ファイアウォール・IDS・SIEMの違いが丸わかり！ネットワーク防御の全貌

見えない境界線を、どうやって守るのか

動画は、会社のネットワークを「巨大な金庫」にたとえるところから始まります。その金庫に、毎日何万となく世界中から見知らぬ人たちがアクセスを試している。ちょっとゾッとする話です。物理的なドアと違い、ネットワークの世界では「どこが境界線なのか」すら直感的にはわかりません。攻撃者は、その見えない境界線の隙を常にうかがっている、と動画は語ります。

今回のテーマは、この境界線を守るアクセスコントロールの手法です。動画は用語の丸暗記ではなく、「裏側でどうやって動いているのか」を見ていきます。注目するのは、単独のシステムではなく、複数の防衛線が連携しているという点です。登場順に並べると、次のとおりです。

• ファイアウォール：境界で通信を制御し、不正なアクセスを遮断する。
• プロキシサーバー：内部から外部への通信を代行する。
• DMZ：外部とやり取りするサーバーを別の区画に置く。
• IDS：不正な通信を監視して検知する。
• IPS：検知したら自動で遮断する。
• SIEM：各機器のログを一元管理して分析する。

ファイアウォール：動画のたとえは「ビルの入り口の警備員」

動画によると、ファイアウォールは、外部からの不正な侵入を防ぐために、ネットワークの境界で通信を制御して不正なアクセスを遮断する役割を持ちます。具体的には、パケットの宛先をチェックして、通していいものだけを通すパケットフィルタリング機能が中心です。このあと出てくる「ビルの入り口に立つ警備員」というたとえは動画の言葉で、公的資料の定義ではありません。

聞き手は「中身ではなく宛先だけを見るから、通信のスピードを落とさず大量のデータをさばけるわけですね」と受け止め、動画もそれを肯定します。続けて聞き手が、宛先さえルールに従っていれば、中身が悪意のあるウイルスでもそのまま通過してしまう可能性があるのかと確かめると、動画はその通りだと答えます。だからこそ、動画の言う「入り口の警備員」であるファイアウォールだけで全てを守りきることはできない、と動画は強調します。

（補足：動画の訂正というより単純化の補いです。「中身は見ない」という説明は、最も基本のパケットフィルタ型の話として読むのが正確です。NIST SP 800-41 Rev.1 によると、パケットフィルタは送信元と宛先のIPアドレス、プロトコル（TCP・UDP・ICMP）、ポート番号などを条件に使い、パケットの内容（content）は気にしません。条件は「宛先」だけではありません。ただし同じ文書は、接続の状態を表で追跡するステートフルインスペクションや、アプリケーション層で動くアプリケーションファイアウォールも挙げています。製品によっては、もっと踏み込んで通信を見ます。動画はこれらに触れていません。）

プロキシサーバー：内から外への通信を任せる代理人

次の疑問は、「中にいる従業員が仕事で外部のインターネットを使いたいときはどうするのか。壁に穴を開けたら、そこから攻撃されないのか」です。動画は、内部から外部への通信をどう安全に確保するかという視点から、プロキシサーバーを紹介します。プロキシとは「代理」という意味です。他のコンピューターの代理として、他のサーバーと通信する機能のことです。

従業員のパソコンが外部のWebサーバーと直接通信するのではなく、プロキシが通信を代行して外部のWebサーバーとやり取りします。これによってセキュリティが向上します。外部からは従業員のパソコンが直接は見えない、というわけです。動画はプロキシの効果として、次の3つを挙げます。

• セキュリティの向上：代理で通信するので、外部から社員のパソコンが直接見えない。
• キャッシュ機能：過去に受信したデータを蓄積し、アクセスを高速化する。
• URLフィルタリング：事前に登録したサイトへのアクセスを制限する。

具体例はこうです。社内の誰かが外部のニュースサイトにアクセスすると、プロキシはそのページのデータを代理で取得して渡すだけでなく、自分にも蓄積します。直後に別の従業員が同じサイトを見ようとしたとき、プロキシはわざわざ外部まで取りに行かず、蓄積してあるデータを即座に返します。

もう1つが、URLフィルタリングです。見てはいけないサイトを登録しておくことで、業務に不適切なサイトを従業員が見られないように制限できます。聞き手はこれを「ものすごく優秀な秘書」にたとえ、動画は「内部の通信を取り仕切る非常に優秀な代理人」と表現します。

（補足：動画にない確認です。RFC 9110 は「プロキシ」を、クライアントが（通常は設定で）選び、要求を受けて代わりに満たそうとするメッセージ転送エージェントと定義しています。キャッシュには注意点もあります。RFC 9111 では、複数人で使う共有キャッシュは、Authorization ヘッダーのある要求への応答を、保存が許されていない限り使い回してはならないとされています。つまり「同じサイトなら必ず即座に返す」わけではなく、保存してよいかは応答側の指定に従います。動画の説明は基本の形と考えてください。）

DMZ：外部とやり取りするサーバーを別の場所へ

ビジネスをしていれば、外部から内部へのアクセスを許可しなければならない場面もあります。自社のウェブサイトや、外部とやり取りするメールサーバーがそうです。外のお客さんにアクセスしてもらわないと商売にならないけれど、ファイアウォールで全部ブロックするわけにもいかない。かといって、内部のネットワークに直接つなぐのは怖い。動画は、これをネットワーク設計における最大のジレンマと呼びます。構造的な解決策がDMZです。

DMZ は Demilitarized Zone の略で、「非武装地帯」という意味です。動画の説明では、さまざまな脅威がある外部ネットワークにつながるWebサーバーやメールサーバーを、企業の内部データを扱う内部ネットワーク用のサーバーとは別に設置します。

（補足：「切り離す」という表現には、読み方の注意があります。NIST SP 800-41 Rev.1 によると、ファイアウォールの DMZ に単一の技術的定義はなく、通常はルーティング型ファイアウォールのインターフェースの1つです。DMZ と内部側のあいだを行き来する通信も、やはりファイアウォールを通り、ファイアウォールの保護ポリシーを適用できます。つまり、壁を取り払って別の道を作るというより、ファイアウォールの管理下で区画を分ける構成です。）

IDSとIPS：見つける監視カメラと、止める自動シャッター

ここで聞き手が疑問を挟みます。ファイアウォールの宛先チェックをうまくごまかし、DMZもすり抜けて内部に入り込んでくる不正な通信があったら、どうやって気づくのか。そこで登場するのが、ネットワーク内を監視するシステム、IDS と IPS です。

IDS は Intrusion Detection System、侵入検知システムのことです。ネットワーク上の不正な通信を監視して検知するシステムで、大きく2種類あります。

• ネットワーク型：ネットワーク中のパケットを監視する。
• ホスト型：保護したいコンピューターにインストールして監視する。

聞き手は、これを「大通り全体を監視するのか、守りたい金庫そのものにセンサーをつけるのか」の違いと整理しました。そして動画が非常に重要だと言うポイントが、IDSは通信の監視と検知に特化しており、アクセスを防ぐことはできないという点です。聞き手は「泥棒が入ってきたらサイレンは鳴らすけれど、自動で鍵を閉めたり捕まえたりはしてくれない監視カメラのようなもの」とたとえ、動画もそれを肯定します。

では、見つけたあとはどうするのか。夜中に攻撃されたらどうするのか、という不安に答えるのが IPS（Intrusion Prevention System、侵入防御システム）です。不正な通信を検知した際に、自動的に通信を遮断して防御します。聞き手は「見つけたら即座に自動でシャッターを下ろして、侵入者を閉め出すシステム」と整理しました。動画は、このように監視と防御の役割を分けて考えることが重要だと言います。

動画の整理	IDS	IPS
名前	侵入検知システム	侵入防御システム
役割	見つけて知らせる	検知して自動で遮断
防ぐ力	動画では防げない	動画では遮断する

（補足：動画にない確認です。NIST SP 800-94 では、侵入防御を「侵入検知を行い、検知した可能性のあるインシデントを止めようと試みること」と説明しています。「試みる」という言い方です。また、侵入を防ぐ手法の多くは、センサーを通信の通り道に置くインラインモードが必要で、通信のコピーを監視するだけのパッシブ方式では、通信が届くのを確実に止める手段は通常ない、と書かれています。）

SIEM：ログを集めて点と点をつなぐ名探偵

ここまでで、ファイアウォール、プロキシ、DMZ、IDS、IPS と、たくさんの仕組みが出てきました。聞き手は「あっちでアラームが鳴り、こっちで遮断の報告が上がり、情報が多すぎてパニックにならないか」と心配します。動画は、これが大きな課題だと認めます。それぞれの機器の動作状況のログが膨大になり、バラバラに管理していては全体像がつかめないからです。

それを解決する最後のピースが、SIEM（動画では「シーム」と呼ばれます）です。機器やソフトウェアの動作状況のログを一元的に管理するシステムで、セキュリティ上の脅威となる事象をいち早く検知して分析できるようにします。

（補足：動画にない確認です。SIEM の正式名称は Security Information and Event Management で、「Event」を含みます。動画の字幕では、この語が聞き取れませんでした。NIST の用語集（SP 800-92 に由来）は、さまざまな種類のログに対する集中的なログ記録機能を提供するプログラム、と定義しています。）

ゼロトラスト：境界線という前提そのものを疑う

動画の終盤は、さらに先を行く考え方としてゼロトラストアーキテクチャーを紹介します。これまでは「壁の中は安全、壁の外は危険」という前提でやってきました。ゼロトラストは、ネットワークの内側であろうと誰も何も信用しないという前提で、システムを設計し直そうという動きです。動画では、「すでに侵入されているかもしれないという前提に立つ」「1度壁の中に入ったからといって無条件で信用される時代は終わった」といった言い方が出てきます（字幕からは、どちらを誰が言ったか判別できません）。

（補足：NIST SP 800-207 の抄録は、ゼロトラストを、静的なネットワーク境界の防御から利用者・資産・資源に焦点を移す考え方の集合としています。物理的・ネットワーク上の場所や、資産の所有（企業のものか個人のものか）だけを理由に、暗黙の信頼を与えません。利用者と機器の認証・認可は、資源へのセッションを確立する前に行います。つまり「誰も信用しない」とは、すべてを拒否するという意味ではなく、場所で信頼を決めず、アクセスのたびに確認するという意味です。なお、「すでに侵入されているかもしれない前提」という考え方は、NIST SP 800-207 も、ゼロトラストの前提として「攻撃者は環境内にすでにいる（present in the environment）ものと想定し、企業の所有するネットワークも外部のネットワークと同じ程度にしか信頼できない」と述べています（一次資料）。）

まとめ

動画は、これらがそれぞれ全く異なる役割を持ち、連携してネットワークを守っているという全体像をつかむことが、試験対策としても実務としても大切だとまとめています。実際の製品には、動画より細かい方式の違いもあります。