安全な firewall 設定: エンタープライズのための 8 つのステップ

ファイアウォールを正しく設定することは、企業ネットワークを保護するうえで最も重要な取り組みの一つです。ファイアウォールは防御の第一線として機能しますが、その有効性は適切な設定と継続的な監視に左右されます。設定が不適切なファイアウォールは、ネットワークをサイバー脅威、パフォーマンスの問題、コンプライアンスリスクにさらすことになります。本ガイドでは、企業におけるファイアウォール設定の要点を解説し、環境を保護するための実践的な手順を示すとともに、長期的な保護において継続的な監視が重要である理由を説明します。

主なポイント:

• 適切に設定されたfirewallは、企業の機密データを保護し、ネットワークパフォーマンスを向上させ、規制対応を支えます。
• 必須の手順には、最小権限のアクセスルールの適用、ログ取得の有効化、監視と管理を効率化する自動化の活用が含まれます。

適切なfirewall設定が企業セキュリティに不可欠な理由

firewallは与えられたルールしか適用しません。だからこそ、適切な設定が不可欠です。過度に緩いルール、外部に露出した管理インターフェイス、変更されないままのデフォルト設定は、機密データへの経路を開き、監査指摘を招き、トラフィックを遅延させ、侵害時のコストを押し上げます。

firewallの設定ミスは、サイバー犯罪者に悪用される隙を残し、次のような事態につながります。

• サイバー攻撃リスクの増大: 設定が不適切なファイアウォールは、機密データを露出させ、ネットワークを侵害にさらす可能性があります。
• 規制不順守: ファイアウォール設定が脆弱であると、コンプライアンス違反となり、罰金や監査上の処分につながる可能性があります。
• パフォーマンスの問題: 設定が不十分だと、ネットワークのボトルネックが生じ、重要な業務運営が遅延します。
• コストの増加: ファイアウォールの設定ミスに起因するデータ侵害は、金銭的損失を招き、企業の評判を損なう可能性があります。

人的ミスによる脆弱性: 構築時や運用時のわずかなミスがセキュリティ上の隙を生みます。詳しくは、以下を回避するためのFireMonのガイドをご覧ください: 人的ミス。

設定ミスが招いた事例が示すリスクの大きさ

設定ミスは、大規模な侵害やデータ露出の一因となってきました。firewall設定を正しく行うことがなぜ重要なのかを示す、2つの代表的な事例を紹介します。

Capital One のデータ侵害(2019年)

2019年、攻撃者はCapital OneのAWS環境における設定ミスのあるWebアプリケーションfirewallを悪用し、米国とカナダの約1億600万人分のデータにアクセスしました。この侵害は、不正アクセスを防ぐための安全なfirewallルールがいかに重要かを浮き彫りにしました。

Microsoft Power Apps のデータ露出(2021年)

2021年には、研究者らが、デフォルト設定のまま運用されていたPower Appsポータルによって、複数組織のCOVID-19接触追跡データやワクチン接種データを含む約3,800万件のレコードが露出していたことを発見しました。これはfirewallの問題ではありませんが、同じリスクを示しています。見直されないデフォルト設定は、やがて露出につながります。

エンタープライズfirewallを安全に設定する8つのステップ

エンタープライズfirewallを安全に設定するには、管理アクセスを厳格に制限し、ネットワークをゾーンに整理し、最小権限に基づくデフォルト拒否のルールセットを構築し、ログ取得を有効化し、NATを設定し、IDS/IPSとアプリケーション層の制御を有効にし、設定を検証したうえで、ドリフトを継続的に監視します。

最初の6ステップで安全な設定を構築し、残りの2ステップでネットワークの変化に応じてその安全性を維持します。

1. ファイアウォール管理画面へのアクセス

まず、通常は Web ベースの GUI またはコマンドラインインターフェイスを通じて、ファイアウォールの管理インターフェイスにアクセスします。管理者権限は強力なパスワードとアクセス制限で厳格に保護し、許可された担当者だけが変更を行えるようにしてください。

2. 中核となるネットワークインフラ設定の定義

IP レンジ、サブネット、セキュリティゾーンを含め、ネットワークアーキテクチャを整理します。これにより、ファイアウォールルールをネットワーク構造に整合させ、環境内での不正なラテラルムーブメントのリスクを低減できます。

3. ファイアウォールのルールセットとポリシーの策定

最小権限の原則に基づき、インバウンドとアウトバウンドのトラフィックルールを明確に定義します。必要な通信のみを許可し、それ以外はデフォルトで遮断します。各ルールには所有者、業務上の正当性、レビューまたは有効期限を設定してください。送信元、宛先、サービスの各フィールドで「any」の使用を避け、限定的なルールを広範なルールより上位に配置して先に評価されるようにします。ルールセットの最後には、遮断したトラフィックをログに記録する明示的な拒否ルールを置きます。

より詳細なアプローチについては、FireMonのfirewallルール。

4. ログ取得と監視の手順の確立

ログ取得を有効にして、ファイアウォールの動作を記録し、トラフィックパターンを追跡します。継続的なファイアウォール監視の一環として定期的にログを確認することで、異常な挙動を早期に把握し、脅威が拡大する前に対応できます。

5. ネットワークアドレス変換の実装

ネットワークアドレス変換(NAT)を設定し、内部IPアドレスを外部の脅威から隠蔽します。これにより外部から内部アドレス体系を把握されにくくなりますが、NATはアクセス制御ルールの代わりにはなりません。ステップ3のデフォルト拒否のルールセットと組み合わせて運用してください。

6. 脅威の検知および防御機能の構成

侵入検知システム(IDS)や侵入防止システム(IPS)などのセキュリティ機能を有効にし、疑わしい活動を検知・遮断します。多くの最新のファイアウォールには、高度な脅威に対抗するためのアプリケーション層のセキュリティも備わっています。

7. ファイアウォール設定の整合性の検証

定期的なファイアウォールレビューを実施し、設定ミスがセキュリティリスクとなる前に発見します。開放されたポート、過度に緩いルール、ネットワークを攻撃にさらしかねない古いポリシーがないかを確認してください。

送信元、宛先、サービスに「any」を許可しているルール、一度も一致しないシャドウルールや冗長なルール、一定期間トラフィックのヒットがないルール、社内基準やフレームワーク要件に反するルールを洗い出します。変更案も本番適用前に同じ観点で確認し、ミスを本番環境ではなくレビュー段階で発見できるようにします。

8. 設定の継続的な監視と検証

一時的なアクセスの追加、既存ルールへの新規ルールの積み増し、クラウド環境の追加などにより、設定は徐々にドリフトします。現在のポリシーを承認済みのベースラインと比較し、すべての変更について実施者と理由を記録し、監査時だけでなく各変更ウィンドウの後にコンプライアンスチェックを再実行してください。

FireMon でファイアウォール設定管理を効率化

企業全体のfirewallを手作業で管理するのは大きな負担であり、大規模で複雑なネットワークでは特に困難です。

ポリシーはネットワークセキュリティのControl Planeです。FireMonは、サポート対象のオンプレミスおよびクラウドの各ポリシー適用ポイントにまたがるfirewallポリシーを、単一の基盤で可視化、検証、統制できるようにします。 Security Managerはポリシーの可視化と検索を一元化します。 Policy Optimizerはルールのレビューとクリーンアップを支援します。 Policy Plannerは、変更を実装前にレビューへと回します。 Risk Analyzerは、どのルールが重要資産を露出させているかの把握を支援します。FireMonは、ポリシーチェックとエビデンスによってコンプライアンス監査を支援します。コンプライアンスを証明するものではありません。

• 可視化と検索: サポート対象ベンダーのfirewallポリシーを1つのビューで確認でき、資産を露出させているルールを特定できます。
• セキュリティ態勢の改善によるリスク低減: 過度に緩いルール、シャドウルール、未使用ルールを特定し、remediationの優先順位を決定します。
• コンプライアンスの達成と維持: ポリシーを社内基準やフレームワークに沿った統制と照合し、監査用のエビデンスを生成します。
• 運用効率の向上とコスト削減: 変更を本番適用前にレビューし、何がいつ変更され、誰が承認したかを追跡します。