境界防御とファイアウォール

境界防御とは、社内ネットワークと外部のネットワークの境界で通信を制限し、不正な通信や攻撃を入口で防ぐ考え方である。その中心となるのがファイアウォールであり、通信の状態を追跡する方式、侵入の兆候を検知して防ぐ方式、公開サーバを隔離するDMZの配置などを組み合わせて防御を構成する。

通信の状態を追跡するファイアウォール

ファイアウォールには、パケットの送信元や宛先などの情報だけで判断する方式から発展し、通信の状態を追跡する方式がある。ステートフルインスペクションは、過去に受け付けたパケットから通信セッションを認識し、受信パケットがその状態に合うかどうかで通過を決める方式である。 同様に、過去に通過させたリクエストに対応する戻りのパケットだけを通過させる仕組みをダイナミックパケットフィルタリングと呼び、戻りの通信を許可する点が特徴である。 一方、IPアドレスを変換して内部の構成を隠すことはNATの機能であり、ダイナミックパケットフィルタリングの特徴ではない。 ルールは運用を続けるうちに不要になったものが残りやすいため、定期的に見直して削除する必要がある。

侵入の兆候を検知するIPS

IPSは、通信経路上に置いて通信を通過させながら内容を検査し、不正と判断した通信を遮断する装置である。インラインモードでは通信経路上に設置することで検知と遮断を同じ装置で行えるため、ミラーポートで経路外から監視する方式とは遮断能力が異なる。 経路外の装置は通常、その通信を直接遮断できないため、防御を目的とする場合はインラインでの設置が前提になる。 シグネチャ型は、あらかじめ定義した異常な通信のパターンと照合し、一致した通信を不正として遮断する。 アノマリ型は、通常時の通信を基準として定め、そこから外れた通信を不正と判断する。 両者は判定の拠り所が異なるため、未知の攻撃への対応の考え方も違ってくる。