情報セキュリティにおけるパケットフィルタリングとは？仕組みと基本をわかりやすく解説

パケットフィルタリングとは

パケットフィルタリングとは、ネットワークに出入りするパケットを検査し、送信元・宛先のIPアドレスなどの情報に基づいて、通信を通過させるか遮断するかを判断することで、ネットワークへのアクセスを制御する技術です。セキュリティファイアウォールを実現する代表的な手法のひとつとして、広く活用されています。

パケットフィルタリングは「ツール」であると同時に「手法」でもあり、ネットワークセキュリティの基本的な構成要素です。ツールとしては特定の機能の実現を支援する装置であり、手法としては目的を達成するためのアプローチだと言えます。

TCP/IPネットワークにおける動作の仕組み

TCP/IPネットワークの環境では、パケットフィルタはすべてのIPデータグラムを監視し、インバウンドおよびアウトバウンドのトラフィックからヘッダー情報を読み取って解析します。そのうえで、送信元アドレス、宛先アドレス、送信元ポート、宛先ポート、接続状態といった内容に基づき、データグラムを通過させるか破棄するかを決定します。

この判定は、パケットフィルタリングツールにあらかじめ設定された条件に従って行われます。Cisco、Bay、Lucentなどの主要なIPルータは、IPデータグラムをフィルタリングするよう構成でき、一部のオペレーティングシステムにもパケットフィルタリング機能が備わっています。

パケットとパケット交換網の基礎知識

ネットワーキングにおけるパケットとは、パケット交換網上で伝送される、整形された情報の単位です。パケット交換網は、メッセージを小さな単位（パケット）に分解し、それぞれを独立してネットワーク経由で送信するため、耐障害性に優れた構成が可能です。

パケットがファイアウォールを通過して宛先に到着すると、データが正しく表示されるように順序が再構成されます。この処理が適切に行われることで、パケット交換はネットワークの回線容量を最大限に活用し、伝送遅延を最小限に抑え、通信全体の効率を高めることができます。

ファイアウォールがチェックする5つの項目

パケットフィルタリング型ファイアウォールでは、以下の5つのパケット属性が検査されます。

• 送信元IPアドレス
• 送信元ポート
• 宛先IPアドレス
• 宛先ポート
• IPプロトコル（TCPまたはUDP）

ファイアウォールに設定されたルールに基づき、パケットは「許可」「拒否（reject）」「破棄（drop）」のいずれかの扱いを受けます。パケットを拒否した場合、ファイアウォールは送信元に対してメッセージを返し、パケットが廃棄されたことを認識させます。一方、パケットを破棄した場合は、ファイアウォールからの応答は一切返されません。

応答がない場合、送信側は通信がタイムアウトするまで待機することになります。拒否ではなく破棄を行うことで、ネットワークスキャンにかかる時間が大幅に増大するため、攻撃者への対策としても有効です。なお、ルータはパケットフィルタリング型ファイアウォールの一般的な形態です。

ステートフル検査による拡張アーキテクチャ

パケットフィルタリング型ファイアウォールを発展させたものとして、ステートフル検査エンジンを搭載したアーキテクチャがあります。この拡張により、ファイアウォールはシステム間やネットワーク間の通信セッション（会話）を記憶できるようになります。その結果、各会話の最初のパケットだけを詳細に精査すればよくなり、セキュリティレベルと処理効率の両方を高められます。