5.3ネットワークセキュリティ実装

境界防御を設計するとき、「ファイアウォールを置けばよい」では不十分で、どの層でどんな粒度の検査を行うか（パケット単体か、通信の流れ全体か、アプリケーション内容までか）という選択が、防御の強度と性能・運用コストのトレードオフを決めます。この節では代表的なネットワークセキュリティ実装技術を、検査の粒度・適した境界防御要件・弱点という観点で整理します。

5.3.1パケットフィルタリング・ステートフルインスペクション・アプリケーションゲートウェイ

• パケットフィルタリング＝送信元/宛先IPアドレス・ポート番号などパケット単体のヘッダ情報だけを見て通過可否を判定する最も基本的な方式。個々のパケットを独立に判定するため、一連の通信の文脈（応答パケットかどうか等）は考慮しない。処理は高速だが、正規の通信に偽装した応答パケットへの防御が弱い。
• ステートフルインスペクション＝通信のセッション状態（どの通信がどのタイミングで開始され、どの応答を期待しているか）を記憶し、その文脈と整合するパケットのみを通過させる方式。パケットフィルタリングでは見逃す「セッション外から紛れ込む偽装パケット」を検出でき、動的に変わる戻りポートの通信も安全に許可できる。
• アプリケーションゲートウェイ（アプリケーションレベルゲートウェイ）＝HTTPやFTP等、アプリケーション層のプロトコルの中身まで解析して通過可否を判定する方式（プロキシとして動作することが多い）。通信内容（URLやコマンド等）に基づく細かい制御が可能な一方、プロトコルごとに解析ロジックが必要で処理負荷が高く、対応プロトコルの追加に開発コストがかかる。