ネットワーク境界での通信制限

通信制限とは、ネットワークの境界や内部の経路で、許可された通信だけを通し、それ以外の通信を遮断または制限する仕組みの総称である。ファイアウォール、IPS、プロキシ、セキュアWebゲートウェイなどの装置は、着目する階層や検査の深さが異なる。どの装置を選ぶかは、通信の内容をどこまで見て判断するかによって決まる。

通信制限の原理

静的なパケットフィルタリング型のファイアウォールは、通信の状態を記憶しない。そのため、PCからSMTPサーバへの送信を許可するには、PCが一時ポート（1024以上）から宛先ポート25へ送る通信だけでなく、応答方向のパケットも別途許可する必要がある。 ポート番号の組合せを誤ると、SMTP以外の用途で使われるポート110のような別の通信を誤って通すおそれもある。

ステートフルインスペクション機能を持つ装置では、接続の開始を記録して応答を判定できるため、応答方向を個別に許可する必要が小さくなる。通信の状態を追跡できるかどうかが、静的なフィルタとの大きな違いである。

不正な通信を内容で判断する装置がIPSである。インラインモードで動作するIPSは、監視対象の通信経路上に設置され、通信を通過させる際に検査して遮断できる。 シグネチャ型は、あらかじめ定義した異常な通信パターンと合致する通信を不正と判断する。一方、通常時から外れた通信を検知するのはアノマリ型であり、判断の基準が異なる。

判断の基準と設定上の要点

セキュアWebゲートウェイを導入する際には、既存の許可ルールを見直す必要がある。機能を停止する装置に関するルールを削除し、新たな経路に必要なルールをファイアウォールへ追加する作業が伴う。 また、HTTPSの通信を検査する場合には、利用者のPCに証明書をあらかじめ導入しておく必要がある。