ファイアウォールとは? 通信を通す・止めるしくみ

身近なところでは

新しいゲームを起動したとき、パソコンに「ファイアウォールでブロックされています。アクセスを許可しますか」と出たことはありませんか。会社では、「社外からこのサーバには入れない設定です」と言われることがあります。セキュリティのニュースにも、ファイアウォールという言葉はよく出てきます。

英語のfirewallは、もともと建物の「防火壁」のことです。火事が隣の部屋に広がらないように区切る壁から、名前を借りています。ただし、ネットワークのファイアウォールは、全部をふさぐ壁ではありません。通してよいものを選んで通す「門」に近いものです。この記事では、その選び方を順に見ていきます。

ファイアウォールとは: ネットワークの境目の「門」

インターネットでは、データは小さなかたまりに分けて送られます。このかたまりをパケットと呼び、先頭に宛先などを書いた見出しがついています。くわしくは「インターネットはどうやってデータを届けるの?」で説明しています。

家や会社のネットワークと、インターネットの間には境目があります。ここを通るパケットの見出しを1つずつ調べ、通すか捨てるかを決める装置やソフトを、ファイアウォールと呼びます。判断のもとになるのは、人があらかじめ決めておいた規則です。

どこにあるのか: 家・パソコン・会社・クラウド

ファイアウォールは、専用の箱だけを指す言葉ではありません。いろいろな場所に、ソフトとして組み込まれています。

• 家のルータ: 家のネットワークとインターネットの境目にある機器です。外から突然来る通信を止める機能を持つものが多くあります。
• パソコン: Windowsには、標準でファイアウォールが入っていて、最初から有効です。設定の画面では、「ファイアウォールとネットワーク保護」の項目で確かめられます。標準の設定では、受信は「求めた返事」か規則で許したもの以外を止めます。送信は、規則で止めたもの以外を通します。
• 会社のネットワーク: インターネットとの出入口に、専用の装置を置きます。外に公開するWebサーバは、社内とは別の区画に置くのが基本です。この区画をDMZ(非武装地帯)と呼び、公開サーバが乗っ取られても社内まで広がりにくくします。
• クラウド: 借りた仮想のサーバにも、規則で通信を選り分けるしくみが付きます。AWS(Amazonのクラウド)では「セキュリティグループ」と呼びます。新しく作ると、送信はすべて許し、受信の許可は1つもない状態から始まります。クラウドのしくみは「クラウドとは?」で説明しています。

このように、境目の装置で守るものと、1台ずつの機械の上で守るものがあります。実際には、両方を重ねて使うのがふつうです。

しくみ1: 何を見て判断するのか

ファイアウォールが見る項目は、主に3つです。1つ目は、送り主と宛先のIPアドレスです。これは、ネットワークの中で機器を見分ける番号です。くわしくは「IPアドレスとは?」をご覧ください。

2つ目は、機器の中のどのアプリ宛てかを表す受付の番号です。これをポート番号と呼びます。例えば、HTTPSのWebは443番が使われます。番号の決まり方は「TCPとUDPの違いとは?」で説明しています。

3つ目は、通信の向きです。外から中へ入ってくるのか、中から外へ出ていくのかを区別します。ほかに、通信の決まりごとの種類(TCPかUDPかなど)も条件に使えます。

しくみ2: 規則は上から順に、最後は「全部止める」

規則は、表の形で並べて書きます。このような通す・止めるの一覧を、アクセス制御リスト(ACL)と呼びます。次の表は、小さな会社の出入口の規則を、話を簡単にして書いた例です。2行目の22番は、サーバを遠くから操作するための受付です。

多くのファイアウォールは、届いたパケットを表の上から順に照らし合わせます。最初に当てはまった行で扱いを決め、その下の行は見ません。そのため、狭い条件の例外は、広い条件の行より上に書く必要があります。

大事なのは最後の4行目です。どの行にも当てはまらない通信は、すべて止めます。これを「既定で拒否」と呼びます。米国の国立標準技術研究所(NIST)の手引き(SP 800-41)も、許可すると決めた通信以外は止めるよう勧めています。逆に「危ないものだけ止める」書き方では、思いつかなかった通り道がすべて開いたままになるからです。

しくみ3: 返事だけを通す「ステートフルインスペクション」

ここで1つ困ることがあります。社内のパソコンがWebサイトを開くと、サイトから返事のパケットが外から中へ戻ってきます。表の規則だけで判断すると、この返事は「外→中」なので、最後の行で止められてしまいます。

かといって、「外から来るものは全部通す」と書けば、守りになりません。初期の単純なしくみは、通信の状態を覚えません(単純なパケットフィルタリング)。そこでは、見出しに「返事」の印がある通信を通す、といった書き方をしていました。それでは、印だけまねた偽の返事が入り込むすきができます。

そこで今のファイアウォールの多くは、中から始めた通信を覚えておきます。「このパソコンが、このサーバの443番と話し始めた」とメモし、それに合う返事だけを通します。メモにない、外から突然来た通信は止めます。通信の状態(ステート)を覚えて調べるので、これをステートフルインスペクションと呼びます。AWSのセキュリティグループも、この「状態を覚える」方式だと公式に説明しています。

家のルータのNATは「たまたまの壁」

家のルータの多くは、家の中の機器の番号を、インターネット用の1つの番号に書き換えています。この書き換えをNATと呼びます。ルータは、中から始めた通信を対応表に控え、返事を元の機器に戻します。くわしくは「IPアドレスとは?」の「NAPT」の節で説明しています。

外から突然来た通信は、対応表に載っていません。そのため、ルータはどの機器に渡せばよいかわからず、ふつうは中まで届きません。結果として、ステートフルインスペクションに少し似た壁になっています。

ただし、NATはもともと、足りない番号を分け合うために作られたしくみです。守るための機能として設計されたものではありません。インターネットの技術標準を作る団体を、IETFと呼びます。その文書(RFC 4864、2007年)も、番号の書き換えそのものは守りにならないと説明しています。

実際、穴はいくつもあります。ゲームなどのために「ポート開放」を設定すると、その番号に外から来た通信は、中の機器までそのまま届きます。アプリがルータに頼んで自動で穴を開けるしくみ(UPnP)に対応したルータもあります。中から外へ出る通信は、NATでは何も制限されません。

また、新しい番号の形のIPv6では、番号が十分にあるので、ふつうNATを使いません。そこでIETFは2011年の文書(RFC 6092)で、家庭用のIPv6ルータに、状態を覚えるフィルタを入れるよう勧めました。家庭用ルータには、NATとは別にファイアウォールの機能を持つものが多くあります。

中身まで見るファイアウォール

ここまでのファイアウォールは、見出しの番号を見て判断していました。しかし今は、多くのアプリが同じ443番を使います。番号だけでは、それが業務のシステムなのか、禁止しているファイル共有のサービスなのか、区別できません。

そこで、通信の中身の特徴からアプリを見分け、アプリごとに規則を決められる製品が広まりました。これを「次世代ファイアウォール」と呼びます。ただし、暗号化された通信では、見える中身が限られます。攻撃によくある形の通信を見つけて止める機能(IPS)を、一緒に組み込んだものも多くあります。

Webサイトを守る専用のものもあります。Webサーバの手前に置き、送られてきた要求の中身を調べて、典型的な攻撃の形を含むものを止めます。これをWAF(Webアプリケーションファイアウォール)と呼びます。情報処理推進機構(IPA)の手引きによると、WAFは攻撃の影響を和らげるものです。サイトの欠陥そのものを直すわけではありません。それぞれの違いは「ファイアウォール・IDS・IPS・WAFの違い」で表にまとめています。

ファイアウォールでは防げないこと

1. 許可した通り道を通ってくる危険

Webを見るために443番を通していれば、そこを通って届く危ないファイルも通ります。メールに添付された悪いプログラムも同じです。ファイアウォールは「通ってよい道か」を見るもので、運ばれる荷物の安全までは保証しません。

2. だまして入力させる手口

実在の会社を装った偽のサイトで、パスワードを入力させる手口をフィッシングと呼びます。偽のサイトを開く通信は、ふつうのWebの通信と見分けがつかないので、ファイアウォールは通します。偽のサイトの見分け方は「HTTPSとは?」で説明しています。

3. 正しい鍵を持った侵入

会社のVPN装置のように、外から入るために開けてある入口があります。推測しやすいパスワードや、漏れたパスワードで入られると、ファイアウォールには正規の社員と区別がつきません。パスワードが破られるしくみは「パスワードはなぜ破られる?」で、VPN装置が狙われる理由は「VPNとは?」で説明しています。

4. 中にいる人や、中で感染した機器

境目のファイアウォールは、中と中の通信をふつう見ていません。社内の人が持ち出す情報や、社内で感染したパソコンからほかの機器へ広がる攻撃は、入口では止められません。そのため会社では、社内もいくつかの区画に分けます。さらに、使うたびに本人や端末を確かめるゼロトラストという考え方も広がっています。

ファイアウォールは、守りの層の1つです。ソフトの更新、パスワードに加えて別の手段でも確かめる多要素認証、端末の見張りなどを重ねて使います。

ファイアウォールの歩み

1980年代の終わりごろ、大学や企業のネットワークがインターネットでつながり、外からの不正な侵入が問題になりました。米国のコンピュータ会社DEC(ディジタル・イクイップメント)の研究所は、1989年3月に報告を出しました。組織の間の出入口で、パケットを規則で選り分けるしくみの報告です。これが、パケットフィルタリングの早い例です。

同じころ、米国AT&Tのベル研究所でも、社内のネットワークを守る出入口が作られました。そこで働いていたCheswickとBellovinは、1994年に本を出しました。『Firewalls and Internet Security』という本で、考え方を広めました。

イスラエルのCheck Point社は1993年に創業し、1993〜94年ごろに製品「FireWall-1」を出しました(資料により年が分かれます)。中から始めた通信を覚えて返事を通す、ステートフルインスペクションの技術を使った製品です。パソコンでは、2004年のWindows XPの大きな更新(SP2)から、ファイアウォールが標準で有効になりました。

よくある誤解

数字で見る

ポート番号は65,536通りありますが、家庭のパソコンで外からの受付が必要なものは、ふつうほとんどありません。規則で「必要な数個だけ開け、ほかは全部閉じる」と書けるのは、このためです。

もっと詳しく学ぶ

• 守りのしくみを表で比べる: ファイアウォール・IDS・IPS・WAFの違い
• 境目で守る考え方と、その次の考え方: 境界型防御とゼロトラストの違い
• ネットワークの区切り方を計算で試す: IPアドレス・サブネット計算
• 次の一歩の用語: 侵入検知システム(IDS)(攻撃らしい通信を見つけて知らせる)、最小権限の原則(必要な分だけ許す考え方)、VLAN(1つの機器でネットワークを区切る)
• 関連する記事: 「VPNとは?」「暗号とは?」