ファイアウォールとは何でしょうか？どのような役割があり、どのように機能するのでしょうか？

ファイアウォールとは、あらかじめ設定されたセキュリティルールに基づいて、送受信されるネットワークトラフィックを監視および制御するために設計されたセキュリティシステムです。インターネットなどの信頼できない外部ネットワークと、信頼できる内部ネットワークの間の障壁として機能し、不正アクセスやその他のサイバー脅威(新しいウィンドウ)から保護します。

お客様がホームネットワーク、ホームオフィス(新しいウィンドウ)のセットアップ、あるいは数千台のエンドポイントを抱える企業ネットワークを保護する場合でも、同じ基本原則が適用されます：

ファイアウォールは、ネットワークに入るもの、出るもの、そしてブロックされるものを決定します。

本ガイドでは、次の内容を取り上げます：

• ファイアウォールはどのように機能するのか？
• ファイアウォールは何をするのか？
• ファイアウォールとウイルス対策ソフトの違いとは？
• ネットワークファイアウォールが重要な理由とは？
• ファイアウォールの簡単な歴史
• ファイアウォールの種類
• VPNとファイアウォールはどのように相互作用するのか？
• お客様のビジネスに適したファイアウォールの選び方とデプロイ方法
• ファイアウォールにできないこと
• FAQ

ファイアウォールはどのように機能するのでしょうか？

お客様の家をローカルプライベートネットワーク（LAN）、すなわちインターネットに接続しているモデムやルーターに接続された、家の中のすべてのデバイスであると想像してみてください。ファイアウォールは、お客様の家の玄関に立つ警備員のように機能します。信頼できる訪問者（安全なデータ）を通し、見知らぬ人（危険なデータ）をブロックし、内部の全員が適切に行動しているか監視します。

警備員は、誰が家に入ることを許可されているかを示すゲストリスト（ルールセット）を持っています。例えば、友人や家族はリストに載っていますが、見知らぬ人や不審な人物は載っていません。

誰かがドアに近づくと、警備員は身分証明書の提示を求めます（ネットワークを介して転送されるデータの単位であるデータパケットを検査します）。警備員は、名前（IPアドレス(新しいウィンドウ)）や訪問理由（プロトコル/ポート番号）などの重要な詳細を確認します。その人物（データパケット）がゲストリストと一致する場合、警備員は中に入れます。リストに載っていない場合や不審に見える場合は、警備員はその人物を追い返します。

中に入ると、警備員は訪問者が立ち入り禁止の部屋（お客様のネットワークの機密部分）に入らないように監視します。許可なくこれらの部屋にアクセスしようとする者がいれば、外へ連れ出されます。

ファイアウォールは多くの場合、双方向で機能します。つまり、送受信されるトラフィックの両方をフィルタリングし、 インターネット上のユーザーが制限されたローカルリソースに接続するのを防ぐだけでなく、ローカルユーザーがインターネット上の指定されたリソースに接続するのも防ぎます。一部のファイアウォールは、送信のみを対象としています。

送信型のファイアウォールは、ローカルデバイスがマルウェアに関連するIPアドレスに接続するのを防いだり、コンテンツを制限したりするために使用されます。学校がファイアウォールを使用して生徒によるソーシャルメディアコンテンツへのアクセスを禁止したり、規制の厳しい政府が、社会的、宗教的、文化的、政治的な理由から不適切とみなすコンテンツをブロックするためにファイアウォールを使用したりすることがあります（中国のグレート・ファイアウォール(新しいウィンドウ)など）。

同じ「警備員」の論理は、規模は劇的に大きくなりますが、ビジネスの場にも適用されます。1軒の家ではなく、オフィスビル、データセンター、そして自宅から接続している複数のリモートワーカーを想像してみてください。企業のファイアウォール（多くの場合、複数のファイアウォールが連携して機能します）は、これらすべてに対して同じゲストリストを一貫して適用する必要があります。

ファイアウォールは何を行うのでしょうか？

ファイアウォールは、主に以下の3つの機能を果たします：

1. トラフィックのフィルタリング

ファイアウォールは、IPアドレス、ポート番号、プロトコル、コンテンツなどの特定の基準に基づいて、データパケットを許可すべきかブロックすべきかを分析し、判断します。

2. ルールセットの適用

管理者は、どのトラフィックを許可または拒否するかを定義するルールセットをファイアウォールに設定します。これらのルールは、許可されるアクティビティと禁止されるアクティビティを規定するセキュリティポリシーに基づいています。

3. 監視とログ記録

ファイアウォールはネットワークトラフィックを継続的に監視し、重大なイベントをログに記録することで、ネットワーク管理者にネットワークのアクティビティや潜在的なセキュリティリスクに関する貴重なインサイトを提供します。

ファイアウォールとウイルス対策ソフト：違いは何でしょうか？

すでにウイルス対策ソフトウェアを導入している小規模な組織にとって、ファイアウォールにもセキュリティ予算を割くべきかどうかを決定することは、よくある悩みです。ほとんどの場合、答えは「イエス」です。なぜなら、これらのツールは異なる対象を保護するからです。

保護範囲

• ファイアウォールはネットワークを保護し、そもそもどのトラフィックの出入りを許可するかを決定します。
• ウイルス対策ソフトウェアは個々のデバイスを保護し、すでに存在するファイルやプロセスをスキャンして、既知のマルウェアのシグネチャや不審な挙動を検出します。

何を検知するか

• ファイアウォールは、接続の試みがデバイスに到達する前にブロックすることができます。
• ウイルス対策ソフトウェアは、すでにデバイスに到達した脅威に対処します。例えば、すでに許可された接続を介してダウンロードされた悪意のあるファイルなどです。

機能するタイミング

• ファイアウォールは、境界部分でトラフィックに対してリアルタイムに機能します。
• ウイルス対策ツールは通常、事後に機能し、ファイルや実行中のプロセスをスキャンして侵害の形跡がないかを確認します。

したがって、どちらのツールも悪意のある脅威からの保護に役立ちますが、攻撃の異なる段階をカバーしています。ファイアウォールは、そもそもお客様のデバイスに到達する脅威の量を減らし、ウイルス対策ソフトウェアは、すり抜けてきたものをキャッチします。

ネットワークファイアウォールはなぜ重要なのでしょうか？

ファイアウォールの使用には、いくつかのメリットがあります：

• 潜在的な脅威がネットワークに侵入する前に特定してブロックすることで、セキュリティを向上させます
• 機密情報を保護します
• 規制やコンプライアンスの要件への準拠を支援します
• ネットワークトラフィックの制御と最適化に役立ちます

ファイアウォールは、内部ネットワークとインターネットの間の境界にデプロイする（境界ファイアウォールと呼ばれます）ことも、ネットワーク内の特定のセグメントやリソースを保護するためにネットワーク内部にデプロイする（内部ファイアウォールと呼ばれます）こともできます。

クラウドファイアウォール（サービスとしてのファイアウォール(新しいウィンドウ) (FWaaS) としても知られています）は、クラウドにホストされ、クラウドベースのインフラストラクチャにファイアウォール保護を提供します。このようなファイアウォールは、クラウドサービスプロバイダーによって管理されます。

特に企業において、ファイアウォールはオプションの追加機能ではなく、基本的な要件であることがよくあります。多くのコンプライアンスフレームワークやサイバー保険のポリシーでは、組織が適切に保護されていると判断する前に、何らかの形式のネットワークファイアウォールが設置されていることを求めています。

ファイアウォールの短い歴史

概念としてのファイアウォールは1980年代後半に初めて登場し、それ以来、大きく分けて4つの世代を経てきました。

パケットフィルタリング（ステートレス）ファイアウォール：最初期の形態です。

ステートフルファイアウォール：各パケットを個別に判断するのではなく、アクティブな接続の状態を追跡する機能が追加されました。

プロキシ（アプリレベル）ファイアウォール：ヘッダーだけでなく、トラフィックの内容全体の検査機能が追加されました。

次世代ファイアウォール（NGFW）：上記の機能に、ディープパケットインスペクション（DPI）(新しいウィンドウ)、侵入防止、アプリの識別などの機能を組み合わせており、現在企業向けに「ファイアウォール」として販売されている製品の大部分がこれに該当します。

ファイアウォールの種類

ファイアウォールにはさまざまな種類があり、それぞれが異なるセキュリティニーズに対応し、多様なレベルの保護を提供するように設計されています。

パケットフィルタリングファイアウォールとは？

パケットフィルタリングファイアウォールは、送信元と送信先のIPアドレス、ポート番号、プロトコル情報などを含むデータ（IP）パケットのヘッダーを検査します。その後、これらのヘッダーに基づくルールを適用し、パケットを許可するかブロックするかを決定します。

スタンドアロンのパケットフィルタリングファイアウォールは理論上存在しますが、現実には、すべてのファイアウォールがパケットをフィルタリングします。これはファイアウォールの最も基本的な機能です。

ステートフルファイアウォールとは？

動的パケットフィルタリングとも呼ばれるこれらのファイアウォールは、アクティブな接続の状態を追跡し、トラフィックの状態とコンテキストに基づいて判断を下します。パケットヘッダーを検査し、アクティブな接続に関する情報を記録するステートテーブルを維持します。

事前に定義されたルールとパケットヘッダーに含まれる情報（IPアドレスやポート番号など）のみに基づいてパケットをフィルタリングするステートレスファイアウォールとは異なり、ステートフルファイアウォールはアクティブなセッションの状態を追跡し、この情報を使用して、トラフィックを許可するかブロックするかをより的確に判断します。

ステートテーブルには、送信元と送信先のIPアドレス、ポート番号、接続の現在の状態などの情報が含まれます。接続のコンテキストを理解することで、ステートフルファイアウォールはより高度な判断を下すことができます。たとえば、パケットが既存の正当な接続の一部であるか、あるいは攻撃の一部である可能性のある、要請されていないパケットであるかを識別できます。

現実世界のほぼすべてのファイアウォールはステートフルファイアウォールです。以下で説明するように、追加機能を提供する場合がありますが、これらはほぼ例外なくステートフルファイアウォールを改良したものです。

プロキシファイアウォールとは？

プロキシファイアウォールは、お客様とインターネットの間の仲介役として機能します。お客様の代わりにリクエストを行い、データパケット全体（ヘッダーとペイロード）を検査し、安全であると判断された場合にデータを送信先に送信します。

プロキシファイアウォールは、機密情報を扱う企業ネットワークなど、アプリデータのディープインスペクション（深い検査）が重要な環境に最適です。

原則として、プロキシファイアウォールはパフォーマンスを向上させ、帯域幅の使用量を削減します。しかし、複雑でリソース消費が大きくなりやすく、ネットワークパフォーマンスを低下させるボトルネックになることが多いという事実によって、このメリットは相殺されがちです。

次世代ファイアウォール（NGFW）とは？

NGFWは、従来のファイアウォール機能に、ディープパケットインスペクション、侵入防止システム（IPS）、暗号化済みトラフィックの検査などの追加機能を組み合わせています。アプリを識別および制御し、高度な脅威を検出・防止し、セキュリティポリシーを適用できます。

次世代ファイアウォールは、高度な脅威の特定と阻止において非常に効果的であり、複数のセキュリティ機能を統合することで包括的なセキュリティを提供します。ただし、価格が高く、管理も複雑であるため、巧妙なサイバー脅威から保護するために高度なセキュリティ機能を必要とする組織に最適です。

統合脅威管理（UTM）ファイアウォールとは？

UTMファイアウォールは、さまざまなファイアウォールの種類、アンチウイルスソフトウェア、侵入検出など、複数のセキュリティサービスを統合し、ネットワークセキュリティに対する包括的なアプローチを提供します。

NGFWファイアウォールのような専門的なセキュリティソリューションの高度な機能や柔軟性には及びませんが、UTMファイアウォールは複数のセキュリティ機能を統合してセキュリティ管理を簡素化するため、中小企業にとってコストパフォーマンスに優れたソリューションと見なされることがよくあります。

ネットワークアドレス変換（NAT）ファイアウォールとは？

NATファイアウォールは、転送中のIPパケットヘッダーにあるネットワークアドレス情報を変更し、ローカルネットワーク上の複数のデバイスが単一のパブリックIPアドレスを共有できるようにします。これらは、ローカルデバイスがインターネットに接続するための家庭用ルーターやオフィスのLANゲートウェイサーバーでよく使用されます。

NATファイアウォールは、内部IPアドレスを隠すことでセキュリティ層を追加しますが、通常はより包括的なセキュリティを提供するために、他の種類のファイアウォールと併用されます。

ウェブアプリファイアウォール（WAF）とは？

ウェブアプリファイアウォール（WAF）は、ウェブアプリとインターネットの間のHTTP/HTTPSトラフィックをフィルタリングして監視することで、ウェブアプリを保護するために設計された専門的なファイアウォールです。WAFは、受信トラフィックを検査およびフィルタリングすることにより、SQLインジェクションやクロスサイトスクリプティング（XSS）、その他の一般的なウェブへの攻撃からウェブアプリを守ります。

ヒューマンファイアウォールとは？

「ヒューマンファイアウォール」とは、サイバーセキュリティの脅威に対する防衛線として機能する、組織内の従業員の共同の取り組みを指す例えです。この概念は、ファイアウォール、アンチウイルスソフトウェア、侵入検知システムなどの技術的な防御を補完し、組織のセキュリティを強化する上での人間の意識と行動の役割を強調しています。

VPNとファイアウォールはどのように相互作用しますか？

VPN(新しいウィンドウ)は、お客様のデバイスとVPNサーバーの間に暗号化されたトンネルを作成します。

これにより、VPNサーバー(新しいウィンドウ)とお客様のデバイスの間にあるすべてのファイアウォールがお客様のデータに干渉するのを防ぐため、VPNトンネル内のデータはファイアウォールを単純にバイパスします。これには、家庭用のモデムやルーター、オフィスの企業サーバーにあるファイアウォールも含まれます。

VPNの仕組みについてより詳しく(新しいウィンドウ)

この問題に対処するため、ほとんどのVPNプロバイダー（Proton VPNを含む）は、お客様を保護するためにサーバーにファイアウォールを実装しています。たとえば、Proton VPNサーバーはステートフルファイアウォールを使用して、お客様によって開始されていないすべての受信トラフィック接続を拒否します。

開始されていない受信接続を希望する場合（たとえば、お客様がトレントを使用(新しいウィンドウ)している場合など）、ファイアウォールに穴を開けるポート転送(新しいウィンドウ)機能を提供しています。これにより一部のセキュリティリスク(新しいウィンドウ)が生じますが、ポート転送はお客様が有効にすることを選択した場合にのみ機能します。

VPNアプリは、DNSやIPv6の漏洩防止(新しいウィンドウ)のために、ファイアウォールルール（および同様のプラットフォーム固有の操作）も使用します。

お客様のVPNが機能しているか確認する方法はこちら(新しいウィンドウ)

コンテンツの検閲に使用されるVPNとファイアウォール

暗号化されたVPN接続により、ファイアウォールがVPNトラフィックを検査およびフィルタリングするのを防ぐことができるため、Proton VPNなどのサービスは、ウェブ上のコンテンツをブロックすることを目的としたファイアウォールの回避(新しいウィンドウ)に非常に効果的です。

自社ビジネスに適したファイアウォールの選び方とデプロイ方法

家庭や小規模オフィスでは、通常、1つのファイアウォール（一般的にはルーターやオペレーティングシステムに組み込まれています）でお客様のセキュリティニーズを満たすのに十分です。しかし、企業では、複数の異なる環境にわたるファイアウォールについて同時に検討しなければならないことがよくあります。これに適したセットアップは、何を保護するかによって異なります。

本社 / キャンパス：メインのオフィスネットワークを保護する境界ファイアウォールであり、多くの場合、機密性の高いエリア（財務、人事、エンジニアリングなど）をネットワークの他の部分から分離する内部ファイアウォールが併用されます。

支社 / 分室：小規模なリモート拠点では、本社に完全に依存するのではなく、独自のファイアウォールが必要になることがよくあります。これは、中央ハブを経由せず、直接インターネットに接続する場合に特に当てはまります。

データセンター：データセンターのファイアウォールは通常、大量のトラフィックを処理する必要があり、侵害をインフラストラクチャの一部のみに封じ込めるために、ネットワークセグメンテーションと併せてデプロイされるのが一般的です。

クラウドおよびマルチクラウド環境：従来のハードウェアファイアウォールはクラウドインフラストラクチャとうまく適合しません。そのため、Firewall-as-a-Service（FWaaS）ファイアウォールが役立ちます。これらは物理的な機器を必要とせず、クラウドプロバイダーに合わせてスケールします。

リモートおよびハイブリッドの従業員：自宅のネットワークや公共のWi-Fiから接続する従業員は、従来のオフィスのファイアウォールの境界線の完全に外側にいます。これには通常、エンドポイントファイアウォール、VPN（会社が独自のVPNサーバーを所有する従来のセットアップ、または専用サーバーを使用する最新のサードパーティソリューションのいずれか）、および（大企業向けの）ゼロトラストセキュリティに基づくネットワークアクセスアプローチの組み合わせが用いられます。

お客様のビジネスに適したファイアウォールのオプションを評価する際に、検討すべき実用的な質問をいくつかご紹介します。

暗号化されたトラフィックを検査する必要がありますか？ 悪意のあるトラフィックの多くが暗号化されるようになってきているため、ファイアウォールが独自の信頼できる証明書を使用して、HTTPSトラフィックを復号化、検査、再暗号化するTLS/SSL検査を実行できない場合、事実上、多くのカテゴリーの脅威を検知できません。

どのように管理されますか？ オフィス、クラウドのアカウント、リモートエンドポイント全体で、複数の個別のファイアウォールダッシュボードを管理することは、拡張性が低くなります。組織が成長するにつれて、一元管理がより重要になります。

パフォーマンスへの影響（コスト）はどのくらいですか？ よりディープな検査（DPIなど）には、より多くの処理能力が必要になります。すべてのセキュリティ機能をオンにした状態で、ファイアウォールがどのように動作するかを把握しておく価値があります。

第三者機関によるテストを受けていますか？ ベンダーのパフォーマンスやセキュリティに関する主張は、鵜呑みにするのではなく、第三者機関によるテスト結果と照らし合わせて検証する価値があります。これは、あらゆるセキュリティ製品やプライバシー製品を評価する際にも適用されるべき原則です。

ファイアウォールにできないこと

ファイアウォールはネットワークセキュリティの重要な要素ですが、単独で機能させるようには作られていません。ファイアウォールに「できること」を理解する一つの方法は、「できないこと」を明確にすることです。

ネットワーク内部にすでに存在する脅威の無効化

メールの添付ファイル、侵害された更新、ユーザー自身のデバイスなど、許可されたチャンネルからマルウェアが侵入した場合、境界ファイアウォールでできることはほとんどありません。ここで重要になるのが、ウイルス対策、エンドポイント検出、および内部セグメンテーションです。

ヒューマンエラーのカバー

ファイアウォールは、人間の不適切な判断を修正することはできません。ソーシャルエンジニアリングやフィッシングに騙されて誰かがパスワードを渡してしまった場合、それはトラフィックフィルタリングの問題ではありません。

検査するように設定されていない暗号化されたトラフィックのフィルタリング

たとえば、VPNを介して送信されるトラフィックは、意図的にファイアウォールで検査できないようになっています。これこそが、VPNがプライバシー保護と検閲ファイアウォールの回避（上記参照）の両方に効果的である理由です。

設定ミスのあるルールのもとで効果を発揮すること

ファイアウォールは、設定されたルールと同等の効果しか発揮しません。過度に寛容なルールセット（または、ネットワークの変更に伴って更新されていないもの）は、技術的にファイアウォールが「設置」されているにもかかわらず、防御に重大なギャップを生じさせる可能性があります。

だからといって、ファイアウォールが不可欠ではないということではありません。単一の防御手段としてではなく、ファイアウォール、ウイルス対策、VPN、従業員トレーニングなど、多くのレイヤーのうちの1つとして捉え、デプロイする必要があるということです。

まとめ：ファイアウォールとVPNは互いに補完し合います

ファイアウォールは、ネットワークセキュリティの不可欠なコンポーネントです。ほぼすべてのファイアウォールはステートフルファイアウォールであり、特定のセキュリティニーズや環境に合わせた、独自の機能や利点を提供するバリエーションが存在します。

VPNサービスは、自社のシステムとお客様のデバイスの両方の安全を維持するためにファイアウォールを広範に活用する一方で、オンラインコンテンツを検閲することを目的としたファイアウォールを回避するための効果的な手段でもあります。

特に企業において、ファイアウォールは単独の代替手段ではなく、VPN、ウイルス対策ソフトウェア、従業員の意識向上トレーニングなどのツールと併用して、より広範なセキュリティセットアップの1つのレイヤーとして捉えるのが最善です。

よくある質問