Macにファイアウォールは本当に必要？知っておくべき設定方法とおすすめアプリ

Macにファイアウォールは必要なのでしょうか？答えは「イエスでもあり、ノーでもある」です。

多くの場合、あなたのMacはルーター内蔵のファイアウォールの背後にあります。そのため、macOSのファイアウォールをオフにしておくほうが、ほかのAppleデバイスとの接続設定がスムーズになります。しかし、ノートPCを使っていて頻繁に信頼できないネットワークに接続するなら、ファイアウォールを有効にすべきです。

また、macOSにはコンテンツへリモートアクセスするためのさまざまな共有ネットワークサービスが搭載されています。これらのサービスを有効のままにしていたり、サードパーティ製アプリを使ったりすると、Macがネットワーク攻撃にさらされる可能性があります。この記事では、ファイアウォールの設定方法と、いつ使うべきかを詳しく解説します。

Macのファイアウォールを設定する

セキュリティ対策において、ファイアウォールの重要性は決して過小評価できません。macOSの場合、ソフトウェアファイアウォールは2つのコンポーネントで構成されています。

アプリケーションレイヤーファイアウォール（ALF）

このコンポーネントは、アプリがネットワーク経由で通信を行うことを許可または拒否します。ポート単位ではなくアプリ単位で動作し、macOSの内蔵ファイアウォールとして提供されている機能です。設計がシンプルで直感的であり、アプリごとに受信接続を許可するかブロックするかを指定できます。

Macでファイアウォールを有効にするには、「システム環境設定 ＞ セキュリティとプライバシー ＞ ファイアウォール」を開きます。ウィンドウ左下の鍵アイコンをクリックし、管理者パスワードを入力して「ロック解除」をクリックしてください。

画面に「ファイアウォール：入」と表示されていない場合は、「ファイアウォールを入にする」ボタンをクリックします。緑色のランプが点灯し、Macは確立済みの接続、署名済みソフトウェア、有効なサービスからの着信トラフィックのみを許可するようになります。後から同じボタンでオフにすることも可能です。

パケットフィルタ（PF）ファイアウォール

もう一方のコンポーネントは、OSのカーネルの深い部分に組み込まれています。PFとはOpenBSDのパケットフィルタのことで、個々のパケット（およびそこから構築されるネットワーク接続）の属性を、ルールセットで定義されたフィルタリング条件と照合して、トラフィックを制御するのが主な役割です。

PFファイアウォールを使えば、送信元・宛先アドレス、インターフェース、プロトコル、ポートなど、事実上あらゆるパケットや接続の種類に基づいてネットワークトラフィックを制御できます。これらの条件に応じて、パケットの通過・遮断を選択したり、OSの他の部分が処理するイベントを発生させたりすることも可能です。

PFファイアウォールは、Mac OS X 10.7 Lion以降でmacOSに導入されました。ALFが簡単で直感的である一方、PFの設定には構文・ロジック・ネットワーク構成に関する深い知識が必要です。設定ファイルを手動で編集する必要があり、監視作業もすべてコマンドラインから行います。

Appleファイアウォールの設定をカスタマイズする

macOSには、ファイル共有、プリンタ共有、リモートアクセスなど、多数の内蔵サービスが含まれています。サービスを有効にするには、「システム環境設定 ＞ 共有」を開き、使いたいサービスのチェックボックスをオンにします。

ファイアウォールはアプリ単位で動作するため、サービスはポート番号ではなく名前で表示されます。たとえば、ポート548ではなく「ファイル共有」という名前で一覧に現れます。

ファイアウォールを細かくカスタマイズするには、「ファイアウォール」パネルに戻り、「ファイアウォールオプション」ボタンをクリックします。より詳細な設定画面が開くので、「＋」「−」ボタンで必要に応じてアプリを追加・削除できます。下部にある追加オプションにチェックを入れることも可能です。

「共有」パネルでオンにしたサービスは、許可された接続のリストに自動的に表示されます。ただし、サービスを無効化すると、ファイアウォールオプションの画面からは消えます。

サードパーティ製アプリが着信接続の待ち受けを開始すると、「“アプリ名”が着信ネットワーク接続を受け入れようとしています。許可しますか？」というメッセージが表示されます。「許可」または「拒否」をクリックして設定を反映させましょう。許可したアプリはリストに追加されます。

送信方向のファイアウォールはオンにすべき？オフにすべき？

内蔵ファイアウォールは着信接続の監視・ブロックが中心ですが、実は送信接続も監視できます。一般ユーザーは送信トラフィックの情報をどう活用すればよいのでしょうか？具体例を挙げて見てみましょう。

1. Macで使っているほとんどのアプリは、目に見えるインターフェースを持ちながら、マシンと外部サーバーの間で絶えずデータをやり取りしています。さらに、バックグラウンドで動作する多くのプロセスもデータを送受信しています。「アクティビティモニタ ＞ ネットワーク」タブで全プロセスを確認してみてください。それらの接続がすべて正当なものだと断言できますか？
2. メールアプリが新着メッセージを取得し、アプリが定期的にアップデートを確認し、Dropboxが変更ファイルを同期する——これらは正常な挙動です。しかし、キーストロークを密かに記録し、機密データを攻撃者へ送信する悪意あるアプリをダウンロードしてしまったら大問題です。
3. 有料アプリはライセンス確認のため定期的に開発元と通信しますが、中には同意なく機密性の高い個人情報を収集する開発者も存在します。そうしたアプリは、ネットワーク上での盗聴や情報発信、Macの設定情報の複製、特定アプリの使用状況の監視などを行っている可能性もあります。

これらの例からわかるように、双方向ファイアウォールは着信・送信の両トラフィックから保護してくれます。マルウェアがインストールされて動作していれば、その活動を検出する手がかりにもなります。ただし、その目的はセキュリティというよりも、むしろプライバシー保護に重きを置いたものだと言えるでしょう。

Mac向けサードパーティ製ファイアウォールアプリ

多くのサードパーティ製ファイアウォールアプリが、着信・送信の両方の接続を制御できます。ここでは人気の高いアプリをいくつか紹介します。

LuLu

LuLuは無料のオープンソースファイアウォールで、ユーザーが明示的に承認しない限り送信トラフィックをブロックすることを目的としています。インストールすると、新規または未承認の送信接続の試みがあった際に通知され、「許可」または「ブロック」ボタンで対応できます。

通知ウィンドウにはプロセスのアイコンとコード署名の状態が表示されます。内蔵のVirusTotal連携により、アプリが悪意あるものでないかを確認することも可能です。加えて、プロセスの階層構造（真犯人のプロセスを特定するのに便利）、プロセスの詳細なども閲覧できます。

ダウンロード： LuLu（無料）

Radio Silence

Radio Silenceは、Mac向けとして最もシンプルなファイアウォールアプリです。インストール後はメニューバーアイコンなどの表示なしに、自動的にバックグラウンドで常駐します。「ファイアウォール」タブを開き、「アプリケーションをブロック」ボタンをクリックして、アプリをブラックリストに登録すれば、そのアプリは以降インターネットに接続できなくなります。

アプリを手動で登録する方式のため、煩わしいポップアップは一切表示されません。「ネットワークモニタ」タブでは、特定のプロセスやアプリのリアルタイムデータを確認でき、隠れたヘルパー、メモリ上のプロセス、デーモン、XPCサービス、ポート番号、ホストIPアドレスなども検出できます。少額の費用がかかりますが、購入前に試用可能です。

ダウンロード： Radio Silence（9ドル、無料トライアルあり）

Little Snitch

Little Snitchは、Mac向けのホスト型アプリケーションファイアウォールです。プロセス、送受信接続、ポート、プロトコルに関する詳細なレポートを提供し、1分単位の時間範囲までさかのぼれる完全なトラフィック履歴も表示できます。

デフォルトの「サイレントモード」では、ルールで明示的に禁止されていないネットワークアクセスがすべて許可されます。何も拒否しないため、まずはアプリの仕組みをじっくり学べます。その裏ではすべての接続が記録されており、準備が整ったらルール作りを始められます。

「ネットワークモニタ」は、システムから世界各地のIP由来・推定位置へのアクティブな接続を、世界地図上にリアルタイムで表示します。左パネルにはデータを送受信中のアプリ一覧が、右パネルには詳細なサマリーが表示されます。

さらに「自動プロファイル切り替え」機能を使えば、ネットワークごとにフィルタリングプロファイルを作成できます。自宅、職場、カフェなど、場所に応じた個別プロファイルの運用が可能です。多彩な機能を備えていますが、価格は決して安くありません。それでも、こだわりのユーザーにとってLittle Snitchは圧倒的な存在です。

ダウンロード： Little Snitch（45ドル、無料トライアルあり）

Murus

Murusは、PFファイアウォールのグラフィカルフロントエンドです。直感的なインターフェースを備え、内蔵プリセットを使って簡単に設定できます。ルールセットエディタも搭載しており、ポートノッキングやアカウンティングなどの高度なオプションを組み合わせた複雑なルールの作成・管理も可能です。

無償のMurus Liteは、着信フィルタリングとログ記録のみの基本ファイアウォールです。10ドルのプレミアム版では、送信フィルタリング、カスタムルール、ポートノッキング、カスタマイズ関連機能などが利用できます。

ダウンロード： Murus（無料、プレミアム版あり）

多層防御こそが最強の保護をもたらす

ファイアウォールは、マルウェアやスパムといった問題を解決する魔法の杖ではありません。ただし、その重要性は使い方によって変わります。一般的なユーザーであれば、内蔵ファイアウォールにLittle Snitchを組み合わせるだけで十分でしょう。一方、社内がすべてMacという企業で働いているなら、多層的なファイアウォール保護を導入する意味があります。

ALFとPFの組み合わせは、大きな問題なくうまく連携します。両者はネットワークフィルタリングへのアプローチが異なり、ネットワークスタックの異なる層を担当しているためです。サードパーティ製アプリも同様で、すべてのサードパーティ製ALFはPFファイアウォールと併用できます。

ファイアウォールによる保護は、あくまでセキュリティ戦略の一部にすぎないことを忘れないでください。Macのマルウェア感染を防ぐ方法を身につけ、その他のmacOSセキュリティ対策も併せてチェックして、総合的な防御力を高めましょう。