あなたの知らないFirewallの世界

Security.any #11 灼熱の攻防セキュリティLT で発表したLT資料です
https://security-any.connpass.com/event/394623/

Transcript

1. あなたの知らない Firewallの世界 Security.any #11 灼熱の攻防セキュリティLT RYO / 2026.07.16
2. About Me RYO 主にクラウドセキュリティ (AWS)、脅威モデリン グ、脆弱性管理、OIDC/OAuth、DDD辺りが得意 です。 エンジニアに飽きてしまったというかキャリアに行 き詰まりを感じて、2026.04からセキュリティコン サルタントとして勤務中
3. Firewallをご存知でしょうか？
4. Firewall…?
5. Firewall
6. Firewall 怪しい通信をブロックする防火壁のことで、危険なネットワーク（インターネット）と安全なネット ワーク（社内や自宅）の間に置き、通信を 24時間監視する役割を持つ。 Windows XP(2001年) から標準で搭載されており、名前は知っている・聞いたことがある人も 多いのではないでしょうか？
7. Software / Hardware Firewall ファイアウォールはデバイスにインストールして利用する ソフトウェア型 と物理的なデバイスと してのハードウェア型 の2種類あります。 ソフトウェア ハードウェア 各デバイスの内部でソフトウェアとして 動作するプログラム 専用のネットワーク機器として設置する
8. Host / Network based Firewall ファイアウォールは設置する「場所」によって、大きく ホストベース とネットワークベース の2種 類に分類されます。 ホストベース ネットワークベース 各デバイスの内部でソフトウェアとして動作し、 パソコンやサーバー１台を守る インターネットと社内ネットワークの境界にあ り、ネットワーク全体を守る
9. Screen Subnet 安全な内部ネットワークを実現させるため、 DMZを挟んで内と外の2つのファイアウォールを 配置するスクリーンサブネットという構成を取ることが多い。 DMZ Webサーバ メールサーバ 内部ネットワーク DBサーバ 社内LAN インターネット
10. Screen Subnet 安全な内部ネットワークを実現させるため、 DMZを挟んで内と外の2つのファイアウォールを 配置するスクリーンサブネットという構成を取ることが多い。 DMZ Webサーバ メールサーバ 内部ネットワーク DBサーバ 社内LAN インターネット
11. DMZ (DeMilitarized Zone) インターネットと社内ネットワークの間に作られる 隔離されたネットワーク のこと。 非武装地帯とも呼ばれ、外部に公開するサーバを DMZに配置することで、サーバがハッキン グされても、社内の重要なネットワークに侵入するのを防ぐ役割を持っている。 DMZ Webサーバ 内部ネットワーク DBサーバ 誰でもアクセス可能 厳格なアクセス制限
12. 余談... ハードウェアとしてのファイアウォールは Amazonなどで購入することができる。 写真のファイアウォールは「 Fortinet FortiGate-30G」で¥98,765（税込）。 https://amzn.asia/d/0eVn7LIB
13. どのように通信を制御するか？
14. Firewallによる通信制御 通信を制御する方法は大きく 3種類あり、OSI参照モデルの上位のレイヤーに対応する Firewallほど通信の文脈を理解した高度な防御が可能になる。 パケットフィルタ ステートフル WAF
15. Firewallによる通信制御 通信を制御する方法は大きく 3種類あり、OSI参照モデル の上位のレイヤーに対応する Firewallほど通信の文脈を理解した高度な防御が可能になる。 パケットフィルタ ステートフル WAF
16. OSI参照モデル 通信の仕組みを7つの階層に分けて整理した国際標準のルールのこと。 送信側は上から下の層へ向かってデータを追加していき（ カプセル化 ）、受信側は層ごとに データを取り出していく（ デカプセル化 ）。 物理 データリンク ネットワーク トランスポート セッション プレゼンテーション アプリケーション データを入出力 暗号化、圧縮、文字コードを変換 コネクションを作成・維持 ポート番号を付与 IPアドレスを付与 MACアドレスを付与 データを電気信号や光に変換 カ プ セ ル 化 デ カ プ セ ル 化
17. パケットフィルタ 最も基本となるファイアウォールで、送信元や宛先 のIPアドレス、ICMP（要はPing）、ポート番号を検 査する。 処理は高速だが過去の通信履歴を持たないス テートレスなため、送信元 IPアドレスの偽装に弱い という弱点がある。 物理 データリンク ネットワーク トランスポート セッション プレゼンテーション アプリケーション
18. ステートフル パケットだけでなく通信の状態を継続的に追跡す る。 TCPの3ウェイ・ハンドシェイク ※のシーケンスを監 視して、確立された正当なセッションのパケットの みを通過させる。 ※ SYN→SYN/ACK→ACK 物理 データリンク ネットワーク トランスポート セッション プレゼンテーション アプリケーション
19. WAF HTTPのGET/POSTメソッドやSQL文など、データ の中身を解析して悪意のあるペイロードをブロック する。 セキュリティレベルは高いが処理に負荷がかか り、遅延の原因になりやすい。 物理 データリンク ネットワーク トランスポート セッション プレゼンテーション アプリケーション
20. 余談... 現在はOSI参照モデルをシンプルにした「 TCP/IPモデル（ 4階層）」の考え方が主流。 基本情報技術者の試験に出るが役に立ちにくい知識、それが OSI参照モデル。 物理 データリンク ネットワーク トランスポート セッション プレゼンテーション アプリケーション ネットワーク インターネット トランスポート セッション プレゼンテーション アプリケーション アプリケーション
21. New Generation Firewall (NGFW)
22. New Generation Firewall（NGFW） 次世代ファイアウォールはパケットフィルタとス テートフルの２つの機能を備えつつ、アプリケー ション層で誰がどんな通信をしているかまでチェッ クする。 ただし、WAFとは機能が異なる。 WAFは外から中へのインバウンド通信を制限する のに対し、NGFWは中から外へのアウトバウンド 通信を制限する。 何がすごいかと言うと ... 物理 データリンク ネットワーク トランスポート セッション プレゼンテーション アプリケーション
23. グラニュラー制御 パケットのデータパターンや振る舞いを解析して、機能単位の細かい制御が可能。 例えば、facebookの特定の操作だけ許容する、といったことができる。 タイムラインを見る 投稿する ゲームをする
24. ユーザ識別 Active Directoryなどと連携して、組織内の個人レベルで制限が可能。 例えば、DropBoxは特定の人だけ利用を許可する、といったことができる。 総務部のAさん 開発部のBさん 退職した元総務部の Cさん
25. あらゆる機能が１つに... これまで別々のセキュリティ対策として、バラバラに導入されていた複数の機能やソフトウェア を１つに統合している。 • 不正侵入防御（IPS） • 不正侵入検知（IDS） • アンチウイルス • URLフィルタリング
26. まとめ ファイアウォールとは、いわばネットワークの「門番」。 不正アクセスを遮断し、内部からの情報漏えいを防止し、端末１台からシステム全体までをカ バーできる能力を持つ。 ファイアウォールに興味が出た方はぜひ手に取ってみてください。
27. Thanks !
28. Presentation template by http://pptmon.com/ Click to follow link