スクリーニングルーターとは？情報セキュリティにおける基本知識を徹底解説

スクリーニングルーターの概要

スクリーニングルーターファイアウォールは、「ネットワークレベルファイアウォール」または「パケットフィルタリング型ファイアウォール」とも呼ばれています。この種のファイアウォールは、プロトコル属性に基づいて着信パケットを検査することで機能します。

検査の対象となるプロトコル属性には、以下のようなものが含まれます。

• 送信元または送信先のIPアドレス
• プロトコルの種類
• 送信元または送信先のポート番号
• その他のプロトコル固有の複数の属性

スクリーニングルーターの仕組み

スクリーニングルーターは、定義されたプロトコルや事前に設定されたアドレスとの間のアクセスをフィルタリングするためのルールを用いて構成されます。パケットヘッダーに含まれるデータを解析し、そのIPパケットを通過させるか拒否するかを判断します。

スクリーニングルーターは、ほとんどのファイアウォール構成において不可欠な要素です。市販のルーターを使用する場合もあれば、何らかのパケットフィルタリング機能を備えたホストベースのルーターを使用する場合もあります。一般的なスクリーニングルーターは、IPポートレベルでネットワーク間、または特定のホスト間のトラフィックを遮断する能力を持っています。中には、プライベートネットワークとインターネットの間にスクリーニングルーターを設置するだけで構成される、シンプルなファイアウォールも存在します。

スクリーンドホストゲートウェイとの違い

一部のネットワークでは、プライベートネットワークとインターネットの間にスクリーニングルーターを設置するだけでファイアウォールを構築しています。このタイプのファイアウォールは、スクリーンドホストゲートウェイとは大きく異なります。スクリーニングルーターのみの構成では、通常、プライベートネットワーク上の複数のホストと、インターネット上の複数のホストとの間で直接通信が可能になっているからです。

スクリーニングルーターが抱えるリスク

この構成における危険領域（リスクゾーン）の範囲は、プライベートネットワーク上のホストの数と、スクリーニングルーターがトラフィックを許可するサービスの数や種類によって決まります。ピアツーピア接続でサポートされるサービスが1つ増えるごとに、リスクゾーンの規模は急激に拡大します。

最終的に、そのリスクを正確に定量化することは困難です。また、被害の制御も容易ではありません。ネットワーク管理者は、侵入の痕跡がないかどうかを各ホストで頻繁に確認する必要があるためです。定期的な監査が行われていない環境では、侵入の決定的な証拠を偶然発見できることを期待するしかありません。

ファイアウォールが完全に突破された場合、その痕跡を追跡すること、さらには侵入を検知すること自体が困難になる傾向があります。特に、ログ記録機能を持たない市販のルーターを使用しており、その管理者パスワードが漏洩した場合、プライベートネットワーク全体が極めて簡単に攻撃にさらされることになります。

実際に、市販のルーターが誤ったスクリーニングルールで設定されていたり、ハードウェアの不具合やオペレーターの操作ミスにより何らかのパススルーモードで動作していた事例も確認されています。このような構成では「明示的に禁止されていないものは許可される」という状態になりがちで、悪意のあるユーザーがプロトコルを悪用（ピギーバック）することで、管理者が想定・許可している以上のアクセス権限を比較的簡単に取得できてしまうのです。

スクリーニングルーターの利点と課題

スクリーニングルーターは最も安全なセキュリティソリューションではありませんが、プライベートネットワーク内のどの拠点からでも比較的自由にインターネットアクセスが可能になるため、広く利用されています。その手軽さから、一部のコンサルタントやネットワークサービスプロバイダーが、スクリーニングルーターを「ファイアウォール」構成として推奨しているケースも見られます。

ただし、より高いセキュリティレベルが求められる環境では、スクリーニングルーター単独の構成ではなく、他のセキュリティ技術と組み合わせた多層防御の検討が重要です。