ファイアウォールとは？ふぁいあうぉーる
ファイアウォールとは、社内ネットワークとインターネットの境目などに置き、通る通信をあらかじめ決めた規則（送信元・宛先のIPアドレス、ポート番号など）と照らし合わせて、通してよい通信だけを通し、それ以外を遮断する仕組み。規則は「必要な通信だけを明示的に許可し、最後に残りをすべて拒否する」形で書くのが基本。方式には、パケットのヘッダだけで判断するパケットフィルタリング型、通信の状態を覚えて戻りの通信だけを通すステートフルインスペクション型、通信を一度受け取って代わりに中継するアプリケーションゲートウェイ型がある。
最終更新：2026-10-10
この語が出る過去問を解く →背景
社内のコンピュータをそのままインターネットにつなぐと、外から誰でもどのサービスにでも接続を試みられる。一台ずつ守るのは手間がかかり漏れも出るので、出入口を1か所に絞り、そこで通信を選別する考え方が生まれた。
具体例
大学の学内ネットワークでは、外部から学内のWebサーバへの80番・443番ポート（HTTP・HTTPS）は通し、学内PCへの外からの接続は遮断する、といった規則をファイアウォールに設定する。公開するWebサーバやメールサーバは、内部とも外部とも分けた区画（DMZ：非武装地帯）に置き、ファイアウォールで出入りを制御する。家庭用のWi-Fiルータや、Windowsに標準で入っているファイアウォール機能も同じ考え方で動いている。
試験での引っ掛け
ファイアウォールが見るのは主にアドレスやポート番号で、通信の中身までは見ない。SQLインジェクションのようにHTTPの中身に紛れ込む攻撃を検査して防ぐのはWAF（Webアプリケーションファイアウォール）の役割。また、不正な通信を見つけて知らせるだけなのがIDS（侵入検知システム）、見つけて遮断まで行うのがIPS（侵入防止システム）で、「ファイアウォールは侵入を検知して管理者に通知する」とする選択肢は役割の取り違え。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 基本情報技術者試験 午前 問42（IPA）解説で登場
WAFの説明はどれか。
正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。
要点：WAFはHTTPの内容を検査してWeb攻撃を遮断する
WAF（Web Application Firewall）は、Webアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃と判断されるパターンを含むアクセスを遮断する仕組みである。通常のファイアウォールがポート単位で制御するのに対し、HTTPの中身まで見る点が特徴である。
出典：平成28年度 秋期 基本情報技術者試験 午前 問45（IPA）
PCへの侵入に成功したマルウェアがインターネット上の指令サーバと通信を行う場合に，宛先ポートとしてTCPポート番号80が多く使用される理由はどれか。
正解：Webサイトの閲覧に使用されることから，通信がファイアウォールで許可されている可能性が高い。
要点：80番は業務上許可されがちで、外部へ抜ける通り道になる
TCPの80番はHTTPすなわち通常のWeb閲覧に使われるポートであり、業務上必要なため多くの組織でファイアウォールの外向き通信が許可されている。マルウェアがこのポートを使えば、追加の設定変更なしに外部の指令サーバへ到達でき、通常の閲覧に紛れ込ませることもできる。閉じられていないポートを選ぶという発想である。
出典：平成28年度 春期 基本情報技術者試験 午前 問43（IPA）解説で登場
クライアントとWebサーバの間において，クライアントからWebサーバに送信されたデータを検査して，SQLインジェクションなどの攻撃を遮断するためのものはどれか。
正解：WAF
要点：WAFはHTTPの中身を検査してWeb攻撃を遮断する
WAF（Web Application Firewall）は、HTTPの通信内容そのものを検査し、攻撃に典型的なパターンを含むリクエストを遮断する。パケットヘッダしか見ない従来型ファイアウォールでは防げない、SQLインジェクションやクロスサイトスクリプティングへの対策として位置付けられる。アプリケーション改修が難しい場合の緩和策としても使われる。
出典：平成29年度 春期 基本情報技術者試験 午前 問42（IPA）
社内ネットワークとインターネットの接続点にパケットフィルタリング型ファイアウォールを設置して，社内ネットワーク上のPCからインターネット上のWebサーバの80番…
正解：PC→Webサーバ（送信元ポート1024以上／宛先ポート80），Webサーバ→PC（送信元ポート80／宛先ポート1024以上）
要点：Web通信は往路が高位ポート→80、復路が80→高位ポート
クライアントがWebサーバへ接続するとき、宛先ポートはサービス側の80番、送信元ポートはOSが割り当てる1024以上の一時的な番号になります。復路のパケットはこれが入れ替わり、送信元が80番、宛先が同じ1024以上の番号になります。したがって往路は「1024以上→80」、復路は「80→1024以上」を許可する組合せが正しくなります。
出典：平成29年度 春期 基本情報技術者試験 午前 問43（IPA）
1台のファイアウォールによって，外部セグメント，DMZ，内部セグメントの三つのセグメントに分割されたネットワークがある。このネットワークにおいて，Webサーバと…
正解：WebサーバをDMZに，データベースサーバを内部セグメントに設置する。
要点：公開サーバはDMZ、重要データは内部セグメントに置く
インターネットから直接アクセスされる必要があるWebサーバはDMZに置き、外部から直接届かせたくないデータベースサーバは内部セグメントに置きます。こうすると、外部から内部への直接通信は遮断され、データベースへはDMZのWebサーバを経由する限定的な通信だけが許可されます。攻撃者がWebサーバを侵害しても、内部への到達には追加の突破が必要となり、重要データが守られます。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。