ファイアウォールとは？

ファイアウォールの意味

内部ネットワークと外部ネットワークの境界に置き、あらかじめ定めた規則に従って通信を許可・遮断する仕組み。主にIPアドレスやポート番号といった通信の宛先・送信元情報をもとに制御する。

ファイアウォールの具体例

社内ネットワークの入口にファイアウォールを設置し、外部からの不要なポートへのアクセスをすべて遮断しつつ、Webサーバへの80番・443番ポートの通信のみ許可する。

ファイアウォールは試験でどう引っ掛けられる？

通信内容（アプリケーション層のデータ）までは基本的に検査しないため、Webアプリケーションの脆弱性を突く攻撃は防ぎにくい。この点はWAFとの守備範囲の違いとして問われる。

ファイアウォールと関連する用語

• DMZ
• WAF

ファイアウォールが出た過去問

• インターネットと社内サーバの間にファイアウォールが設置されている環境で、時刻同期の通信プロトコルを用いて社内サーバがもつ時計をインターネット上の時刻サーバの正確…

  正解：NTP（UDP、ポート番号123）

  要点：時刻同期はNTP（UDP 123）だけを許可する

  ネットワーク経由で時刻を同期する標準プロトコルはNTPで、UDPのポート123を使用する。ログの時刻がずれているとインシデント調査で事象の前後関係が追えなくなるため、時刻同期はセキュリティ上も重要な基盤である。ファイアウォールでは必要最小限の通信だけを許可するのが原則なので、時刻サーバとの間ではNTPだけを開ければよい。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問19（IPA）

• クライアントとWebサーバの間において、クライアントからWebサーバに送信されたデータを検査して、SQLインジェクションなどの攻撃を遮断するためのものはどれか。

  正解：WAF

  要点：WAFはHTTPの中身を検査してWebアプリへの攻撃を遮断する

  WAF（Web Application Firewall）は、HTTPリクエストの中身を解析し、SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーションの脆弱性を突く攻撃パターンを検出して遮断する。通常のファイアウォールが見ないアプリケーション層のデータを検査する点が特徴である。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問13（IPA）

• WAFの説明として，適切なものはどれか。

  正解：特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な通信を遮断する。

  要点：WAFはWebアプリあての通信内容を検査し不正な要求を遮断する

  WAF（Web Application Firewall）は、Webアプリケーションあての通信内容を検査し、攻撃に特徴的なパターンを含む不正なリクエストを遮断する。ネットワーク層で通す・通さないを決める従来のファイアウォールでは防げない攻撃に対応する。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問20（IPA）

• 1台のファイアウォールによって、外部セグメント、DMZ、内部セグメントの三つのセグメントに分割されたネットワークがある。このネットワークにおいて、Webサーバと…

  正解：WebサーバをDMZに、データベースサーバを内部セグメントに設置する。

  要点：公開サーバはDMZ、重要データは内部セグメントに置く

  インターネットから直接アクセスされるWebサーバはDMZに置き、重要データを保持するデータベースサーバは内部セグメントに置くのが定石である。外部と内部の直接通信は許可されないため、仮にWebサーバが侵害されても、攻撃者はDMZから内部への限られたプロトコル経由でしかデータベースに近づけず、被害を局所化できる。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問17（IPA）

• インターネットと社内サーバの間にファイアウォールが設置されている環境で，時刻同期の通信プロトコルを用いて社内サーバの時刻をインターネット上の時刻サーバの正確な時…

  正解：NTP（UDP，ポート番号123）

  要点：時刻同期はNTP（UDP/123）を許可する

  ネットワーク上の機器の時刻を基準時刻サーバに合わせるプロトコルはNTPで、UDPのポート123を使う。ログの時刻がずれているとインシデント発生時に複数機器のログを突き合わせられなくなるため、時刻同期はセキュリティ運用の基礎となる。ファイアウォールでは、この用途に必要なUDP/123だけを許可すればよい。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問18（IPA）