ファイアウォール・IDS・IPSとは？

ファイアウォール・IDS・IPSの意味

ネットワークの境界で不正な通信を防ぐための仕組み。ファイアウォールは、あらかじめ定めたルールに従い通信を許可・遮断する。IDS（侵入検知システム）は不正な通信やアクセスの兆候を検知して管理者に通知する。IPS（侵入防止システム）はIDSの検知機能に加え、不正な通信を自動的に遮断する防御機能を持つ。

ファイアウォール・IDS・IPSの具体例

社内ネットワークとインターネットの境界にファイアウォールを設置し、業務に必要なポート（例：Web閲覧用の443番）だけ通信を許可し、それ以外は遮断する運用が一般的。

ファイアウォール・IDS・IPSは試験でどう引っ掛けられる？

IDS（検知のみ・通知）とIPS（検知に加えて自動遮断）の機能範囲の違いが問われやすい。

ファイアウォール・IDS・IPSと関連する用語

• アクセス制御（ホワイトリスト・ブラックリスト・最小権限の原則）
• VPNとネットワークセキュリティ

ファイアウォール・IDS・IPSが出た過去問

• WAFの説明はどれか。

  正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。

  要点：WAFはHTTPの内容を検査してWeb攻撃を遮断する

  WAF（Web Application Firewall）は、Webアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃と判断されるパターンを含むアクセスを遮断する仕組みである。通常のファイアウォールがポート単位で制御するのに対し、HTTPの中身まで見る点が特徴である。

  出典：平成28年度 秋期 基本情報技術者試験 午前 問42（IPA）

• PCへの侵入に成功したマルウェアがインターネット上の指令サーバと通信を行う場合に，宛先ポートとしてTCPポート番号80が多く使用される理由はどれか。

  正解：Webサイトの閲覧に使用されることから，通信がファイアウォールで許可されている可能性が高い。

  要点：80番は業務上許可されがちで、外部へ抜ける通り道になる

  TCPの80番はHTTPすなわち通常のWeb閲覧に使われるポートであり、業務上必要なため多くの組織でファイアウォールの外向き通信が許可されている。マルウェアがこのポートを使えば、追加の設定変更なしに外部の指令サーバへ到達でき、通常の閲覧に紛れ込ませることもできる。閉じられていないポートを選ぶという発想である。

  出典：平成28年度 秋期 基本情報技術者試験 午前 問45（IPA）

• クライアントとWebサーバの間において，クライアントからWebサーバに送信されたデータを検査して，SQLインジェクションなどの攻撃を遮断するためのものはどれか。

  正解：WAF

  要点：WAFはHTTPの中身を検査してWeb攻撃を遮断する

  WAF（Web Application Firewall）は、HTTPの通信内容そのものを検査し、攻撃に典型的なパターンを含むリクエストを遮断する。パケットヘッダしか見ない従来型ファイアウォールでは防げない、SQLインジェクションやクロスサイトスクリプティングへの対策として位置付けられる。アプリケーション改修が難しい場合の緩和策としても使われる。

  出典：平成28年度 春期 基本情報技術者試験 午前 問43（IPA）

• 社内ネットワークとインターネットの接続点にパケットフィルタリング型ファイアウォールを設置して，社内ネットワーク上のPCからインターネット上のWebサーバの80番…

  正解：PC→Webサーバ（送信元ポート1024以上／宛先ポート80），Webサーバ→PC（送信元ポート80／宛先ポート1024以上）

  要点：Web通信は往路が高位ポート→80、復路が80→高位ポート

  クライアントがWebサーバへ接続するとき、宛先ポートはサービス側の80番、送信元ポートはOSが割り当てる1024以上の一時的な番号になります。復路のパケットはこれが入れ替わり、送信元が80番、宛先が同じ1024以上の番号になります。したがって往路は「1024以上→80」、復路は「80→1024以上」を許可する組合せが正しくなります。

  出典：平成29年度 春期 基本情報技術者試験 午前 問42（IPA）

• 1台のファイアウォールによって，外部セグメント，DMZ，内部セグメントの三つのセグメントに分割されたネットワークがある。このネットワークにおいて，Webサーバと…

  正解：WebサーバをDMZに，データベースサーバを内部セグメントに設置する。

  要点：公開サーバはDMZ、重要データは内部セグメントに置く

  インターネットから直接アクセスされる必要があるWebサーバはDMZに置き、外部から直接届かせたくないデータベースサーバは内部セグメントに置きます。こうすると、外部から内部への直接通信は遮断され、データベースへはDMZのWebサーバを経由する限定的な通信だけが許可されます。攻撃者がWebサーバを侵害しても、内部への到達には追加の突破が必要となり、重要データが守られます。

  出典：平成29年度 春期 基本情報技術者試験 午前 問43（IPA）