次世代ファイアウォール（NGFW）とは何ですか？

次世代ファイアウォール（NGFW）とは、従来の状態追跡型パケットフィルタリングの上に、アプリケーション認識機能、侵入防止機能、およびコンテンツ検査機能を重ねたファイアウォールであり、これにより、IPアドレス、ポート、プロトコルだけではなく、アプリケーションの識別情報やユーザー、グループに基づいてポリシーを適用することが可能になります。

主なポイント

• NGFWは、アプリケーションを意識したレイヤー7ポリシーにより、ステートフルフィルタリング機能を拡張します。
• IPS、URLフィルタリング、TLS検査を1つの制御ポイントに統合しています。
• アプリケーションは、シグネチャ、ヒューリスティック、および統計的分析によって特定されます。
• 導入形態は、境界アプライアンスからクラウド経由で提供されるNGFWaaSまで多岐にわたります。
• VersaのNGFWモジュールは、セキュリティスタックの一部としてVOS内で動作します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ NGFW およびVersa · よくある質問

NGFWはなぜ重要なのでしょうか？

従来の状態保持型ファイアウォールは、送信元および宛先のIPアドレス、ポート、プロトコルに基づいて、何を許可するかを決定します。このモデルは、各アプリケーションが独自のポートを持っていた時代には理にかなっていましたが、承認済み・未承認を問わず数十ものアプリケーションが同じHTTPSポートを共有し、レイヤー4上では区別がつかない状況になると機能しなくなります。「ポート443のトラフィック」しか認識できないファイアウォールでは、SaaSアプリケーションとファイル共有サイト、あるいは隠されたマルウェアの通信経路とを区別することはできません。

NGFWが重要なのは、こうした可視性のギャップを埋めるからです。アプリケーション層までトラフィックを検査することで、セッションの背後にいるアプリケーションやユーザーを特定し、既知のエクスプロイトに対する侵入防止対策を適用し、URLカテゴリごとに宛先をフィルタリングし、暗号化されたセッション内部も検査します。これらすべてを単一の適用ポイントから実行します。この統合により、ネットワーク上で組み合わせる必要のある個別のセキュリティツールの数を減らすことができ、ポリシーを単にトラフィックの行き先だけでなく、その実態に基づいて適用できるようになります。

NGFWとは何ですか？

NGFWとは、従来の状態追跡型フィルタリングに加え、ディープパケットインスペクション（DPI）およびアプリケーション識別機能を備えたファイアウォールです。従来のファイアウォールは、セッションを送信元／宛先アドレス、ポート、プロトコルと照合するだけで、それ以上の処理は行いません。一方、NGFWは継続的に評価を行います。シグネチャベース、ヒューリスティック、統計的手法を適用して、そのセッションを生成したアプリケーションを特定し（一般的なポートを経由したトンネル接続であっても）、そのアプリケーションに対してポリシーを適用します。

その上に、NGFWという名称の由来となる機能が重ねられています。具体的には、既知のエクスプロイトをブロックする侵入防止機能、宛先を分類するURLおよびWebフィルタリング機能、暗号化されたセッションをそのまま通過させるのではなく内容を検査するTLS/SSL復号機能、そして認識されたアプリケーションに紐づけられたQoS制御機能です。これらを組み合わせることで、ファイアウォールはレイヤー3からレイヤー7にわたる単一の適用ポイントとなります。

NGFWの導入形態

NGFWの機能は、いくつかの異なる形態で提供されます。アプライアンス型NGFWは、ネットワーク境界や支社エッジで専用ハードウェアとして動作します。これは、サイトのスループットに合わせて規模が調整される従来のモデルです。仮想NGFWは、データセンター、プライベートクラウド、またはパブリッククラウド内で、仮想マシンやコンテナとして同じ検査エンジンを実行し、物理的なアプライアンスの代わりに弾力的なコンピューティングリソースを活用します。 「Firewall-as-a-Service」または「NGFWaaS」として販売されることが多いクラウド型NGFWは、固定された場所ではなく、分散したクラウド拠点からポリシーを適用します。これは、SASE やSSEアーキテクチャ 内でNGFW機能が一般的に利用される方法です。4つ目のパターンとして、SD-WANエッジデバイスに組み込まれたNGFWがあり、ファイアウォールをWANエッジ自体に統合するものです。これは、VersaのVOSプラットフォームが採用しているモデルです。

NGFW およびVersa

VersaのNGFWは、Versa オペレーティングシステムに組み込まれたセキュリティモジュールであり、単純なポート、プロトコル、IPアドレスの照合にとどまらず、トラフィックを詳細に判別します。これには、アプリケーションファイアウォール、侵入防止システム（IPS）、TLS/SSL暗号化トラフィックの検査、Webサイトフィルタリング、QoSおよび帯域幅管理が含まれます。 管理者は、アプリケーション、アプリケーションフィルター、グループ、サービス、URLカテゴリ、およびURLレピュテーションに関する事前定義済みおよびカスタムオブジェクトを使用して、アクセスポリシープロファイル（ACL）を作成し、レイヤー3/4の基準に加え、レイヤー7の基準（アプリケーションおよびURLカテゴリ）に合致するルールを設定することで、これを構成します。

NGFWは、VOSデバイスごとにそのサービスノードグループを通じて有効化され、その後、テナントごとに組織単位の制限を通じて有効化されます。その後、ポリシールールにより、一致するトラフィックに対してセキュリティプロファイルが適用されます。これには、IPフィルタリング、ウイルス対策、脆弱性/IPS、URLフィルタリング、DNSフィルタリング、CASB、DLP、ATP、およびRBIが含まれます。脅威データはVersa の分析ダッシュボードに集約され、URLカテゴリやルールのアクティビティに関するレポートが表示されます。ワークフローの詳細については、「次世代ファイアウォール（NGFW）の設定」を参照してください。

よくある質問

NGFWと従来のファイアウォールの違いは何ですか？

従来のファイアウォールは、送信元／宛先のIPアドレス、ポート、プロトコルのみに基づいてトラフィックをフィルタリングします。一方、NGFWは、それに加えてアプリケーションの識別、侵入防止、URLフィルタリング機能を備えているため、ポリシーはアプリケーションが実際に何であるかに基づいて設定され、使用するポートには依存しません。

NGFWは、ネットワークトラフィック内のアプリケーションをどのように識別するのでしょうか？

NGFWは、シグネチャ照合、ヒューリスティック、統計分析を組み合わせて、たとえ443のような一般的なポートを経由してトンネル化されている場合でも、セッションを生成しているアプリケーションを特定します。VersaのNGFWは、セッションの最初のパケット受信時にこれらの手法を適用し、特定されたアプリケーションに基づいてポリシーを設定します。

NGFWは、暗号化された（TLS/SSL）トラフィックを検査できますか？

はい。ほとんどのNGFWには、通常はフォワードプロキシによる傍受を通じて、TLS/SSLの復号機能が搭載されています。これにより、IPS、URLフィルタリング、およびウイルス対策プロファイルが、本来であれば不透明で監視できないはずのコンテンツを検査できるようになります。VersaのVOS NGFWモジュールは、中核となるトラフィック検査機能の一つとして、この復号機能をサポートしています。

NGFWは、独立したIPSやURLフィルタリングソリューションの代わりとなるのでしょうか？

一般的に、ポリシーの適用に関しては「はい」となります。IPSやURLフィルタリングは、通常、スタンドアロンのアプライアンスとしてではなく、NGFWルールによって適用される組み込みのプロファイルとして提供されます。VersaのVOSでは、これらはいずれも、NGFWのアクセスポリシールールに直接紐付けられたセキュリティプロファイルとして設定されます。

NGFWはハードウェアアプライアンスのみなのでしょうか？

いいえ。NGFW機能は、VOSアプライアンスなどのSD-WANエッジデバイスに組み込んで実行されるほか、仮想マシン、コンテナ、あるいはSASE やSSEアーキテクチャ の一部として利用されるクラウド提供型サービス（NGFWaaS）としても提供されています。

NGFWに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

NGFWについてお読みになっているなら、次はこれらもぜひチェックしてみてください。