6.2境界防御

境界防御は「壁を1枚立てれば終わり」ではなく、多層防御（defense in depth）の考え方に基づき、性質の異なる複数の防御機構を適切な位置に配置することが実務の核心です。ネットワークスペシャリストには、外部公開サーバはどこに置くか、どのレイヤで何を検査するファイアウォールを使うか、Webアプリ固有の攻撃にはどう備えるかを、要件とリスクに応じて設計判断する能力が求められます。

6.2.1ファイアウォールの3方式

• パケットフィルタ型＝IPアドレス・ポート番号・プロトコル種別などパケットヘッダの情報のみで通過可否を判定する最も基本的な方式。高速だが、通信の文脈（セッションの状態）を見ないため、応答パケットの正当性を判断できない弱点がある。
• ステートフルインスペクション＝通信のセッション状態（TCPの3ウェイハンドシェイクの経過等）を記憶し、その文脈に基づいて応答パケットの正当性を判定する方式。「外向きの通信に対応する戻りの通信のみ許可する」といった動的なルール適用ができ、パケットフィルタ型より安全性が高い。
• アプリケーションゲートウェイ（アプリケーションレベルゲートウェイ）＝アプリケーション層の内容まで検査し、通信を中継するプロキシ型のファイアウォール。HTTPのメソッドやURLパスの内容まで検査できる分、処理負荷は高くパフォーマンスは他方式より劣る。

6.2.2IDS/IPSとWAF

• IDS（侵入検知システム）＝不正な通信パターンを検知して管理者に通知する（通信は遮断しない）システム。IPS（侵入防止システム）＝検知に加えてその場で通信を遮断するシステム。シグネチャ型は既知の攻撃パターンとの照合で高精度だが未知の攻撃は検知できず、アノマリ型は正常な通信からの逸脱を検知するため未知の攻撃にも対応できるが誤検知（過検知）が発生しやすい。
• WAF（Web Application Firewall）＝SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーション層特有の攻撃を検知・防御する専用機器。一般的なファイアウォールやIPSがネットワーク層〜トランスポート層中心の防御であるのに対し、WAFはHTTPリクエストの内容（パラメータ等）まで検査する点で補完関係にある。