5.3ネットワークセキュリティ実装

境界防御を設計するとき、「ファイアウォールを置けばよい」では不十分で、どの層でどんな粒度の検査を行うか（パケット単体か、通信の流れ全体か、アプリケーション内容までか）という選択が、防御の強度と性能・運用コストのトレードオフを決めます。この節では代表的なネットワークセキュリティ実装技術を、検査の粒度・適した境界防御要件・弱点という観点で整理します。

5.3.1パケットフィルタリング・ステートフルインスペクション・アプリケーションゲートウェイ

• パケットフィルタリング＝送信元/宛先IPアドレス・ポート番号などパケット単体のヘッダ情報だけを見て通過可否を判定する最も基本的な方式。個々のパケットを独立に判定するため、一連の通信の文脈（応答パケットかどうか等）は考慮しない。処理は高速だが、正規の通信に偽装した応答パケットへの防御が弱い。
• ステートフルインスペクション＝通信のセッション状態（どの通信がどのタイミングで開始され、どの応答を期待しているか）を記憶し、その文脈と整合するパケットのみを通過させる方式。パケットフィルタリングでは見逃す「セッション外から紛れ込む偽装パケット」を検出でき、動的に変わる戻りポートの通信も安全に許可できる。
• アプリケーションゲートウェイ（アプリケーションレベルゲートウェイ）＝HTTPやFTP等、アプリケーション層のプロトコルの中身まで解析して通過可否を判定する方式（プロキシとして動作することが多い）。通信内容（URLやコマンド等）に基づく細かい制御が可能な一方、プロトコルごとに解析ロジックが必要で処理負荷が高く、対応プロトコルの追加に開発コストがかかる。

5.3.2NAT・認証VLAN・DHCPスヌーピング・MACフィルタリング

• NAT（Network Address Translation）＝プライベートIPアドレスとグローバルIPアドレスを1対1で変換する仕組み。IPマスカレード（NAPT）＝複数のプライベートIPアドレスを、ポート番号も併せて変換することで1つのグローバルIPアドレスで多数の端末を同時に外部通信させる方式。内部ネットワーク構成を外部から隠蔽する副次的なセキュリティ効果もある。
• 認証VLAN＝端末を物理ポートや事前設定ではなく、利用者認証の結果に応じて動的にVLAN（セグメント）へ割り当てる方式。認証に成功した端末だけを業務VLANへ、失敗・未認証の端末を隔離VLANへ振り分けることで、未認証端末が社内ネットワークへ直接アクセスすることを防ぐ。
• DHCPスヌーピング＝スイッチが正規のDHCPサーバが接続されたポートのみを信頼し、それ以外のポートからのDHCP応答（不正なDHCPサーバ（野良DHCP）によるなりすまし）を遮断する機能。不正なDHCPサーバによる偽のデフォルトゲートウェイ・DNS情報の配布を防ぎ、中間者攻撃の起点を断つ。
• MACアドレスフィルタリング＝許可されたMACアドレスの端末のみ通信を許可する方式。設定は簡便だが、MACアドレスは通信上で容易に確認・詐称（スプーフィング）できるため、単独では強固な認証手段にならず補助的な対策に留める必要がある。

5.3.3VPN構成方式とポートスキャン

• リバースプロキシ＝外部からのアクセスを受け付け、内部の実サーバへ中継する仕組み。内部サーバのIPアドレスやシステム構成を外部から隠蔽しつつ、アクセス制御・負荷分散・SSL/TLS終端を一元化できる。ポートフォワーディング＝外部からの特定ポート宛の通信を内部の特定ホスト・ポートへ転送する設定で、SSHトンネル等でも利用される。L2フォワーディング＝リモート端末のデータリンク層（L2）フレームをそのままトンネルし、あたかも同一LANセグメントに接続しているかのようなVPN接続を実現する方式。
• ポートスキャン＝対象ホストの各ポートに接続を試み、稼働しているサービスや開放ポートを外部から調べる手法。攻撃者にとっては攻撃対象の事前調査（偵察）の手段だが、防御側にとっては自組織の不要な開放ポートを洗い出す脆弱性診断の手法でもある——同じ技術が攻守双方で使われる点に注意。

あるセキュリティ担当者が、社外からの来訪者やBYOD端末が社内LANの物理ポートに接続する状況への対策を検討しているとします。単純なMACアドレスフィルタリングだけでは、正規端末のMACアドレスを盗聴・詐称されると容易に突破されてしまいます。そこで認証VLANを導入し、802.1X等でユーザー認証に成功した端末のみを業務VLANへ、それ以外を隔離VLANへ自動的に振り分ける構成にすれば、未認証端末が業務ネットワークに直接触れることを防げます。同時に、そのオフィスのスイッチにDHCPスヌーピングを有効化し、正規のDHCPサーバが接続されたポート以外からのDHCP応答を遮断することで、来訪者が悪意を持って野良DHCPサーバを持ち込み、偽のデフォルトゲートウェイ経由で通信を盗聴する中間者攻撃を防止します。次に、社外の従業員が自宅から社内の複数システム（ファイルサーバ・業務アプリ・DBサーバ）へリモートアクセスする要件を検討します。個々のポートを都度ポートフォワーディングで開放するのは管理が煩雑になるため、L2フォワーディング型のVPNを使えば、リモート端末があたかも社内LANに直接接続しているかのように振る舞え、既存の社内向けアクセス制御をそのまま適用できます。一方、社外向けに単一のWebアプリケーションだけを安全に公開したい場合は、内部サーバのIPアドレスや構成を隠しつつアクセスを一元的に制御できるリバースプロキシが適しており、L2フォワーディングのような広範なネットワーク到達性を与える必要がありません。このように、「守りたい対象が個々のホストなのか、ネットワーク全体への到達性なのか」「攻撃者に何を隠したいのか」という観点で境界防御・VPN構成を使い分けます。

5.3.4この節のまとめ

• パケットフィルタリング＝ヘッダのみ判定、ステートフルインスペクション＝セッション文脈で判定、アプリケーションゲートウェイ＝アプリ層の中身まで検査
• 認証VLANは認証結果で動的にセグメント割当、DHCPスヌーピングは野良DHCPサーバによるなりすましを遮断
• リバースプロキシは内部隠蔽＋一元的なアクセス制御、L2フォワーディングは同一LANのように振る舞うVPN、MACフィルタリングは詐称に弱く補助的