ファイアウォールの不具合を切り分ける手順
ファイアウォールとは、社内ネットワークと外部の通信を監視し、許可した通信だけを通す仕組みです。通信が通らない場合、原因は複数考えられるため、順を追って確認します。
影響の範囲を先に確認する
最初に確認したいのは、影響がどこまで及んでいるかです。特定の利用者だけか、特定の部署か、拠点全体か、社内全体かによって、疑うべき箇所が変わります。あわせて、特定の接続先だけで起きているのか、すべての通信で起きているのかも確認しましょう。
範囲が特定の接続先に限られる場合は、その接続先の状態や経路上の設定が関係している可能性があります。一方、拠点全体で通信できない場合は、機器の状態や回線が要因になっている可能性があります。確認した内容は記録に残し、後から経緯を追える形にしておくと、ベンダーへ相談する際にも役立ちます。
直近の変更を確認する
不具合が発生した時期の前後に、何らかの変更が行われていないかを確認します。ファイアウォールの設定変更だけでなく、ソフトウェアの更新、接続先サービスの仕様変更、回線の工事、社内の他のシステムの変更も対象です。
変更の記録が残っていれば、時系列で並べて発生時刻と照らし合わせられます。記録が残っていない場合は、関係する部署や委託先へ確認しましょう。原因が自社側にあるとは限らないため、接続先の事業者が公開している障害情報も確認してください。複数の関係者が関与する場合は、それぞれへ同時に確認を進めると切り分けが早まります。
ファイアウォールが正常な通信を遮断する場合
業務に必要な通信が通らない状態は、設定の内容と製品の判断方式の両面から確認します。ここでは2つの機能を取り上げます。
通信の可否判断で遮断される場合
送信元と宛先、使用する経路をもとに判断する方式では、ルールの適用順序によって意図しない遮断が生じる場合があります。上位に広い範囲を遮断するルールがあると、その下に追加した許可のルールが適用されないことがあります。
確認する際は、該当する通信がどのルールで処理されたかをログから特定します。多くの製品では、遮断されたログに適用されたルールの情報が記録されます。原因が特定できたら、順序の調整や条件の見直しを行いましょう。変更の前に現在の設定を保存し、問題が起きた際に戻せるようにしておくことが大切です。
アプリケーション単位の制御で遮断される場合
通信の中身を確認してサービスを判別する方式では、判別に使う定義が最新でない場合や、通信の特徴が定義と一致しない場合に、意図しない扱いを受ける可能性があります。サービス側の仕様変更によって、それまで判別できていた通信が判別されなくなることもあります。
対応としては、定義の更新状況を確認し、最新の状態にしたうえで再度確認します。それでも解消しない場合は、該当する通信の情報をベンダーへ提供し、判別の状況を確認してもらいましょう。業務への影響が大きい場合は、一時的に該当の通信を対象から除外する設定も選択肢になりますが、影響を伴うため情報システム部門と相談して判断してください。
ファイアウォールのログ反映が遅れる場合
ログが表示されない、あるいは反映まで時間がかかる状況では、記録の仕組みと保存先の状態を確認します。
反映が遅れる要因を確認する
ログの反映が遅れる背景には、機器の処理負荷が高い状態、保存領域の空き容量が不足している状態、外部へ転送する経路が滞っている状態などが考えられます。通信量が多い時間帯に集中して発生する場合は、負荷が関係している可能性があります。
確認したいのは、機器の管理画面で確認できる処理の負荷と保存領域の使用状況です。外部のログ管理基盤へ転送している場合は、転送先の状態や経路上の通信も確認します。原因が一方に限られるとは限らないため、機器側と転送先の双方を確認する進め方が有効です。
記録の欠落を防ぐ備えを用意する
反映の遅れが続くと、必要なときに記録が確認できない状態につながります。保存領域が上限に達した際の動作を確認しておきましょう。古い記録から上書きされる設定になっている場合、調査に必要な期間の記録が残らない可能性があります。
備えとしては、外部へ転送して長期保存する構成、保存領域の使用率が一定を超えた際に通知を受ける設定、定期的に容量を確認する運用が挙げられます。転送が一時的に途切れた際に、復旧後へ再送できるかも確認項目です。記録の欠落は後から取り戻せないため、導入時に仕組みを整えておくことをおすすめします。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でファイアウォールの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
社外からの接続が不安定になる場合
暗号化された経路で社外から社内へ接続する仕組みでは、接続が確立しない、途中で切断される、速度が出ないといった事象が生じる場合があります。
接続が確立しない場合の確認
接続できない状況では、利用者側の回線、端末に導入したソフトウェアの状態、認証の情報、機器側の同時接続数の上限が確認の対象になります。特定の利用者だけで起きる場合と、全員で起きる場合とでは疑う箇所が異なります。
全員で起きている場合は、機器側の状態や上限への到達を確認します。特定の利用者だけの場合は、その利用者の回線環境や端末の設定を確認しましょう。公衆無線など通信が制限された環境では、接続に必要な経路が使えない場合があります。利用者から状況を聞き取る際の確認項目を用意しておくと、対応が進みやすくなります。
接続が途切れる場合の確認
接続後に切断される場合は、無通信状態が続いた際に自動で切断する設定、回線の一時的な不安定さ、機器側の負荷などが考えられます。切断の記録がログに残っていれば、時刻と理由を確認できる場合があります。
製品側で確認したいのは、切断までの待機時間を調整できるか、切断された際に自動で再接続する仕組みがあるかという点です。あわせて、同時接続数の上限に近い状態が続いていないかも確認しましょう。原因が回線側にある可能性もあるため、複数の環境で試して比較すると切り分けが進みます。
不具合に備えたファイアウォールの運用体制
事象が起きた際に慌てないためには、事前の備えが効果を発揮します。ここでは整えておきたい項目を挙げます。
復旧しやすい状態を整える
設定変更の前に現在の状態を保存し、問題が起きた際に戻せる手順を用意しておきましょう。保存と復元が管理画面から行えるか、復元にかかる時間はどの程度かを、導入時に確認しておくと安心です。
あわせて、対応の手順を文書にまとめておきます。影響範囲の確認、直近の変更の確認、ログの取得、ベンダーへの連絡という流れを書き出し、担当者が変わっても同じ手順で進められる形にしましょう。連絡先と対応時間帯も文書に含め、複数の担当者が参照できる場所に保管してください。
製品選定時に確認したい項目
不具合への対応しやすさは、製品選定の段階でも比較できます。ログに適用されたルールの情報が記録されるか、設定の保存と復元が容易か、通知の条件を調整できるかといった項目が該当します。
あわせて、サポートへ問い合わせる際の手順と対応時間帯を確認しましょう。障害の切り分けに必要な情報を取得する機能が用意されているかも確認項目です。試用の機会があれば、実際に情報を取得する操作を試してみると、対応時の負担を把握できます。委託先がある場合は、どちらが調査を担当するかも取り決めておきましょう。
切り分けを進めやすいファイアウォール
通信が通らない場合に、記録から原因を追える仕組みがあるかは対応の速さに関わります。運用のしやすさを確かめたい製品を紹介します。
ビジネスセキュリティ（VSR）nシリーズ
- 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
- 管理者負担軽減！導入から運用、保守まですべて一括対応
- 24時間365日の障害検知・切り分けから復旧対応までサポート！
株式会社 USEN ICT Solutionsが提供する「ビジネスセキュリティ（VSR）nシリーズ」は、複数のセキュリティ機能をまとめて備えたUTM製品です。Webフィルタリングや不正侵入の検知と防御に対応し、セキュリティポリシーの設定や変更もサービスとして依頼できます。ログのレポート機能が用意されている点も、状況を把握したい場合の材料になります。
MRB-Cloud
- 常時最新のセキュリティを提供。ソフトの導入や定義の更新は不要
- ３つのインバウンドセキュリティで外からの脅威を防御します
- 外出先でも安全に通信可能でリモートワークにも対応します
株式会社アンペールが提供する「MRB-Cloud」は、クラウドで提供されるUTMサービスです。複数の拠点をまとめて管理できる構成に対応しており、拠点ごとに機器を保守する手間を抑えられます。外出先からの通信も保護の対象にできるため、社外で働く従業員がいる環境でも検討できます。
FortiGate （フォーティネットジャパン合同会社）
- SSL化通信も検査し不正な通信を検出
- 独立機関による認定を獲得
- 監査の自動化によりセキュリティ担当者の負担軽減
Sophos Firewall （ソフォス株式会社）
- 各拠点で設定する必要なし！本社で導入作業が完結
- あらゆる規模の企業に対応できる豊富なラインナップ！
- リモートアクセスでは特定領域にアクセスして機密情報を保護可能
ファイアウォールに関するFAQ
ファイアウォールの機能にかかわる事象について、よく寄せられる質問と回答をまとめました。
- Q1： 正常な通信が遮断された場合、まず何を確認すべきですか？
- 影響の範囲と直近の変更を確認したうえで、ログから該当する通信がどのルールで処理されたかを特定します。設定を変更する前に、現在の状態を保存しておきましょう。
- Q2： ログが表示されないのは故障でしょうか？
- 機器の処理負荷や保存領域の空き、転送経路の状態など複数の要因が考えられます。管理画面で負荷と容量を確認し、外部転送を行っている場合は転送先の状態もあわせて確認してください。
- Q3： 社外からの接続が特定の人だけ不安定です。
- 利用者の回線環境や端末の設定が関係している可能性があります。別の回線で試すなど条件を変えて確認すると、機器側の問題かどうかを切り分けやすくなります。
- Q4： 不具合が起きたときの連絡先はどこになりますか？
- 保守契約の内容によって窓口と対応時間帯が異なります。運用を委託している場合は、自社と委託先のどちらが一次対応を行うかも契約時に取り決めておきましょう。
まとめ
ファイアウォールで生じる事象は、影響範囲と直近の変更を確認したうえで、ログをもとに切り分ける進め方が基本です。遮断はルールの順序や判別の定義、ログの遅れは負荷や保存領域、接続の不安定さは上限や回線環境が確認の焦点になります。設定の保存と復元、対応手順の文書化を整えておくと復旧が進みやすくなります。運用のしやすさも含めて、複数の製品資料を取り寄せて比較検討を進めてください。
