ステートフル・ファイアウォールとは何ですか？

ステートフル・ファイアウォール（SFW）は、セッションテーブルにアクティブなネットワーク接続の状態を記録し、レイヤー2からレイヤー4までのパケット情報（アドレス、ポート、プロトコル）を確立済みのセッションと照合した上で、一致するトラフィックを許可、拒否、または遮断します。

主なポイント

• 個々のパケットを個別に判断するのではなく、セッションテーブルで接続を追跡します。
• 確立済みのセッションに対して、レイヤー2～4のヘッダーを照合し、許可、許可、または拒否を行います。
• 詳細な検査よりも運用コストが安い――完全なチェックが必要なのは、送信元パケットのみである。
• Versa のVOSにおいて、SFWはNGFWに重ねて導入されるものではなく、テナントごとに導入されるNGFWの代替手段です。
• マッチルールとアクションを含む、順序付けられたセキュリティアクセスポリシーを通じて設定されます。

このページの内容： その重要性 ・ 仕組み ・ 種類 · ステートフル・ファイアウォールとVersa · よくある質問

ステートフル・ファイアウォールはなぜ重要なのでしょうか？

ステートフル検査が登場する以前、ファイアウォールは静的なルールに基づいてパケットを1つずつフィルタリングしており、そのパケットがすでに許可された通信に属するかどうかを記憶していませんでした。これは、偽装されたパケットが許可された通信を模倣できるため脆弱であり、またすべてのパケットを完全に評価する必要があったため処理が遅かったのです。 ステートフル・ファイアウォールは、セッションテーブルを導入することでこの両方の問題を解決しました。接続が許可されると、その後のパケットはポリシー全体ではなくテーブルに基づいてチェックされ、追跡されている実際のセッションに属さないトラフィックを遮断します。

こうした強力なセキュリティ対策と運用コストの低減という組み合わせにより、ステートフルインスペクションはあらゆるファイアウォールの基本機能となり、次世代ファイアウォールにおいても、レイヤー7機能の下でステートフルエンジンが依然として稼働しており、それが置き換えられることがない理由となっています。また、ステートテーブルにより、より高度なポリシー設定が可能になります。ルールは、IPアドレスとポートの組み合わせだけでなく、セッションの挙動、ゾーン、時間帯などを基準に設定できるのです。

ステートフル・ファイアウォールとは何ですか？

ステートフルファイアウォールは、宛先ポートに基づいてトラフィックを分類し、接続が閉じられるまで、すべてのやり取りにわたってその状態を追跡します。パケットが到着すると、ファイアウォールはセッションテーブルを参照して、確立済みの接続や一致するリクエストがないかを確認します。一致するものがない場合、そのパケットはアクセスポリシーに基づいて評価されます。

このポリシーは、一致条件（IPヘッダー、ドメイン名、ポートおよびプロトコルごとのサービス、送信元および宛先のゾーン、地理的位置、時間帯によるスケジュール）と、適用措置（ロギング（開始、終了、両方、またはなし）および処理結果（許可、拒否、またはTCPリセットもしくはICMPポート到達不能メッセージを伴う拒否））を組み合わせた、順序付けられた一連のルールです。 ルールは順序通りに評価され、最初に一致したものが優先されるため、具体的なルールは一般的なルールよりも先に適用されます。その後、追跡中のセッションに一致するパケットは、完全な再検査を行う場合よりもはるかに少ない処理で通過します。

ステートフル・ファイアウォールの種類

大きく分けて3つのパターンが存在します。従来のステートフル・パケット検査（SPI）は、典型的なモデルです。これは、ステートテーブルを用いた純粋なレイヤー3/4のセッショントラッキングであり、アプリケーションコンテンツを認識しません。ALG（アプリケーション層ゲートウェイ）をサポートするハイブリッド型ステートフルファイアウォールは、限定的なアプリケーション層の支援機能を追加しています。アプリケーション層ゲートウェイは、FTPやSIPなど、動的なセカンダリ接続を開くプロトコルを認識し、完全なディープパケットインスペクションを行わずにそれらを追跡します。仮想およびソフトウェアベースのステートフルファイアウォールは、この機能を専用ハードウェアから切り離し、代わりにSD-WANエッジデバイスやクラウドインスタンス上で仮想ネットワーク機能として実行されます。これは、現在SASE プラットフォームの多くが採用しているモデルです。

ステートフル・ファイアウォール &Versa

VOSでは、テナントごとに2つのファイアウォールモードのうちの1つとして、次世代ファイアウォール（NGFW）と並んでステートフルファイアウォールを提供しています。テナントはどちらか一方のみを実行します。ライセンスにNGFWが含まれている場合、DirectorのGUIにはステートフルファイアウォールのオプションは表示されません。 セットアップの手順は、どちらのモードでも同じです。標準的な手順については「ステートフルファイアウォールの設定」を、NGFWライセンスが適用されたデバイスでの同等の手順については「ステートフルファイアウォール（NGFW）の設定」を参照してください。また、VOSでは、FTPやSIPなどのプロトコルに対して、アプリケーション層ゲートウェイとステートフルファイアウォールを組み合わせて使用します。VOSはQUICの復号化を行わないため、セキュリティモジュールが正しく機能するには、管理者がQUICトラフィックをブロックする必要があります。

VOSはマルチテナントに対応しているため、「Default-Stateful-FW-Plan」や「Default-SFW-IPSEC-CGNAT-Plan」といった、IPsecやCGNATなどのサービスと組み合わせたサブスクリプションプランを通じて、あるテナントではステートフルファイアウォールを有効にし、別のテナントではNGFWを実行することが可能です。ステートフルファイアウォールはリリース20.2から提供されています。

よくある質問

ステートフル・ファイアウォールと次世代ファイアウォール（NGFW）の違いは何ですか？

ステートフルファイアウォール（SFW）は、レイヤー2からレイヤー4の情報（アドレス、ポート、セッション状態）を検査します。次世代ファイアウォール（NGFW）は、ディープパケットインスペクションやアプリケーション識別など、レイヤー7のアプリケーション認識機能を追加します。Versa のVOSでは、SFWとNGFWはテナントごとにライセンスが割り当てられる別々の選択肢であり、組み合わせて使用することはできません。

ステートレス・ファイアウォールとは何ですか？また、他のファイアウォールとどう違うのでしょうか？

ステートレス型ファイアウォールは、接続内の以前のパケットを記憶することなく、すべてのパケットを静的ルールに基づいて個別に評価します。一方、ステートフル型ファイアウォールは、各接続をセッションテーブルに記録するため、ポリシーに対する完全なルール評価が必要なのは最初のパケットのみとなります。

セッションテーブル（ステートテーブル）とは何ですか？

ステートテーブルには、各アクティブな接続（送信元および宛先アドレス、ポート、プロトコル、接続状態）が記録されます。到着するすべてのパケットは、まずこのテーブルと照合されます。既存のエントリと一致しないパケットのみが、完全なアクセスポリシーに基づいて評価されます。

ステートフルファイアウォールは、アプリケーション層の脅威を阻止できるのでしょうか？

限定的な範囲にとどまります。基本の検査はレイヤー4までですが、アプリケーション層ゲートウェイ（AG）を使用すれば、FTPやSIPなど、セカンダリ接続を開くプロトコルまで検査範囲を拡張できます。暗号化されたトラフィックに潜むマルウェア、エクスプロイト、脅威を検出するには、NGFWが提供するレイヤー7の検査が必要です。

「接続が拒否された」場合と「接続が拒否された」場合では、どのような違いがあるのでしょうか？

「deny」アクションでは、一致したパケットは応答を送信者に返すことなく、黙って破棄されます。「reject」アクションでもパケットは破棄されますが、TCPリセットまたはICMPポート到達不能メッセージが送信者に返されるため、送信者はタイムアウトを待つことなく、直ちにそのことを知ることができます。

ステートフルファイアウォールについてさらに詳しく

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

ステートフル・ファイアウォールについて調べているなら、次はこれらもぜひチェックしてみてください。