ファイアウォール導入で想定とずれる背景
ファイアウォールとは、社内ネットワークと外部の通信を監視し、許可した通信だけを通す仕組みです。導入の効果を判断する前に、この仕組みが担う範囲を確認しておきましょう。
製品が担う範囲を確認する
ファイアウォールが判断できるのは、その機器を通る通信です。端末の中で起きる動作や、機器を経由しない通信までは対象になりません。社外で使う端末がクラウドサービスへ直接接続する場合、社内に設置した機器を通らない経路が生まれます。
導入前に、守りたい対象と、その対象へ到達する経路を書き出してみましょう。経路ごとに、どの仕組みで確認するかを整理すると、ファイアウォールだけでは対応しきれない範囲が見えてきます。空白が残る部分については、端末側の対策や利用者への案内とあわせて検討することが有効です。
導入の目的を関係者で共有する
導入の目的が関係者の間で異なると、完了後の評価も分かれます。情報システム部門は運用の効率化を、経営層は監査への対応を、業務部門は通信の安定を期待しているという状態は珍しくありません。
着手の段階で、解決したい課題と、完了時に確認する項目を文書にしておきましょう。例えば、ルール変更にかかる時間、遮断された通信の確認にかかる時間、レポート作成の工数といった項目を挙げ、導入前の数値を記録しておくと、導入後の比較ができます。数値で示せると、追加の投資を検討する際の説明もしやすくなります。
ファイアウォールのルール管理が属人化したままになる理由
新しい製品へ入れ替えても、管理の状態が変わらないことがあります。背景には、製品の機能とは別の要因があります。
旧環境の設定をそのまま移した場合
移行の際、既存の設定をそのまま新しい機器へ移す方法は作業が早く進みます。一方で、不要になったルールや、追加した理由が分からないルールも一緒に引き継がれます。結果として、管理しにくい状態が新しい環境でも続く可能性があります。
避けるには、移行を設定の棚卸しの機会として活用しましょう。既存ルールの一覧を出力し、通信ログと突き合わせて利用の形跡を確認します。判断がつかないものは関係部署へ照会する期間を設けてください。作業量が大きい場合は、まず件数の多い拠点や部署から着手し、段階的に進める方法が現実的です。
記録を残す手順が整っていない場合
製品側に変更履歴を残す機能があっても、なぜその変更を行ったかまでは記録されません。依頼者と目的が分からないと、後から削除の判断ができず、設定が増え続ける状態に戻ります。
導入とあわせて、申請の様式を整えることをおすすめします。依頼者、対象の業務、想定する利用期間、承認者を記入する欄を設け、製品側の履歴と対応づけて保管しましょう。ルールに説明文を付けられる製品であれば、申請の番号を記入しておくと照合しやすくなります。特定の担当者だけが内容を把握する状態を避けるため、複数人が参照できる場所に保管してください。
ファイアウォールの機器移行でつまずく原因
旧機種から新機種への入れ替えは、作業当日に通信が通らないといった問題が生じる可能性があります。原因は複数の要素にまたがります。
設定の書き方や仕様の差による影響
メーカーや世代が変わると、設定の記述方法や、既定で有効になっている項目が異なる場合があります。同じ内容を意図して移しても、適用される順序や範囲が変わり、想定と異なる動作になる可能性があります。
対策としては、移行前に検証環境で動作を確認する方法が挙げられます。検証環境を用意できない場合は、まず影響の小さい拠点や部署で先行して切り替え、課題を洗い出してから対象を広げましょう。設定を自動で変換する仕組みが提供されている場合も、変換後の内容を目視で確認する工程を残すことが大切です。
周辺の環境が要因になる場合
通信が通らない原因は、ファイアウォールの設定だけとは限りません。回線側の設定、接続先サービスの許可設定、社内の名前解決の仕組みなど、複数の要素が関係します。機器を交換したタイミングで別の要因が表面化する場合もあります。
切り分けを進めるには、作業前の状態を記録しておくことが有効です。通信の経路、使用している回線の情報、接続先の一覧を整理しておくと、比較しながら原因を絞り込めます。あわせて、問題が起きた際に元の機器へ戻す手順と、その判断を誰が行うかを事前に決めておきましょう。作業を委託する場合も、この判断基準を共有しておくと対応が早まります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でファイアウォールの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
不正アクセスの試行が減らないと感じる理由
導入後もログに不審な通信の記録が残り続けることを不安に感じる場合があります。まず、記録が示している内容を確認しましょう。
試行そのものは外部の動きである点
インターネットに接続している機器には、自動的に多数の接続の試みが行われます。ファイアウォールは、これらを遮断して社内へ入れない役割を担いますが、試行そのものを止める仕組みではありません。ログに遮断の記録が残ることは、機能が動いている状態を示す場合があります。
確認したいのは、遮断された記録ではなく、許可された通信の中に想定外のものがないかという点です。また、同じ送信元から短時間に多数の試行が記録されている場合は、その通信を継続的に遮断する設定が可能かをベンダーへ相談しましょう。判断に迷う記録があれば、情報システム部門や専門事業者へ確認してください。
入り口以外の経路が残っている場合
社内へ入る経路は、通信の入り口だけではありません。メールの添付ファイル、持ち込まれた記録媒体、社外で使う端末経由など、複数の可能性があります。ファイアウォールを導入しても、これらの経路は別の対策で扱う必要があります。
全体像を把握するには、想定される経路を一覧にし、それぞれをどの仕組みで確認しているかを整理する方法が有効です。空白が見つかった場合は、端末を守る仕組みやメールの検査、利用者への案内といった対策を検討します。すべてを同時に整える必要はなく、影響の大きい経路から順に進める計画を立てましょう。
通信量が多い環境で速度が落ちる原因
導入後に通信が遅くなったと感じる場合、機器の処理能力と有効にした機能の組み合わせが関係している可能性があります。
機能を有効にしたことによる負荷
通信の中身を確認する機能や、暗号化された通信を復号して検査する処理は、機器に負荷をかけます。カタログに記載された性能値は、これらの機能を無効にした条件で測定されている場合があるため、実際の環境では数値どおりにならないことがあります。
選定時には、有効にする予定の機能を伝えたうえで、その条件での性能値を確認しましょう。すでに導入している場合は、管理画面で処理の負荷を確認し、どの時間帯に高くなるかを把握します。検査の対象から除外できる通信があれば、負荷を抑えられる場合があります。除外の判断は影響を伴うため、情報システム部門やベンダーと相談して決めてください。
機器の性能と実際の通信量が合わない場合
導入時から従業員数や拠点数が増えている場合、通信量が当初の想定を上回っている可能性があります。同時接続数の上限に近づくと、新しい接続が確立しにくくなる場合もあります。
確認したいのは、現在の通信量と同時接続数、そして機器の上限値です。上限に近い状態が続いているなら、上位の機種への変更や、通信の一部を別の経路へ分ける構成を検討します。判断の材料として、時間帯ごとの数値を数週間分記録しておくとよいでしょう。ベンダーへ相談する際も、実測の数値があると具体的な提案を受けやすくなります。
移行の進め方まで相談したいファイアウォール
機器の入れ替えでは、既存の設定をどこまで引き継げるかが作業量を左右します。移行の支援を含めて確認したい製品を紹介します。
ビジネスセキュリティ（VSR）nシリーズ
- 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
- 管理者負担軽減！導入から運用、保守まですべて一括対応
- 24時間365日の障害検知・切り分けから復旧対応までサポート！
株式会社 USEN ICT Solutionsが提供する「ビジネスセキュリティ（VSR）nシリーズ」は、機器の構築と運用、保守をあわせて提供するUTM製品です。アンチウイルスやWebフィルタリング、不正侵入の検知と防御を備え、24時間365日の障害対応が含まれます。オプションとして社外から社内へ接続する仕組みや負荷分散の機能も用意されています。
MRB-Cloud
- 常時最新のセキュリティを提供。ソフトの導入や定義の更新は不要
- ３つのインバウンドセキュリティで外からの脅威を防御します
- 外出先でも安全に通信可能でリモートワークにも対応します
株式会社アンペールが提供する「MRB-Cloud」は、専用の機器を必要としないクラウド型のUTMサービスです。既存のルーターから接続する形で導入でき、社内へ入る通信と外へ出る通信の両方を対象にした対策を利用できます。機器の老朽化にともなう更新を検討している企業が、構成そのものを見直す際の選択肢になります。
パロアルトネットワークス次世代ファイアウォール （パロアルトネットワークス株式会社）
- インライン ディープラーニングで未知のゼロデイ攻撃を阻止
- 遅延ゼロのシグネチャが数秒で更新
- ML活用可視性でIoTデバイスのプロファイル生成
Sophos Firewall （ソフォス株式会社）
- 各拠点で設定する必要なし！本社で導入作業が完結
- あらゆる規模の企業に対応できる豊富なラインナップ！
- リモートアクセスでは特定領域にアクセスして機密情報を保護可能
ファイアウォールに関するFAQ
ファイアウォールの導入でつまずきやすい点について、よく寄せられる質問と回答をまとめました。
- Q1： 設定をそのまま新しい機器へ移してよいですか？
- 作業は早く進みますが、不要なルールも引き継がれます。移行を棚卸しの機会として活用し、利用の形跡を確認したうえで移す内容を選ぶ進め方をおすすめします。
- Q2： 遮断のログが多いのは問題がある状態ですか？
- 外部からの接続の試みは日常的に発生するため、遮断の記録が残ること自体は機能が動作している状態を示す場合があります。許可された通信の中に想定外のものがないかを確認しましょう。
- Q3： カタログの性能値どおりに動かないことはありますか？
- 測定条件によって数値は変わります。有効にする機能を伝えたうえで、その条件での性能値を確認すると、実際の環境との差を小さくできます。
- Q4： 移行作業で問題が起きた場合はどうすればよいですか？
- 元の機器へ戻す手順と、その判断を誰が行うかを事前に決めておくと対応が早まります。作業を委託する場合も、判断の基準を共有しておきましょう。
まとめ
ファイアウォールの導入が想定とずれる背景には、製品が担う範囲の認識、移行時の設定の扱い、有効にした機能と機器の性能の関係があります。属人化を避けるには申請と記録の様式を整え、移行では段階的な切り替えと復旧手順の準備が有効です。導入前の数値を記録しておくと効果の確認もしやすくなります。自社の条件を整理したうえで、複数の製品資料を取り寄せて比較検討を進めてください。
