ファイアウォール・IDS・IPSとは？

ファイアウォール・IDS・IPSの意味

ネットワークの境界で不正な通信を防ぐための仕組み。ファイアウォールは、あらかじめ定めたルールに従い通信を許可・遮断する。IDS（侵入検知システム）は不正な通信やアクセスの兆候を検知して管理者に通知する。IPS（侵入防止システム）はIDSの検知機能に加え、不正な通信を自動的に遮断する防御機能を持つ。

ファイアウォール・IDS・IPSの具体例

社内ネットワークとインターネットの境界にファイアウォールを設置し、業務に必要なポート（例：Web閲覧用の443番）だけ通信を許可し、それ以外は遮断する運用が一般的。

ファイアウォール・IDS・IPSは試験でどう引っ掛けられる？

IDS（検知のみ・通知）とIPS（検知に加えて自動遮断）の機能範囲の違いが問われやすい。

ファイアウォール・IDS・IPSと関連する用語

• アクセス制御
• VPNとネットワークセキュリティ

ファイアウォール・IDS・IPSが出た過去問

• WAFの説明はどれか。

  正解：Webアプリケーションへの攻撃を監視し阻止する。

  要点：WAFはWebアプリ層への攻撃を検知し遮断する

  WAFはWebアプリケーションの前段に置き、HTTPの通信内容を検査してSQLインジェクションやクロスサイトスクリプティングなど、アプリケーション層を狙う攻撃を検知・遮断する仕組みである。ネットワーク層で通信を制御するファイアウォールでは防げない攻撃を対象とする。

  出典：平成29年度 秋期 応用情報技術者試験 午前 問45（IPA）

• インターネットへの接続において，ファイアウォールでNAPT機能を利用することによるセキュリティ上の効果はどれか。

  正解：インターネットにアクセスする組織内の利用者PCについて，外部からの不正アクセスを困難にすることができる。

  要点：NAPTは外部から内部端末を名指しした通信を成立させにくくする

  NAPTは内部の複数端末のプライベートIPアドレスとポート番号を、1つのグローバルIPアドレスの異なるポートに対応づける。この対応表は内部から外部への通信をきっかけに作られるため、外部から内部の端末を名指しして通信を始めることができず、不正アクセスが困難になる。

  出典：平成29年度 春期 応用情報技術者試験 午前 問36（IPA）

• 攻撃にHTTP over TLS（HTTPS）が使われた場合に起こり得ることはどれか。

  正解：攻撃者が社内ネットワークに仕掛けたマルウェアによってHTTPSが使われると，通信内容がチェックできないので，秘密情報が社外に送信されてしまう。

  要点：HTTPSは経路上での内容検査を妨げ情報持出しの発見を難しくする

  通信がTLSで暗号化されると、途中のファイアウォールやIDSなどでは中身を検査できない。攻撃者が仕込んだマルウェアがHTTPSで外部と通信すると、機密情報が送信されていても内容を確認できず、持ち出しを見逃してしまう。

  出典：平成29年度 春期 応用情報技術者試験 午前 問44（IPA）

• ETSI（欧州電気通信標準化機構）によって提案されたNFV（Network Functions Virtualisation）に関する記述として、適切なものはど…

  正解：仮想化技術を利用し、ネットワーク機能を汎用サーバ上にソフトウェアとして実現したコンポーネントを用いることによって、柔軟なネットワーク基盤を構築する。

  要点：NFVはネットワーク機能を汎用サーバ上のソフトで実現する

  NFV（ネットワーク機能仮想化）は、ルータやファイアウォールなど従来は専用機器で実現していたネットワーク機能を、仮想化技術によって汎用サーバ上のソフトウェアとして動かす考え方である。機器調達を待たずに機能の追加・変更・増減ができ、柔軟で経済的なネットワーク基盤を構築できる。

  出典：平成30年度 春期 応用情報技術者試験 午前 問32（IPA）

• パケットフィルタリング型ファイアウォールのフィルタリングルールを用いて、本来必要なサービスに影響を及ぼすことなく防げるものはどれか。

  正解：外部に公開しないサーバへのアクセス

  要点：パケットフィルタはヘッダで判断、中身の攻撃は防げない

  パケットフィルタリングはIPアドレスやポート番号などヘッダ情報で通過可否を決める仕組みである。外部に公開しないサーバ宛ての通信は、宛先アドレスやポートで機械的に遮断でき、必要なサービスに影響を与えずに防げる。一方、許可した通信の中身に潜む攻撃は、ヘッダだけでは判別できない。

  出典：平成30年度 春期 応用情報技術者試験 午前 問44（IPA）