ネットワークセキュリティを強化するACL（アクセス制御リスト）の種類と役割を徹底解説

ACLとは？ネットワークセキュリティにおける基本概念

アクセス制御リスト（ACL：Access Control List）とは、コンピュータセキュリティにおいて、システムリソース（オブジェクト）に割り当てられる一連の権限設定のことです。ACLを作成することで、特定のオブジェクトに対してどのような操作が許可されるのか、またどのユーザーがアクセスできるのかを細かく指定できます。

ACLには大きく分けて2種類あります。1つはファイルシステム上のACLで、ファイルへのアクセスを制限します。OSはファイルシステムACLを使用して、どのユーザーがシステムにアクセスできるか、誰に権限を付与できるかを判断します。もう1つがネットワークACLで、ネットワークへのアクセスをフィルタリングする役割を担います。

ACLの主な種類

標準ACL（スタンダードACL）

標準アクセスリストは、パケットの送信元IPアドレスのみに基づいて評価を行います。シンプルな構成のため、基本的なトラフィック制御に適しています。

拡張ACL（エクステンデッドACL）

拡張アクセスリストでは、送信元・宛先IPアドレス、プロトコルタイプ（レイヤー3）、ポート番号など、より詳細な条件に基づいてパケットをフィルタリングできます。きめ細かな制御が必要な環境で活用されます。

Ciscoルーターでは、この標準と拡張の2種類が最も広く使用されており、これらに加えて一部の高度なACLも存在します。

ACLはどのようにネットワークセキュリティを強化するのか

ルーターはACLを使用してインバウンド（内向き）およびアウトバウンド（外向き）のネットワークアクセスを管理することで、不正なアクセスを防ぎ、自ネットワークが他のサービスへの攻撃の踏み台として悪用されることを阻止します。適切に運用・保守されたACLは、セキュリティ脅威への対策として極めて重要な役割を果たします。

ACLの仕組み

ACLは、ネットワークに入出力するすべてのパケットを検査することで、データフローを制限する仕組みです。ルーターやスイッチのACLエンジンがネットワークトラフィックをフィルタリングし、事前に設定された基準に基づいてパケットの転送または拒否を判断します。パケットフィルタリング型ルーター（レイヤー3デバイス）は、ルールに従ってトラフィックの許可（permit）または拒否（deny）を決定します。

リスト上の各ルールは、パケットが入出力する際に必ず照合され、必ず先頭のルールから順番にチェックされます。

ファイアウォールにおけるACL

ACLは、正規ユーザーによる特定リソースへのアクセスを許可しながら、不正ユーザーのアクセスをブロックすることでセキュリティを実現します。ACLは「許可」と「拒否」のセグメントをつなぎ合わせたルール群で構成されており、ファイアウォールや2つのイントラネットを接続するルーターに配置されます。

IP ACLについて

各ACLには複数のルールを適用でき、パケット内の特定のフィールドを許可（permit）または拒否（deny）の対象として指定できます。判定条件としては、送信元IPアドレス、宛先IPアドレスなど、さまざまな項目が利用可能です。

ACLによるネットワークパフォーマンスの向上

ACLを使用してトラフィック制御を必要な範囲に限定することで、ネットワークパフォーマンスの向上が期待できます。また、ACLの最適化は効率を高め、ネットワーク全体の性能改善にも有効です。

ServiceNowにおけるACLの種類

ServiceNowでは、レコードのほかに、クライアント呼び出し可能なScript Include、プロセッサ、RESTエンドポイント、UIページなどにもACLを適用できます。実際には、作成されるACLの大部分（約99%）がレコードに対するものであり、RESTエンドポイントに対して設定されることもあります。

ACLを活用する重要性

ACLを導入する目的は多岐にわたりますが、最大の理由はネットワークのセキュリティ確保です。さらに、ACLはピアからのルーティングアップデートを制限するなど、トラフィックフローの制御にも活用できます。

まとめ

ACLは、ネットワークトラフィックを制御し、攻撃からネットワークを守るための基本的かつ強力な仕組みです。標準ACLと拡張ACLを使い分け、送信元・宛先の情報に基づいて適切なフィルタリングルールを定義することで、安全で効率的なネットワーク環境を構築できます。