変更要約: 初版
6.2境界防御
ネットワークの境界で不正な通信を遮断するファイアウォール（パケットフィルタ・ステートフルインスペクション・アプリケーションゲートウェイ）、攻撃を検知・防御するIDS/IPS（シグネチャ型・アノマリ型）、Webアプリを狙う攻撃を防ぐWAF、複数機能を統合するUTM、外部公開サーバを隔離するDMZ、そして通信を代理するプロキシを学びます。
境界防御は「壁を1枚立てれば終わり」ではなく、多層防御（defense in depth）の考え方に基づき、性質の異なる複数の防御機構を適切な位置に配置することが実務の核心です。ネットワークスペシャリストには、外部公開サーバはどこに置くか、どのレイヤで何を検査するファイアウォールを使うか、Webアプリ固有の攻撃にはどう備えるかを、要件とリスクに応じて設計判断する能力が求められます。
6.2.1ファイアウォールの3方式
- パケットフィルタ型＝IPアドレス・ポート番号・プロトコル種別などパケットヘッダの情報のみで通過可否を判定する最も基本的な方式。高速だが、通信の文脈（セッションの状態）を見ないため、応答パケットの正当性を判断できない弱点がある。
- ステートフルインスペクション＝通信のセッション状態（TCPの3ウェイハンドシェイクの経過等）を記憶し、その文脈に基づいて応答パケットの正当性を判定する方式。「外向きの通信に対応する戻りの通信のみ許可する」といった動的なルール適用ができ、パケットフィルタ型より安全性が高い。
- アプリケーションゲートウェイ（アプリケーションレベルゲートウェイ）＝アプリケーション層の内容まで検査し、通信を中継するプロキシ型のファイアウォール。HTTPのメソッドやURLパスの内容まで検査できる分、処理負荷は高くパフォーマンスは他方式より劣る。
6.2.2IDS/IPSとWAF
- IDS（侵入検知システム）＝不正な通信パターンを検知して管理者に通知する（通信は遮断しない）システム。IPS（侵入防止システム）＝検知に加えてその場で通信を遮断するシステム。シグネチャ型は既知の攻撃パターンとの照合で高精度だが未知の攻撃は検知できず、アノマリ型は正常な通信からの逸脱を検知するため未知の攻撃にも対応できるが誤検知（過検知）が発生しやすい。
- WAF（Web Application Firewall）＝SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーション層特有の攻撃を検知・防御する専用機器。一般的なファイアウォールやIPSがネットワーク層〜トランスポート層中心の防御であるのに対し、WAFはHTTPリクエストの内容（パラメータ等）まで検査する点で補完関係にある。
6.2.3DMZとプロキシ・UTM
- DMZ（非武装地帯）＝インターネットにも社内LANにも属さない緩衝領域。外部に公開するサーバ（Webサーバ・メールサーバ・DNSサーバ等）をDMZに設置し、万一DMZのサーバが侵害されても、そこから社内LANへ直接侵入されないようにファイアウォールで区切る多層防御の要。
- プロキシ（フォワードプロキシ）＝内部端末に代わって外部Webサイトへアクセスする代理サーバ。リバースプロキシ＝外部からの要求を受け、内部サーバに代わって応答する代理サーバで、負荷分散やSSL/TLS終端、内部サーバのアドレス秘匿にも使われる。UTM（統合脅威管理）＝FW・IDS/IPS・アンチウイルス・URLフィルタリング等を1台に統合した機器で、中小規模拠点での運用負荷削減に向く。
ある企業で、自社ECサイトのWebサーバ・DBサーバ・社内業務端末を含むネットワークを再設計するとします。まず「外部に公開するWebサーバをどこに置くか」——社内LANに直接置けば、Webサーバが侵害された場合に攻撃者が社内の業務端末や機密情報に直接到達できてしまうため不適切です。設計者としてはDMZにWebサーバを設置し、インターネット-DMZ間・DMZ-社内LAN間をそれぞれ別のファイアウォールルールで区切ることで、Webサーバが侵害されても社内LANへの侵入経路を遮断します。DBサーバは顧客の個人情報や決済情報を保持するため、DMZにも置かず社内LAN側のさらに保護されたセグメントに置き、DMZのWebサーバからのみ特定ポートでの接続を許可します。次にECサイトはクレジットカード情報を扱うため、SQLインジェクション等のアプリケーション層攻撃への備えとして、パケットフィルタ型のファイアウォールだけでは不十分と判断し、WAFを追加してHTTPリクエストの内容を検査します。さらに未知のゼロデイ攻撃にも一定の耐性を持たせたい場合は、シグネチャ型IDSだけでなくアノマリ型の検知も併用しつつ、誤検知が多い場合は通知のみのIDS運用から始めて、運用が安定してから自動遮断のIPSへ段階的に移行する、という多層防御の設計判断が求められます。
| 方式 | 検査レベル | 特徴 |
|---|---|---|
| パケットフィルタ型 | ヘッダ情報のみ | 高速だが文脈を見ない |
| ステートフルインスペクション | セッション状態 | 応答の正当性を文脈判定 |
| アプリケーションゲートウェイ | アプリ層の内容 | 高精度だが処理負荷が高い |
「パケットフィルタ＝ヘッダのみ・高速」「ステートフル＝セッション状態を見て応答を文脈判定」「アプリケーションゲートウェイ＝アプリ層まで検査・低速」「IDS＝検知のみ通知」「IPS＝検知＋遮断」「WAF＝Webアプリ層特有の攻撃」の対比が最頻出です。DMZは「外部公開サーバを置き、侵害されても社内LANへ波及させない」多層防御の要である点を理解しましょう。
ひっかけ： 「IDSは不正な通信を検知すると自動的に遮断する」は誤りです——IDSは検知して通知するのみで遮断はしません。自動遮断まで行うのはIPSです。また「WAFがあればファイアウォールは不要」も誤り＝WAFはアプリケーション層特有の攻撃に特化しており、ネットワーク層・トランスポート層の防御（ポート制御等）は依然としてファイアウォールが担うため、両者は代替ではなく補完関係です。
6.2.4この節のまとめ
- パケットフィルタ＝ヘッダのみ、ステートフル＝セッション文脈で判定、アプリゲートウェイ＝アプリ層まで検査
- IDS＝検知・通知のみ、IPS＝検知＋遮断、WAF＝Webアプリ層特有の攻撃に特化
- DMZに外部公開サーバを置き、侵害の社内LANへの波及を遮断する多層防御を設計する
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 自社ECサイトのWebサーバを新規に外部公開するにあたり、万一そのサーバが侵害されても社内業務端末への侵入経路を遮断したい。最も適した設計はどれか。
Q2. クレジットカード情報を扱うECサイトで、SQLインジェクション等のアプリケーション層特有の攻撃への備えを強化したい。パケットフィルタ型ファイアウォールに加えて導入すべき機器はどれか。
Q3. あるIDSを導入したところ、正常な業務通信まで頻繁に不正通信として通知され、運用担当者の確認作業が追いつかない状態になっている。この状況を踏まえた最も妥当な判断はどれか。