ファイアウォールはネットワークの送受信トラフィックをどう制御する?基本の仕組みを解説

ファイアウォールとは?

ファイアウォールとは、あらかじめ定義されたセキュリティルールに基づいて、ネットワークに流入・流出するトラフィックを監視・フィルタリングする、特殊なネットワークセキュリティ機器またはソフトウェアプログラムのことです。内部のプライベートネットワークと外部ソース(公衆インターネットなど)との間に立ちはだかる「壁(バリア)」として機能します。

ファイアウォールの目的

ファイアウォールの目的は、無害なトラフィックは通過させつつ、悪意のある、あるいは不要なデータトラフィックを遮断することで、コンピュータをウイルスや攻撃から守ることにあります。サイバーセキュリティツールとしてネットワークトラフィックをフィルタリングし、感染したコンピュータ上で悪意のあるアプリケーションがWebへアクセスするのをブロックします。

ファイアウォールはハードウェアとソフトウェアの両方で実装可能です。一般的には、インターネットに接続されたプライベートネットワーク、特にイントラネットへの不正アクセスを防ぐ目的で使用されます。イントラネットに出入りするすべてのメッセージは必ずファイアウォールを経由し、その都度判定が行われ、指定されたセキュリティ基準を満たさないメッセージはブロックされます。

トラフィックを制御する3つの主要な手法

ファイアウォールは、ネットワーク内外を行き交うトラフィックを制御するために、以下のようなさまざまな手法を使用します。

1. パケットフィルタリング(Packet Filtering)

パケットフィルタリングは、送受信されるパケットを分析し、送信元と宛先のIPアドレスに基づいてパケットの通過を許可または停止することで、ネットワークへのアクセスを制御する手法です。セキュリティファイアウォールを実現する数あるアプローチの中のひとつです。

パケットフィルタリングは、ネットワークセキュリティの基本的な構成要素であり、「ツール」であると同時に「技術」でもあります。サービスの達成を支援する道具としてのツールであり、タスクを遂行するための方法論としての技術なのです。

パケット(小さなデータのかたまり)は一連のフィルタと照合され、フィルタを通過できたパケットだけが要求元システムへ転送され、それ以外は破棄されます。

2. プロキシサービス(Proxy Service)

プロキシサービス型ファイアウォールは、アプリケーション層でメッセージをフィルタリングすることにより、ネットワークセキュリティを保護するシステムです。内部ネットワークとWeb上の外部サーバーの間に立つゲートウェイ(仲介者)として動作します。「ゲートウェイファイアウォール」とも呼ばれ、ステートフルインスペクションやディープパケットインスペクションといった技術を用いて着信トラフィックを分析するため、より高いセキュリティレベルを実現できます。

3. ステートフルインスペクション(Stateful Inspection)

静的フィルタリングがパケットヘッダのみを判定するのに対し、ステートフルインスペクション型ファイアウォールは、各データパケットの複数の要素を検査し、信頼できるデータのデータベースと照合します。検査対象となる要素には、送信元・宛先のIPアドレス、ポート番号、アプリケーションなどが含まれます。着信データパケットは、ファイアウォールを通過するために、信頼済みデータと十分に一致しなければなりません。ステートフルインスペクションは、最新世代のファイアウォールフィルタリング手法です。

この手法では、各パケットの内容そのものを検査するのではなく、パケット内の特定の重要要素を信頼済みデータベースと比較するという、現代的なアプローチが採用されています。