3.2不正アクセス・ネットワークセキュリティ対策（FW/IDS/IPS/WAF・DMZ・ゼロトラスト）

ネットワークセキュリティ対策は「入口に1つの壁を置けば終わり」ではありません。通信のどの階層・どの単位を見るかによって、有効な仕組みが異なります。ファイアウォールは主にIPアドレス・ポート番号という通信の外形を見て許可・遮断を判断し、WAFはHTTPリクエストの中身というアプリケーション層の内容まで踏み込んで判断します。この節では「何を見て、何を防ぐか」という軸で各仕組みを整理し、境界防御を前提としないゼロトラストという近年の考え方にもつなげます。

3.2.1ファイアウォール・IDS・IPS・WAFの役割分担

• ファイアウォール（FW）＝IPアドレス・ポート番号等の通信情報（ヘッダ）に基づき、あらかじめ定めたルールで通信を許可/遮断する仕組み。通信の中身（ペイロード）までは見ないため、許可されたポート（例: 80/443番）を使った攻撃は素通りしてしまう限界がある。
• IDS（Intrusion Detection System・不正侵入検知システム）＝ネットワークやホストの通信・ログを監視し、不正な兆候を検知して管理者に通知する仕組み。遮断そのものは行わない（検知のみ）。IPS（Intrusion Prevention System・不正侵入防止システム）＝IDSの検知機能に加え、不正な通信を検知した際に自動的に遮断まで行う仕組み。「検知して知らせるだけ」か「検知して防ぐところまでやる」かがIDSとIPSの最大の違い。
• WAF（Web Application Firewall）＝HTTPリクエスト/レスポンスの中身を検査し、SQLインジェクションやXSSといったWebアプリケーション層への攻撃を検知・遮断する仕組み。ファイアウォールが通す「正規のポート（443番等）を使った攻撃」を、アプリケーション層まで踏み込んで防げる点が価値。FW＝通信の外形（IP/ポート）、WAF＝通信の中身（HTTPの内容）という守備範囲の違いを区別する。

3.2.2DMZ・VPN・プロキシ・ゼロトラスト・無線LAN

• DMZ（DeMilitarized Zone・非武装地帯）＝外部（インターネット）にも内部（社内LAN）にも属さない中間的なネットワーク領域。Webサーバやメールサーバ等、外部公開が必要なサーバをDMZに置くことで、万一そのサーバが侵害されても内部ネットワークへの直接の侵入を防ぐ（内部LANとの通信は別途ファイアウォールで制限）。「外部公開サーバは内部LANと同じセグメントに置かない」が設計の要。
• VPN（Virtual Private Network）＝インターネット等の公衆網上に暗号化された仮想的な専用回線を構築し、拠点間通信や在宅勤務者の社内リソースアクセスを保護する仕組み。プロキシ（プロキシサーバ）＝クライアントに代わって外部との通信を中継するサーバ。アクセス制御（有害サイトのフィルタリング）・通信ログの一元管理・キャッシュによる高速化等の役割を持つ。
• ゼロトラスト＝「社内ネットワークの内側は安全、外側は危険」という境界防御の前提を置かず、すべてのアクセスを「信頼しない」ことを起点に、都度検証する考え方。クラウドサービスの普及・リモートワークの拡大により「守るべき境界」自体が曖昧になったことが背景。利用者の認証・端末の状態確認・通信の暗号化を、社内/社外を問わず一貫して行うのが実践のポイント。
• 無線LANセキュリティ＝暗号化方式は脆弱なWEP・WPA/WPA2（TKIP）を避け、WPA3（より強固な暗号化・オフライン辞書攻撃への耐性強化）を用いる。運営上は、正規のアクセスポイントになりすました不正AP（悪魔の双子・エビルツイン）への注意、SSIDの適切な管理、ゲスト用ネットワークと業務ネットワークの分離が対策となる。

あるオンラインショップ運営会社が、外部からの攻撃を受けたインシデントを通じてネットワーク対策の役割分担を確認しましょう。まず攻撃者は、443番ポート（HTTPS）という通常業務で使われる正規のポートを使い、注文フォームにSQLインジェクションを試みました。この会社のファイアウォールはIPアドレスとポート番号の組み合わせでルール判定するため、443番への通信は許可対象でありそのまま通過しました。しかし直後段に導入していたWAFが、HTTPリクエストの中身に含まれる不審なSQL構文パターンを検知し、この通信を自動的に遮断しました。この事例は、ファイアウォールとWAFが「通信の外形」と「通信の中身」という異なるレイヤーを分担して守っていることを示します。同時に、社内で導入していたIDSがネットワーク全体のログを監視しており、同じ攻撃者から短時間に多数の類似リクエストが送られていることを検知し管理者へアラートを出しましたが、IDSは検知のみで自動遮断はしないため、実際の遮断はWAFの役割でした。もしIDSではなくIPSを導入していれば、検知と同時に当該送信元IPからの通信を自動遮断できていた可能性があります。この会社のWebサーバはDMZに配置されていたため、仮にWAFをすり抜けてWebサーバが侵害されたとしても、内部の顧客データベースを持つ内部LANへは別のファイアウォールルールで到達できない設計になっており、被害の連鎖を防ぐ多層の設計思想が生きていました。この一件を機に、同社は在宅勤務者の社内システムアクセスについても「社内ネットワークだから安全」という前提を捨て、アクセスのたびに利用者認証と端末の状態を検証するゼロトラスト型のアクセス制御へ移行する方針を決定しました。

3.2.3この節のまとめ

• FW=IP/ポートで許可・遮断／IDS=検知のみ／IPS=検知+自動遮断／WAF=HTTPの中身を検査という守備範囲の違い
• DMZは外部公開サーバを内部LANから隔離し侵害の連鎖を防ぐ。VPN・プロキシは通信の保護・中継・制御を担う
• ゼロトラストは境界防御を前提とせず都度検証。無線LANはWPA3を用いる