットの種類といった基本データを取得する。当該のパケットがセキュリティポリシーを満たしていなければ、ファイアウォールはそのパケットを宛先に転送しない。

　パケットフィルタリング型ファイアウォールはパケットを開く必要がないため、トラフィック情報を素早く処理できる。ただし極めて基本的なシステムなので、攻撃者が回避するのは比較的簡単だ。

2．サーキットレベルゲートウェイ型ファイアウォール

　サーキットレベルゲートウェイ型ファイアウォールは、TCPレイヤーのハンドシェイク（接続の確立）を追跡し、それが正規のTCPコネクション（論理回線）かどうかを判断。ポリシーに基づきトラフィックを許可または拒否する。保護対象のネットワークに関するデータを明らかにせず、パケットを検査しない方式を取るサーキットレベルゲートウェイ型ファイアウォールの場合、悪意のあるトラフィックを見逃す恐れがある。

3．ステートフルインスペクションファイアウォール

　パケットフィルタリング型ファイアウォールの一種であるステートフルインスペクションファイアウォールは、TCPコネクションでやりとりの対象となるパケットを検査し、そのセッションの開始から終了までのアクティビティーを追跡する。このファイアウォールは、同じ接続の過去のアクティビティーから収集したデータと、セキュリティポリシーの両方に基づいて、トラフィックを許可または拒否する。通常のパケットフィルタリング型ファイアウォールよりも高度な制限が可能だが、パケットの処理に時間がかかるため、ネットワークのパフォーマンスが低下しやすい。

4．アプリケーションゲートウェイ型ファイアウォール

　アプリケーションゲートウェイ型ファイアウォールは、着信トラフィックをアプリケーション層でフィルタリングする。明確な効果がある一方で、ネットワークのパフォーマンスが低下する恐れもある。

5．次世代ファイアウォール

　次世代ファイアウォールは、新しいテクノロジーを利用したセキュリティゲートウェイを指す。従来のパケットフィルタリング型やステートフルインスペクション型ファイアウォールの機能に、高度な機能を組み合わせる。例えば通常よりも下の通信レイヤーまで検査する「ディープパケットインスペクション」、暗号化済みのトラフィックでも検査できる「暗号化トラフィックインスペクション」などだ。従来のセキュリティゲートウェイの枠に縛られずに、サービスの品質管理、ネットワークの通信容量の管理、ID管理などの機能を併せ持つものもある。

印刷する