4.3セキュリティ製品

セキュリティ製品は種類が多く、名称だけを暗記しても実務では使えません。重要なのは「この製品は何を検知・保護対象にしていて、既知の脅威か未知の脅威か、エンドポイントかネットワークかクラウド利用か、どの粒度で守るのか」を切り分けて理解することです。この節では、セキュリティ担当者が検知要件に応じて適切な製品を選定する判断力を養います。

4.3.1ネットワーク境界の製品：ファイアウォール・IDS/IPS・UTM

• ファイアウォール＝IPアドレス・ポート番号などのヘッダ情報に基づき通信を許可/拒否する境界防御の基本。通信内容（ペイロード）の中身は見ないため、許可されたポートを使う攻撃は素通りしてしまう。
• IDS（侵入検知システム）＝通信を監視し不正の兆候を検知して通知する（遮断はしない）。IPS（侵入防止システム）＝検知に加えて自動的に遮断する。検知方式には、既知の攻撃パターンと照合するシグネチャ型（既知の攻撃に強いが未知は素通り）と、正常な通信からの逸脱を検知するアノマリ型（未知の攻撃にも対応できるが誤検知が増えやすい）がある。
• UTM（統合脅威管理）＝ファイアウォール・IDS/IPS・アンチウイルス・Webフィルタなど複数機能を1台に統合した製品。中小規模拠点で運用負荷とコストを抑えつつ多層的な防御を実現する際に選ばれる。

4.3.2アプリケーション層の製品：WAF・RASP

• WAF（Webアプリケーションファイアウォール）＝HTTPリクエストの内容（パラメータ等）を検査し、SQLインジェクションやXSSなどWebアプリケーション層への攻撃を検知・遮断する。ネットワーク層のファイアウォールでは防げないアプリケーション固有の攻撃が対象。
• RASP（Runtime Application Self-Protection）＝アプリケーションの実行環境内部に組み込まれ、実行時のコードの挙動そのものを監視して攻撃を検知・防御する。WAFが外部のネットワーク経路上で通信を検査するのに対し、RASPはアプリケーション内部から動作を見るため、暗号化された通信の中身やWAFが素通りしうる巧妙な攻撃にも対応しやすい。