NGFW とは：従来型ファイアウォールの限界と次世代ファイアウォールの機能

NGFW とは

NGFW（Next-Generation Firewall）とは、従来型ファイアウォールのアクセス制御機能に、アプリケーション識別、ディープパケットインスペクション、侵入防止、脅威インテリジェンスの各機能を組み合わせた次世代ファイアウォールです。

従来型ファイアウォールは、トラフィックの送信元と宛先の IP、ポート、プロトコルを基準に、ネットワーク接続を許可または遮断します。こうしたアクセス制御は現在も必要です。社内システムへの不要なトラフィック接続を遮断し、許可されたトラフィックだけを通すことが、ネットワークセキュリティの最も基本的な原則だからです。

しかし、現在の業務トラフィックを接続情報だけで判断するのは非常に困難です。業務用 SaaS、コラボレーションツール、ファイル共有サービス、クラウド管理コンソールはいずれも Web ベースで動作します。正常な接続に見えても、悪意のあるファイルのダウンロード、許可されていないデータのアップロード、脆弱性を狙った攻撃など、不審な振る舞いが発生する場合があります。

NGFW はこうした環境の変化に対応するネットワークセキュリティとして、従来型ファイアウォールの判断範囲を広げます。接続を単に許可または遮断するだけでなく、トラフィックがどのアプリケーションへ接続しているか、どのようなコンテンツが含まれているか、攻撃の兆候があるかなどを確認します。そのため、従来型ファイアウォールを置き換える別個のセキュリティ概念ではなく、アクセス制御にアプリケーションベースの制御機能を加えたセキュリティ制御機器と捉えることができます。

従来型ファイアウォールの限界

従来型ファイアウォールは、アプリケーションとネットワーク環境が比較的単純だった時代には効果的でした。Web アクセス、メール、リモートアクセスなど、サービスごとに主に使用するポートが分かれていたため、IP とポートを基準としたポリシーだけでも十分なアクセス制御が可能でした。しかし、業務環境の変化により、従来型ファイアウォールの基準だけでトラフィックを区別することが難しくなりました。

アプリケーション識別の限界

従来型ファイアウォールは、ポートとプロトコルを基準にトラフィックを分類します。以前は、Web、メール、リモートアクセスなどのサービスごとに使用する通信方式が分かれていたため、この方法が効果的でした。

現在では、業務用アプリケーションやサービスの多くが Web ベースで提供され、一部は非標準ポートを使用したり、暗号化された接続内で動作したりします。そのため、ポート情報だけでどのアプリケーションが使われているかを確認することはできません。

つまり、セキュリティチームには、許可されたポートを介して接続が発生したかどうかではなく、そのトラフィックが業務に必要なアプリケーションなのか、それとも承認されていないファイル共有サービスなのかを区別することが求められます。

トラフィック内の悪意のある振る舞いを確認できない

正常に接続されたトラフィックであっても、安全とは限りません。トラフィック内に、悪意のあるファイル、攻撃コード、悪意のあるコマンド、データ流出の試みが含まれる場合があります。しかし、こうした情報はパケット内のコンテンツに隠れています。

従来型ファイアウォールの検査方式では正常なトラフィックに見えても、内部を確認しなければ、悪意のあるファイルのダウンロードや脆弱性を狙った攻撃を見逃すおそれがあります。特に、暗号化された SSL/TLS トラフィックは、内容の確認がさらに困難です。

詳細な振る舞いを制御できない

従来型ファイアウォールのポリシーでは、特定のアプリケーションに対する詳細な振る舞いを制御できません。クラウドサービスは通常、正規の業務に利用されますが、承認されていないデータ転送経路として使われる可能性もあります。メッセンジャーやファイル共有ツールも同様です。業務に必要な機能は許可する一方、悪意のある利用は制限しなければなりません。

このとき必要なのは、単純な接続遮断ではなく、アプリケーション、コンテンツ、脅威の兆候を併せて考慮するポリシーです。従来型ファイアウォールだけでは、このように細分化したポリシーを適用するのは困難です。

運用の複雑さ

従来型ファイアウォールでは、不足する機能を補うために、IPS、URL フィルター、マルウェア検査ツールなどを別途導入するケースが多くあります。セキュリティは強化されますが、管理対象のツール、ポリシー、ログが分散すると、管理が難しくなります。その結果、設定ミス、ポリシーの競合、検知の空白が生じるおそれがあります。

NGFW は単に多数の機能を追加するものではなく、アクセス制御から侵入防止までのセキュリティ機能を、1 つのツールと同じポリシーフローの中で管理するものです。

NGFW のトラフィック制御方式

NGFW は、従来型ファイアウォールが確認する接続情報に加え、アプリケーション、コンテンツ、ユーザー、脅威の兆候も確認します。重要なのは、単に多くの機能を提供することではなく、トラフィックを判断し、制御するための基準が広がる点です。

アプリケーションの識別と制御

NGFW は、トラフィックをポート番号だけで分類せず、実際のアプリケーションを確認します。これにより、セキュリティチームは業務用 SaaS、クラウドストレージ、コラボレーションツール、リモートアクセスツールを区別して、ポリシーを適用できます。

この機能は、アプリケーションを無条件に遮断するためのものではありません。業務に必要なアプリケーションを維持しながら、承認されていないサービスや危険な利用方法を制限するための基準を提供します。たとえば、業務用コラボレーションツールは許可する一方、個人向けファイル共有サービスや迂回アクセスツールは制限するといった形で、ポリシーを分けることができます。

DPI によるコンテンツ検査

DPI（Deep Packet Inspection）とは、ディープパケットインスペクションのことです。一般的なパケットフィルタリングがヘッダーだけを確認するのに対し、NGFW の DPI はパケットの本文まで確認します。

NGFW は DPI により、悪意のあるファイル、脆弱性を狙った攻撃コード、異常なリクエスト、ポリシー違反のデータを確認します。この機能は、許可された接続内で発生し得る脅威を見つけるために必要です。接続自体が正常に見えても、内部のコンテンツが危険な場合はトラフィックを遮断できます。

DPI はコンテンツ内の悪意のある振る舞いの検知に効果的ですが、すべてのトラフィックへ無条件に適用できる機能ではありません。検査範囲を広げると性能に影響する可能性があり、個人情報や機密性の高い業務トラフィックには例外も必要です。そのため、DPI は単独の技術機能としてではなく、運用ポリシーと併せて設計しなければなりません。

IPS による攻撃トラフィックの遮断

IPS（Intrusion Prevention System）とは、侵入防止システムのことです。IPS はネットワークトラフィックから、脆弱性を狙った攻撃、異常なプロトコルの使用、既知の悪意のあるパターンを検知して遮断します。

NGFW の IPS は、攻撃トラフィックが実際のサーバーや社内システムへ到達する前に遮断するために利用されます。特に、外部へ公開されている Web サーバー、パッチ適用が遅れているシステム、重要な業務システムの前段で大きな効果を発揮します。

ただし、IPS ポリシーを過度に厳しく適用すると、正規のリクエストまで遮断されるおそれがあります。そのため、保護対象システムの重要度、パッチ適用状況、業務への影響を考慮して、検知と遮断のレベルを調整する必要があります。

脅威インテリジェンスとの連携

脅威インテリジェンスは、既知の悪意のある IP、ドメイン、URL、ファイルハッシュ、攻撃パターンに関する情報を提供します。NGFW はこの情報を活用し、危険な宛先への接続や悪意のあるファイルの転送を、より迅速に検知できます。

脅威インテリジェンスを有効に活用するには、情報を最新の状態に保つことが何よりも重要です。攻撃インフラは絶えず変化し、悪意のあるドメインやファイルに関する情報も急速に変わります。NGFW が脅威インテリジェンスをポリシーへ反映することで、セキュリティチームは既知の悪意のある宛先との通信を、より迅速に制限できます。

ただし、脅威インテリジェンスがすべての攻撃を自動的に防ぐわけではありません。情報の品質、更新周期、誤検知の管理も必要です。セキュリティチームは、脅威インテリジェンスが遮断ポリシーとログ分析へどのように反映されるかを確認しなければなりません。

SSL/TLS トラフィックの検査

多くの業務トラフィックは SSL/TLS で暗号化されています。暗号化はデータを保護する一方、セキュリティ機器によるトラフィック内容の確認を難しくします。攻撃者はこの特性を悪用し、悪意のあるファイルのダウンロード、フィッシングサイトへのアクセス、C2 通信を暗号化されたセッション内に隠すことがあります。

NGFW は必要に応じて SSL/TLS トラフィックを復号して検査し、再度暗号化して転送します。これにより、暗号化されたトラフィック内の悪意のあるコンテンツや攻撃の兆候を確認できます。

ただし、SSL/TLS 検査は慎重に適用しなければなりません。個人情報、金融、医療、個人アカウントに関するトラフィックは例外とし、性能への影響、証明書の配布、コンプライアンス要件も併せて検討する必要があります。

従来型ファイアウォールと NGFW の違い

区分	従来型ファイアウォール	NGFW
基本的な判断基準	送信元、宛先、ポート、プロトコル	接続情報にアプリケーション、コンテンツ、ユーザー、脅威の兆候を追加
トラフィックの分析レベル	主にネットワーク層・トランスポート層が中心	アプリケーション層とパケット内のコンテンツまで確認
アプリケーション制御	限定的	実際のアプリケーションを基準にポリシーを適用
脅威検知	基本的なフィルタリングが中心	DPI、IPS、脅威インテリジェンスを活用
暗号化トラフィック	内容の確認が限定的	ポリシーに応じて SSL/TLS 検査が可能
ポリシー方式	許可または遮断が中心	アプリケーション、コンテンツ、リスクを基準に細分化
運用の観点	アクセス制御が中心	アクセス制御と脅威検知を同じフローで管理

従来型ファイアウォールは、ネットワークセキュリティにおける基本的なアプローチです。しかし、現在の業務環境では、接続情報だけでトラフィックのリスクを判断することはほぼ不可能です。NGFW は従来型ファイアウォールのアクセス制御を維持しながら、アプリケーション、コンテンツ、脅威の兆候を確認する機能を加えます。

NGFW の適用環境

NGFW は、すべての区間に同じ方法で適用する機器ではありません。保護するトラフィックフローによって役割が変わります。

外部から内部へ入るトラフィック

インターネット境界には、外部ユーザーが社内サービスへアクセスするトラフィックや、攻撃者が公開サーバーを狙うトラフィックが流入します。この区間では、脆弱性を狙った攻撃、異常なリクエスト、悪意のあるファイルの転送、既知の悪意のある IP からの接続がないか検査しなければなりません。

NGFW はこのポイントで、基本的なアクセス制御、IPS、脅威インテリジェンスを併用します。外部からの接続を単に許可または遮断するだけでなく、許可されたサービスへのリクエスト内に攻撃の兆候がないか検査します。

内部から外部へ出るトラフィック

ユーザーは、業務用 SaaS、コラボレーションツール、クラウドストレージ、外部 Web サイトへアクセスします。このトラフィックは業務に必要ですが、同時に悪意のあるサイトへのアクセス、許可されていないファイルのアップロード、データ流出の経路となる可能性もあります。

NGFW は、ユーザーによる外部ネットワークへのアクセスを、アプリケーション、URL、ファイル、脅威の兆候を基準に確認します。これにより、業務トラフィックを維持しながら、危険な宛先 IP への接続やポリシーに合わないデータ移動を制限できます。

内部から内部へ移動するトラフィック

データセンターや社内ネットワークでは、サーバー間の通信が重要です。攻撃者は 1 つのシステムへ侵入すると、社内ネットワークを介してほかのサーバーへ水平移動します。すべての内部通信を許可すると、アクセス可能な範囲が広がり、被害規模も大きくなります。

NGFW は内部区間を細分化し、必要なサーバー間通信だけを許可するポリシーの適用に利用できます。このとき重要なのは、社内ネットワーク全体を信頼しないことです。業務上必要な接続と不要な接続を区別しなければなりません。

場所が固定されないトラフィック

拠点、テレワーク、クラウド環境では、ユーザーとシステムの場所が絶えず変わります。ユーザーは社内ネットワークの外から業務システムへアクセスし、クラウドではワークロードが新たに作成されたり、サービス間の接続が変わったりします。

この環境では、固定されたネットワーク境界だけを基準にポリシーを作成するのは困難です。NGFW は拠点やリモートアクセス区間へ一貫したアプリケーションポリシーを適用し、クラウド環境では外部へ公開されたサービスとワークロード間の通信を確認するために活用できます。

NGFW 導入時の考慮事項

NGFW はトラフィックを詳細に分析し、アプリケーション、コンテンツ、脅威の兆候を基準にポリシーを適用できます。しかし、保護の基準が明確でなければ、単純な許可・遮断機器として運用される可能性があります。以下は、NGFW の機能を実際の環境へ適用する前に確認すべき主な考慮事項です。

どのトラフィックを保護するか

まず、NGFW をどの区間へ適用するかを決めます。インターネット境界、データセンター、拠点、リモートアクセス、クラウド区間では、それぞれトラフィックの特性が異なります。

インターネット境界では、外部から内部へ入る攻撃と、内部ユーザーによる危険な外部アクセスを併せて確認しなければなりません。データセンターでは、不要なサーバー間通信を減らし、侵害が発生した際にほかのシステムへ拡散しないよう、内部トラフィックを制御することが重要です。拠点やリモートアクセス環境では、VPN やリモートアクセスを介して入ったトラフィックが、どの社内システムやアプリケーションへつながるかを確認します。クラウド環境ではワークロードと外部サービス間の接続が頻繁に変わるため、固定されたネットワーク基準だけでポリシーを作成するのは困難です。このように保護する場所を決めることで、必要な性能、検査範囲、ログ収集基準も定められます。

どのアプリケーションを許可または制限するか

NGFW はアプリケーション単位でトラフィックを区別できます。しかし、組織内で許可するアプリケーションと制限するサービスを整理しなければ、ポリシーが複雑になります。

業務用 SaaS、コラボレーションツール、クラウド管理コンソールなど、必要なサービスには許可基準を設けます。一方、個人向けファイル共有サービス、迂回アクセスツール、承認されていないリモート管理ツールなど、リスクの高いサービスには制限基準を定める必要があります。

この基準がなければ、NGFW を導入しても、従来型ファイアウォールと同様に広範な許可ルールだけが残る可能性があります。アプリケーション識別機能を有効に活用するには、まず組織の業務アプリケーションと制限対象のサービスを区別しなければなりません。

トラフィックの内容をどこまで検査するか

DPI と SSL/TLS 検査は、トラフィック内の悪意のあるファイル、脆弱性を狙った攻撃、不審な外部通信を確認するために必要です。ただし、すべてのトラフィックを同じように検査することはできません。

暗号化トラフィックを復号して検査すると、性能に影響する可能性があります。また、個人情報、金融、医療、個人アカウントに関するトラフィックには、検査の例外が必要な場合もあります。そのため、検査対象と例外対象を事前に定めなければなりません。

検査範囲は、広ければよいというものではありません。セキュリティ効果、業務への影響、規制要件、性能を総合的に考慮して決める必要があります。

どのイベントを遮断し、どのイベントを警告にとどめるか

IPS と脅威インテリジェンスの機能を利用する際は、遮断基準を定めなければなりません。すべての検知イベントを直ちに遮断すると、正規の業務に影響するおそれがあります。一方、すべてのイベントを警告にとどめると、実際の攻撃への対応が遅れる可能性があります。

外部へ公開されたサーバー、機密データを処理するシステム、パッチ適用が遅れている区間には、より厳しい遮断ポリシーが必要となる場合があります。一方、業務への影響が大きいサービスでは、まず警告とモニタリングを適用し、誤検知と影響を確認しながら遮断レベルを調整する方法が考えられます。

NGFW のポリシーは、厳しく設定することよりも、正確に設定することが重要です。保護対象の重要度と業務への影響を併せて考慮しなければなりません。

ログを調査と対応へどうつなげるか

NGFW は、アプリケーション、URL、ファイル、脅威イベント、遮断結果を記録できます。しかし、ログを蓄積するだけでは運用に役立ちません。

セキュリティチームは、どのイベントを優先的に調査するかを決めなければなりません。たとえば、繰り返し遮断される外部の宛先、特定のユーザーから発生する異常なアップロード、公開サーバーを狙った脆弱性攻撃は、優先的な確認対象となる場合があります。

また、NGFW のログを SIEM、XDR、SOAR などのセキュリティ運用体系とどのように連携するかも決める必要があります。NGFW のログをエンドポイント、メール、クラウド、ID のログと関連付けることで、単一のネットワークイベントを超えて攻撃フローを追跡できます。

NGFW 導入時によくある誤解

NGFW を導入すれば、従来型ファイアウォールの問題が自動的に解決すると考えがちですが、そうではありません。古い許可ルール、放置された例外ポリシー、不明確なアプリケーション基準は、機器を変更してもそのまま残る可能性があります。

また、NGFW がすべてのセキュリティ機器を代替するわけではありません。NGFW は、ネットワーク経路でトラフィックを制御し、脅威を検知する機器です。エンドポイントで実行される悪意のある振る舞い、メールフィッシング、クラウドアカウントの不正利用、SaaS 内のデータアクセスまで、すべてを代わりに確認することはできません。

SSL/TLS 検査を有効にすれば、暗号化トラフィックの問題がすべて解決するという考え方も危険です。検査対象から除外すべきトラフィックがあり、復号の過程で性能や個人情報保護の問題が生じる場合もあります。NGFW の効果は、機能そのものよりもポリシー設計と運用基準に左右されます。

まとめ

NGFW は、従来型ファイアウォールの基本的なアクセス制御を捨てる技術ではありません。従来型ファイアウォールが確認していた送信元、宛先、ポート、プロトコルに、アプリケーション、コンテンツ、脅威の兆候を加えてトラフィックを判断する方式です。

従来型ファイアウォールだけでは不十分になった理由は、現在の業務トラフィックが単純ではないためです。業務用アプリケーション、暗号化トラフィック、クラウドサービス、外部コラボレーションツールが、同じネットワーク経路内を流れます。セキュリティチームは、接続を許可するか遮断するかだけでなく、許可された接続内でどのようなリスクが発生しているかを確認しなければなりません。

NGFW を導入する際は、機能一覧よりも運用基準を先に検討する必要があります。どの区間を保護するか、どのアプリケーションを許可するか、トラフィックの内容をどこまで検査するか、どのイベントを遮断するか、ログをどの対応フローへつなげるかを定めます。こうした基準があってこそ、NGFW は単なるファイアウォールの置き換えではなく、ネットワークセキュリティポリシーを精緻に実行する機器となります。

FAQ

アンラボの NGFW セキュリティソリューション

AhnLab XTG は、最新の活用事例に対応する次世代ファイアウォールです。次世代ファイアウォールに不可欠なアプリケーション制御に加え、ZTNA（Zero Trust Network Access）、Light-weight VPN、SD-WAN、ポリシーベースの制御、IPS（Intrusion Prevention System）、URL 制御、C2（Command & Control）の検知と遮断、アンチスパム、DDoS 緩和、DLP（Data Loss Prevention）など、拡張されたネットワークセキュリティ機能を提供し、より安全なネットワーク環境の構築を支援します。