ファイアウォールの基本となる通信制御機能
ファイアウォールとは、社内ネットワークと外部の通信を監視し、許可した通信だけを通す仕組みです。その中心にあるのが、通信を通すかどうかを判断する機能です。判断の材料をどこまで見るかで方式が分かれます。
パケットフィルタリングによる判断
パケットフィルタリングとは、通信を小さな単位に分けた「パケット」について、送信元と宛先のIPアドレスや、ポート番号などをもとに通すかどうかを判断する方式です。ファイアウォールの基本にあたる機能で、多くの製品に搭載されています。
比較する際は、設定できるルールの数の上限、ルールを適用する順序を調整できるか、時間帯によって適用を切り替えられるかを確認しましょう。あわせて、通信のやり取りの状態を記憶して判断する方式に対応しているかも確認項目です。この方式では、社内から出した通信への応答だけを通すといった制御ができます。
アプリケーション単位での制御
通信の経路番号だけでは、同じ経路を使う複数のサービスを区別できません。アプリケーション単位の制御は、通信の中身を確認してどのサービスの通信かを判別し、サービスごとに可否を決める機能です。この機能を備えた製品は、次世代ファイアウォールと呼ばれます。
比較の際は、判別できるサービスの一覧が公開されているか、業務で使うサービスが含まれているかを確認しましょう。また、判別の定義が更新される頻度も確認項目です。新しいサービスが登場しても定義が更新されなければ判別できません。利用者や部署ごとに異なるルールを適用できるかもあわせて見ておくと、運用の幅を検討できます。
攻撃の検知にかかわるファイアウォールの機能
通信の可否を判断するだけでなく、通信の中に含まれる攻撃を見つける機能もあります。導入すれば侵入を防げるわけではなく、検知後の運用とあわせた検討が必要です。
侵入検知と防御を行う機能
IPSとは、通信の中身を確認し、攻撃の特徴や異常な通信パターンなどをもとに不正な通信を検知・遮断する機能です。IDSと呼ばれる仕組みは検知と通知にとどまり、遮断まで行う点がIPSの違いです。ファイアウォールに内蔵されている製品と、別の機器として提供される製品があります。
比較する際は、検知の定義がどの頻度で更新されるか、検知時の動作を遮断と通知のどちらかに選べるか、検知した内容を後から確認できるかを見ておきましょう。業務に必要な通信を誤って遮断する可能性があるため、まず通知だけを行う設定で運用し、様子を見ながら切り替える進め方が現実的です。機能を有効にすると処理の負荷が上がるため、有効時の性能も確認してください。
不正なプログラムや接続先を確認する機能
通信に含まれるファイルを検査し、不正なプログラムを見つける機能や、接続先の分類にもとづいて業務に不要なサイトへの通信を制限する機能もあります。これらは別のライセンス契約になる場合があるため、費用とあわせて確認しましょう。
確認したいのは、暗号化された通信を対象にできるかという点です。現在のWeb通信は暗号化されているものが多く、中身を確認するには通信をいったん復号する処理が必要です。この処理には設定作業と機器の性能が求められ、対象外にする通信の指定も必要になります。導入時の作業範囲をベンダーへ確認しておくと、想定外の工数を避けられます。
接続と可用性を支えるファイアウォールの機能
社外から社内へつなぐ仕組みや、機器が停止しても通信を続ける仕組みも、製品選定で確認される機能です。業務の継続性に直結する部分です。
社外から社内へ接続する機能
VPNとは、インターネット上に暗号化された経路を作り、社外から社内ネットワークへ安全に接続する仕組みです。ファイアウォールに内蔵されている製品では、追加の機器を用意せずに社外からの接続を実現できる場合があります。
比較する際は、同時に接続できる人数の上限、対応する接続方式、利用者ごとにアクセスできる範囲を分けられるかを確認しましょう。上限を超える人数が接続する必要が生じた場合に、追加ライセンスで対応できるかもあわせて確認しておくと安心です。接続に必要なソフトウェアの提供形態や、対応する端末の種類も、自社の環境と照らして確認してください。
機器が停止しても通信を続ける構成
冗長化構成とは、同じ機器を複数用意し、一方に障害が起きても他方が通信を引き継ぐ仕組みです。通信が止まると業務が滞る環境では、検討対象になります。引き継ぎにかかる時間は製品や構成によって異なります。
比較する際は、引き継ぎの方式、切り替えにかかる時間の目安、切り替え時に通信が途切れるかどうかを確認しましょう。設定内容が自動で同期されるかも確認項目です。同期されない場合、片方だけ設定を変更した状態が生まれる可能性があります。あわせて、2台目の機器にライセンスが別途必要かどうかも、費用の比較に影響します。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でファイアウォールの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
ログと管理にかかわるファイアウォールの機能
導入後の運用を左右するのが、記録を残し確認する機能です。問題が起きた際に原因を追えるかどうかは、この部分の作り込みで変わります。
ログを詳細に管理する機能
通信ログには、いつどの端末がどこへ通信し、許可されたか遮断されたかが記録されます。ログを詳細に扱える製品では、条件を指定して絞り込む、期間を指定して集計する、外部へ転送するといった操作ができます。
比較する際は、機器の中に保存できる期間と容量、外部のログ管理サービスへ転送できるか、転送時の形式は何かを確認しましょう。記録される項目の細かさも製品によって差があります。利用者名まで記録されるか、遮断した理由が分かる形で残るかは、原因調査の効率に影響します。長期保存が必要な場合は、外部で保管する構成も検討してください。
複数の機器をまとめて管理する機能
拠点が複数ある場合、一つの管理画面から複数の機器を操作できる機能が運用の負担を左右します。共通のルールをまとめて配布し、拠点ごとの差分だけを個別に設定する運用が可能になります。
確認したいのは、管理できる台数の上限、管理画面と拠点機器の通信が途切れた際の動作、拠点担当者へ一部の操作だけを許可できるかという点です。あわせて、レポートを定期的に自動作成できるか、その項目を選べるかも見ておきましょう。報告資料の作成にかかる時間を減らせる場合があります。
ファイアウォールの機能を比較する進め方
機能の一覧を並べるだけでは判断が難しいため、自社の条件に照らして優先順位を決めてから比較します。ここでは進め方を整理します。
機能ごとの確認項目を整理する
下表は、代表的な機能について比較時に確認したい項目をまとめたものです。搭載の有無だけでなく、設定できる範囲まで踏み込んで確認すると、導入後の差が見えてきます。
| 機能 | 確認したい項目 |
|---|---|
| パケットフィルタリング | ルール数の上限、適用順序の調整、時間帯による切り替え |
| アプリケーション制御 | 判別できるサービスの一覧、定義の更新頻度、利用者別の適用 |
| 侵入検知と防御 | 定義の更新頻度、遮断と通知の選択、有効時の処理性能 |
| 社外接続 | 同時接続数の上限、対応する接続方式、対応端末の種類 |
| 冗長化構成 | 切り替え時間、設定の自動同期、2台目のライセンス要否 |
| ログ管理 | 保存期間と容量、外部転送の可否、記録される項目の細かさ |
必要な機能の優先順位を決める
すべての機能を備えた製品を選べば安心とは限らず、使わない機能に費用をかける状態にもつながります。まず、守りたい対象と業務上の制約を書き出し、そこから必要な機能を導く進め方が有効です。
例えば、社外勤務がある企業では社外接続の機能が優先され、通信を止めにくい業務では冗長化構成が優先されます。監査への対応が求められる企業では、ログと管理の機能が中心になります。優先順位を整理したうえで、複数社から同じ条件で提案を受けると、比較の精度が上がります。
必要な機能から選ぶファイアウォール
通信の中身を確認する機能や社外からの接続、冗長化への対応は製品によって差があります。機能の範囲を確かめたい製品を紹介します。
ビジネスセキュリティ（VSR）nシリーズ
- 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
- 管理者負担軽減！導入から運用、保守まですべて一括対応
- 24時間365日の障害検知・切り分けから復旧対応までサポート！
株式会社 USEN ICT Solutionsが提供する「ビジネスセキュリティ（VSR）nシリーズ」は、複数のセキュリティ機能をまとめて備えたUTM製品です。Webフィルタリングや不正侵入の検知と防御に対応し、セキュリティポリシーの設定や変更もサービスとして依頼できます。ログのレポート機能が用意されている点も、状況を把握したい場合の材料になります。
MRB-Cloud
- 常時最新のセキュリティを提供。ソフトの導入や定義の更新は不要
- ３つのインバウンドセキュリティで外からの脅威を防御します
- 外出先でも安全に通信可能でリモートワークにも対応します
株式会社アンペールが提供する「MRB-Cloud」は、クラウドで提供されるUTMサービスです。複数の拠点をまとめて管理できる構成に対応しており、拠点ごとに機器を保守する手間を抑えられます。外出先からの通信も保護の対象にできるため、社外で働く従業員がいる環境でも検討できます。
FortiGate （フォーティネットジャパン合同会社）
- SSL化通信も検査し不正な通信を検出
- 独立機関による認定を獲得
- 監査の自動化によりセキュリティ担当者の負担軽減
次世代ファイアウォール （パロアルトネットワークス株式会社）
- シグネチャの配信はわずか10秒
- 多様な製品ラインナップ
- コンテナ環境に特化したファイアウォールも提供
次世代ファイアウォール（NGFW） （チェックポイント・ソフトウェア・テクノロジーズ株式会社）
- ガートナーによってリーダーに選出された実績
- エミュレーション機能SandBlastにより未知の脅威も検出
- 導入や管理がシンプルで分かりやすい
ファイアウォールに関するFAQ
ファイアウォールの機能について、よく寄せられる質問と回答をまとめました。
- Q1： 次世代ファイアウォールと従来型は何が違いますか？
- 従来型は通信の宛先や経路をもとに判断するのに対し、次世代と呼ばれる製品は通信の中身を確認してサービス単位で制御できる点が特徴です。搭載機能の範囲は製品によって異なります。
- Q2： IPSは必ず内蔵されていますか？
- 製品によって異なり、内蔵しているものと別機器や別ライセンスで提供されるものがあります。内蔵の場合も有効化に追加契約が必要な場合があるため、費用とあわせて確認しましょう。
- Q3： VPN機能があれば別途サービスを契約しなくてよいですか？
- 同時接続数の上限や対応する端末の種類によっては、別のサービスが必要になる場合があります。社外から接続する人数と利用する端末を整理したうえで確認してください。
- Q4： 機能を多く有効にすると通信は遅くなりますか？
- 通信の中身を確認する処理は負荷がかかるため、機器の性能によっては速度に影響する可能性があります。機能を有効にした条件での性能値をベンダーへ確認することをおすすめします。
まとめ
ファイアウォールの機能は、通信の可否を判断するもの、攻撃を検知するもの、接続と可用性を支えるもの、記録と管理を担うものに分けて整理すると比較しやすくなります。搭載の有無だけでなく、設定できる範囲や定義の更新頻度、有効時の性能まで確認することが大切です。自社に必要な機能の優先順位を整理したうえで、複数の製品資料を取り寄せて比較検討を進めてください。
