ネットワークセキュリティを向上させるアクセスコントロールリスト（ACL）の使い方とは？

ネットワークセキュリティを向上させるには、ACLをどのように使えばよいのか？

アクセスコントロールリスト（ACL）を活用することは、ネットワークセキュリティを強化する有効な手段の一つです。セキュリティポリシーにおいて、ACLは送信元・宛先IPアドレス、プロトコル番号、ソケット番号といったIPヘッダー情報に基づいてトラフィックをフィルタリングします。パケットフィルタリング型ファイアウォールも、その動作の中核でACLを利用しています。

ネットワークにおけるアクセスリストとは何か

アクセスリストは通常、ネットワーク攻撃を抑止し、トラフィックを制御する目的で定義されます。ACLを使えば、組織に流入・流出するトラフィックに対して、あらかじめ定義したルールに基づいたフィルタリングを行うことができます。

セキュリティにおけるアクセスコントロールリスト（ACL）の役割

ACLはデジタル環境へのアクセスを制御し、「どの環境に誰がアクセスできるか」を指定します。ファイルシステム上では、ACLによって特定のファイルやディレクトリへのアクセスを許可・拒否できます。ユーザーは付与された権限（パーミッション）の範囲内でのみ、ファイルシステムへアクセスすることが可能です。

拡張ACLでフィルタリングできる属性

拡張ACL（Extended ACL）では、以下のような属性に基づいてネットワークトラフィックをフィルタリングできます。

• 宛先ホスト名または宛先ホストのIPアドレス
• プロトコルの種類（IP、TCP、UDPなど）

アクセスコントロールリストの主な用途

ACLとは、システムリソース（オブジェクト）に紐付けられた権限のリストであり、システム資源を保護するためのセキュリティ機構です。オブジェクトに設定されたACLを参照することで、どのユーザーやシステムプロセスがそのオブジェクトにアクセスでき、どの操作を実行できるのかを確認できます。

ACLはどのようにネットワークを守るのか

ネットワークでは、ACLによってパケットのフィルタリングが行われます。トラフィックを「許可」「拒否」「制限」することで、システムの安全性を確保します。ACLの目的は、特定のIPアドレスまたはIPアドレス群、さらにTCP、UDP、ICMPといった各プロトコルごとに、パケットの流れを制限することです。

ACLの種類

ACLには主に以下の種類があります。

• 標準ACL：送信元IPアドレスのみを条件としてネットワークを保護します。
• 拡張ACL：送信元・宛先の双方に加え、プロトコルやポート番号など、より詳細な条件でフィルタリングできます。
• 動的ACL：状況に応じて動的に調整可能なACLです。
• 反射型ACL（Reflexive ACL）：セッションの状態に応じてエントリが自動的に生成・削除されるACLです。

ネットワークセキュリティにおけるACLの定義

コンピュータセキュリティの設定において、ACLはネットワークトラフィックをフィルタリングするために用いられます。ACLにより、許可されたユーザーはディレクトリやファイルなどの特定のシステムオブジェクトへアクセスできますが、許可されていないユーザーのアクセスはブロックされます。

ACLとNATの関係

静的NATのルールでは、インターフェースに指定されたアクセスリスト（ACL）とシーケンス番号が、外部アドレスおよびポートと照合されます。例えば、インバウンド方向のACLは、宛先IPアドレス（例：203.0.113.1）との一致を判定するのに使われます。

NISTが定義するACL

米国国立標準技術研究所（NIST）のSP 800-179によれば、ACLとは「オブジェクトに対して、誰がアクセスでき、どのような操作を実行できるかを示す一連の指示（権限）の集合」と定義されています。

ACLの仕組み

わかりやすく言えば、ACLはネットワークに出入りするデータパケットを制御する「ゲートキーパー」の役割を果たします。ACLは、インバウンドおよびアウトバウンドのすべてのデータを検査し、定義済みのルールに適合しているかどうかを判断します。

データセキュリティにおけるアクセス制御とは

アクセス制御とは、「誰が組織の情報にアクセスできるか」「その情報をどのように利用できるか」を決定するプロセスです。アクセス制御ポリシーによってユーザーの認証と認可が行われ、適切なデータだけがアクセスされ、不正利用されないことが保証されます。

ACLの2つの特徴

• 拡張ACLでは、宛先側のTCPポートやUDPポートに基づくフィルタリングが可能です。
• 拡張ACLでは、送信元と宛先の両方のIPアドレスに基づいてフィルタリングできます。一方、標準ACLでフィルタリングできるのは送信元IPアドレスのみです。

拡張ACLの番号範囲

拡張アクセスリストは、送信元IPアドレス、宛先IPアドレス、ポート番号に基づいてフィルタリング対象のパケットを判別し、特定のサービスの許可・拒否を細かく制御できます。ACLの番号範囲は、標準ACLが1〜99（および1300〜1999）、拡張ACLが100〜199（および2000〜2699）となっています。

ACLでトラフィックをフィルタリングできる3つのパラメータ

ルーターはACLを使用して、ネットワーク上を通過するパケットを許可するかどうかを判断します。ACLによるトラフィックフィルタリングでは、次のパラメータを利用できます。

• 送信元・宛先のレイヤー3アドレス（IPアドレス）
• ポート番号
• プロトコルタイプ

まとめ

ACLによるネットワークセキュリティの強化とは、IPヘッダー情報（送信元・宛先IPアドレス、プロトコル、ソケット番号など）に基づいてトラフィックをフィルタリングすることです。適切に設計されたACLは、不要な通信を遮断しながら正当な通信のみを通過させることで、ネットワーク全体の安全性を高めます。