ファイアウォール
ネットワークの間、または機器とネットワークの間で、決めた規則（ポリシー）に従って通信を通したり止めたりする仕組みです。
基本の姿勢：既定で拒否
NIST SP 800-41 Rev. 1（2009年9月）は、ファイアウォールのポリシーで明示的に許した通信以外を止めることを「既定で拒否（deny by default）」と呼び、攻撃のリスクを下げ、組織のネットワークを流れる通信の量も減らせるとしています。機器・ネットワーク・プロトコル・アプリケーションは変わり続けるので、明示的に禁じたもの以外をすべて通す方法（既定で許可）より安全だとしています。
入る方向と出る方向
- SP 800-41 は一般原則として、明示的に許していない通信は、入る方向も出る方向も止めるべきだとしている
- ''入口のフィルタ（ingress filtering）''：外から内への通信を絞る。SP 800-41 は、外から入る TCP・UDP の通信には既定で拒否の規則を使うべきだとしている
- ''出口のフィルタ（egress filtering）''：内から外への通信を絞る。SP 800-41 が挙げる例は、外部の FTP サーバの利用を止めること、組織の中から外部へのサービス妨害の攻撃を防ぐこと、組織が使っている送信元の IP アドレスを持つ通信だけを外へ出すこと（送信元を偽った通信を自社から出さないため）
- ただし同じ文書は、実際には多くの組織が利用者に外部の幅広いアプリケーションへのアクセスを許しているため、出ていく TCP・UDP の通信には、一般により緩い規則が使われている、とも書いている
（補足）出ていく通信を絞ったり記録したりすると、マルウェアの外部との通信やデータの持ち出しを見つける手がかりにもなります。
種類（SP 800-41 より）
| 種類 |
しくみ |
| パケットフィルタ |
アドレスやポートなど、通信の見出しの情報で通す・止めるを決める。最も基本的な機能 |
| ステートフル・インスペクション |
接続の状態を追い、予想される状態から外れた通信を止める |
| アプリケーション・ファイアウォール |
アプリケーションの層のプロトコルの中身まで見て判断する |
| アプリケーション・プロキシ・ゲートウェイ |
2つの機器の間に入って中継し、上の層の機能と下の層のアクセス制御を組み合わせる |
| 専用のプロキシサーバ |
中継の制御に絞った装置。ファイアウォールの機能は限られる |
| ホスト型・パーソナル |
サーバや PC の上で動くソフトウェア。ネットワークからの攻撃への、もう1つの層になる |
つまずきやすい点
- 規則が増え続ける：一時的に開けた規則が残り、誰も理由を説明できなくなる。SP 800-41 は、規則ごとに注記を付けて記録し、方針を定期的に見直すことを勧めている。規則ごとに持ち主と期限も決めておく
- 境界の内側は無防備：境界のファイアウォールだけでは、内部に入られた後の横への移動を止められない（ネットワークセグメンテーション）
- 管理画面の露出：ファイアウォールや VPN の装置の管理画面をインターネットに出さない（VPN）
関連するページ
出典
確認日：2026年10月16日
最終更新：2026年10月16日 16:27
