アクセスコントロール

金庫室の扉が全開、という矛盾

動画は、こんな想像から始まります。「銀行の巨大な金庫室の正面扉が、常に世界中に向けて全開になっている状況を想像してみてほしい」。現実の銀行ならありえません。ところがネットワークでは、誰でもエントランスに入れるのに、奥の現金は完璧に守られている、という状態を作らなければならない、と動画は言います。

すべてを高い壁で囲えば安全ですが、それでは顧客とデータをやり取りできず、ビジネスが成り立ちません。そこで、リスクをコントロールしながら、あえて道を開け放つ。動画はこれを「オープンでありながら同時に堅牢」という矛盾した状態と呼びます。

動画は用語を読み上げず、「なぜそう設計されたのか」から解きほぐします。登場するのは次の5つです。

• ファイアウォールとプロキシサーバ：ネットワークの境界の防衛
• DMZ：公開サーバーを内部から切り離す隔離エリア
• IDSとIPS：内部に入り込んだ不審な動きの監視
• SIEM：バラバラの警報とログをまとめて見る司令室

境界の防衛：ファイアウォールとプロキシサーバ

最初の関所は、ネットワークの境界で通信を制御するファイアウォールです。動画では「門番」にたとえられ、パケットの宛先をチェックして、通してよいものだけを通すパケットフィルタリングの機能を持つと説明されます。

（補足：NISTの用語集は、ファイアウォールを「異なるセキュリティ姿勢を持つネットワーク間やホスト間のトラフィックの流れを制御する装置またはプログラム」と定義しています。）

ここで動画は、多くの企業がファイアウォールだけで終わらせず、プロキシサーバも併用している点を取り上げます。プロキシは「代理」の意味なので、肩代わりだけなら優秀な門番で足りそうに思えます。

動画の整理では、ファイアウォールは出入口で「この宛先は許可、この宛先は拒否」というパケットレベルの交通整理に特化しています。一方プロキシは、他のコンピューターの代理として他のサーバーと通信し、もっとビジネスの実態に踏み込んだ3つの効果を持つ、と続きます。

効果	動画の説明	ひとこと
安全性の向上	代理で通信し、直接外に顔を出さない	身代わり
キャッシュ	過去に受信したデータを蓄積して使い回す	ショートカット
URLフィルタリング	事前に登録したサイトへのアクセスを制限する	危険な場所に近づけない

キャッシュの例はこうです。社内の何百人もの従業員が毎朝同じクラウドサービスやニュースサイトを見るとき、全員が外部のWebサーバーまで取りに行くと、ネットワークの帯域がパンクします。そこでプロキシが「さっき取ってきたデータが手元にある」と渡してくれるので、アクセスが速くなる、という説明です。

3つ目のURLフィルタリングについて、聞き手が「従業員のサボり監視ですか」と尋ねると、動画は、業務態度の管理という側面もあるが本質はセキュリティだと答えます。マルウェアは、従業員が不適切なサイトにうっかりアクセスして不正なプログラムをダウンロードし、内部に入り込まれるケースが多いからです。

聞き手は、これを「内部の通信の効率を上げつつ危険な場所に近づかせない、有能な社内管理者」とまとめ、動画は「ぴったり」と受けます。外部からの侵入を点検するファイアウォールと、内部からの通信を統制するプロキシ。この両輪がそろって安全なコントロールが成立する、というのが動画の結論です。

（補足：IPAの基本情報技術者試験シラバス Ver.9.2は、用語例に「プロキシサーバ，リバースプロキシサーバ」「URLフィルタリング（Webフィルタリング）」「WAF」を挙げています。動画はリバースプロキシやWAFには触れていません。プロキシの効果を3つに整理する点は、公的な資料では確認できなかったので、動画の整理として読んでください。パケットフィルタ型のファイアウォールは、宛先・送信元のIPアドレスやポート番号で許可・拒否を決めます（百科事典・二次資料）。ただしファイアウォールはこの型だけではなく、動画の「パケットレベルに特化」は代表的な型の説明です。）

DMZ：突破される前提で、被害を閉じ込める

境界をいくら固くしても、公開サービスは残ります。Webサーバーやメールサーバーはお客様に使ってもらうため、外部に向けて開いておく必要があるからです。そこで出てくるのが「非武装地帯」を意味するDMZで、外部につながるサーバーを、内部データを扱うネットワークとは別の空間に置きます。

聞き手は、DMZを「外部からの攻撃を完璧に防ぐ無敵の要塞エリア」だと勘違いしていたと話します。ところが資料には、目的は「外部から攻撃を受けた場合でも、被害を最小限に食い止めること」とあったそうです。

動画が挙げる理由は、性質のまったく違う2つの空間を直結する危険です。公開Webサーバーのわずかな脆弱性を突かれただけで、そこを足場に内部の機密データまで一気に到達されます。冒頭の銀行でいえば、受付カウンターと奥の金庫室が同じ部屋にある状態です。

そこで動画は、外部の人がアクセスするサーバーを、内部から切り離した緩衝地帯に置くと説明します。

• 外部からDMZへのアクセスは許可する。
• DMZから内部ネットワークへのアクセスは、内部に設置した別のファイアウォールで厳格に遮断する。
• 最悪、DMZがやられてシステムがダウンしても構わない。ただし、本丸である内部のデータベースへの延焼だけは絶対に防ぐ。

動画は、100%の防御は現実的に不可能だからこそ、被害範囲をあらかじめ限定する。この隔離の構造がDMZの役割だと結びます。

（補足：2点を出典つきで確認します。1点目、NISTの用語集（CNSSI 4009-2022）は、DMZを内部と外部の間の周辺ネットワークセグメントとし、外部の信頼できない相手に制限付きアクセスを与えつつ内部を攻撃から遮蔽するもの、としています。またSP 800-41 Rev.1の定義は、DMZと保護側の間のトラフィックもファイアウォールを通り、保護ポリシーを適用できると述べます。「一切通さない」というより、ポリシーで絞ると読むほうが近く、動画の「厳格に遮断」は単純化した表現です。2点目、JIS Z 8115:2019で「フェールセーフ」は「故障時に、安全を保つことができるシステムの性質」です。動画は、突破されても被害を閉じ込めるという、より広い意味で使っています。）

IDSとIPS：カメラと番犬、どちらを置くか

境界を固め、DMZも作りました。それでも、正規の通信ルートを装って壁をすり抜ける侵入者は必ずいます。そこで内部の監視が必要になり、資料にはIDS（侵入検知システム）とIPS（侵入防止システム）が挙げられている、と動画は進みます。

動画では、IDSにはパケットを見るネットワーク型と、特定のパソコンに入れるホスト型があり、不正な通信を監視して検知しますが、アクセスを防ぐことはできません。IPSは、不正な通信を検知すると自動的に遮断します。たとえは、IDSが「録画して警報を鳴らすだけの監視カメラ」、IPSが「侵入者に噛みついてくれる番犬」です。

（補足：NISTの用語集は、IDSを「許可なくシステム資源へアクセスしようとする試みを見つけ、警告するために監視・分析するセキュリティサービス」、IPSを「侵入的な活動を検知でき、その活動を（理想的には標的に届く前に）止めようと試みることもできるシステム」としています。IPAのシラバスはIPSを「侵入防止システム」と表記し、動画字幕の「侵入防御」とは字が違います。）

動画の例はこうです。月末の決算期に、経理部門が巨大な財務データを社内のサーバー間で一斉に移動させます。普段と違う通信量だったため、IPSが「内部データを持ち出す攻撃だ」と勘違いして遮断してしまい、決算作業が止まります。病院の電子カルテや金融機関のリアルタイム取引なら、誤検知で止まるダメージは攻撃以上に壊滅的だ、と動画は言います。

そこで動画は、絶対に止められない基幹システムや誤検知リスクの高い環境には、あえてIDSを置くと説明します。アラートだけ出し、遮断するかどうかは、ビジネスへの影響を判断できる人間に委ねるのです。

観点	IDS	IPS
働き	検知して警報を出す	検知して自動で遮断する
誤検知のとき	人が見て判断する	正常な通信まで止まる恐れ
向く場所（動画）	絶対に止められない場所	止まっても即座に守りたい場所

動画のまとめは、違いは防御機能の有無だけでなく、システムの可用性（動き続けること）と安全性のどちらを優先するかという設計思想の違い、というものです。

（補足：可用性は、JIS Z 8115:2019のアベイラビリティ「要求どおりに遂行できる状態にあるアイテムの能力」の注記に別名として載っています。IPSの誤検知の問題と設置場所の使い分けは、NIST SP 800-94の本文が取得できず、一次資料では確認できませんでした。動画の説明として読んでください。）

SIEM：アラームの洪水を、司令室でまとめる

ここまでで多層の要塞ができましたが、動画は、新しい問題が起きると続けます。アラームの洪水です。ファイアウォールは「弾きました」、プロキシは「止めました」、IDSは「変な動きを見つけました」と、バラバラに報告してきて、全体で何が起きているのか誰も把握できなくなる。動画はこれをアラート疲れと呼びます。

（自作の設例：アラートが1日1,000件、1件の確認に3分なら、3,000分で50時間です。全件を人が見るのは現実的ではありません。数字は仮のものです。）

解決するのが、最後に登場するSIEM（Security Information and Event Management）です。動画では、機器やソフトウェアのログを一元管理し、脅威となる事象をいち早く検知・分析するシステムで、「要塞の巨大な指令室」にたとえられます。

動画の例です。ある社員がVPNで社内ネットワークにログインします（普通の動作）。直後に社内のデータベースへ大量の検索が行われ、数分後にはプロキシ経由で外部へファイルが送信されました。各機器から見れば個別の記録にすぎず、エラーも出ないので、単体では見過ごされます。

SIEMが一元的に分析すると、「このアカウントが乗っ取られて、内部のデータが持ち出されているぞ」という全体像が浮かびます。動画によれば、個別の防御を担うのがファイアウォールやIPSなら、SIEMは全体を俯瞰する戦略的な司令塔です。

（補足：NISTの用語集は、SIEMツールを「情報システムの構成要素からセキュリティデータを集め、単一のインターフェースで活用できる情報として示すアプリケーション」と定義しています。）

動画が最後に残した問い

動画の終盤は、先を見据えた問いです。攻撃者がAIを使い、IDSが異常と判定しないギリギリの通信や、SIEMの分析ルールを逆手に取った偽装パターンを無限に試し続けたら、防御側のAI対攻撃側のAIの、終わりのないチェスゲームになるかもしれない。企業はどこまで自動化に任せ、どこに人間の判断を残すべきか。動画は、これを自分自身の課題として考えてみてほしい、と投げかけて終わります。

動画が整理していた対比

まとめ

最後に、動画と公的資料のずれを整理します。「DMZから内部へは厳格に遮断」は単純化で、NISTの定義では内部との間もファイアウォールのポリシーで制御します。「フェイルセーフ」はJISでは故障時に安全を保つ性質で、動画はやや広い意味で使っています。ファイアウォールの方式の違いやIPSの誤検知の話は、一次資料の本文では確認できなかったので、動画の説明として受け取ってください。