中級ではパケットフィルタリングとデフォルト拒否、ステートフルの考え方を見ました。上級では、状態をどう表で持つか・アプリまで見る次世代FW・守る層の分担・外向きの制御とマイクロセグメンテーションへ進みます。
概要 — まず全体をつかむ
詳細 — 1段階ずつ追う
状態表でコネクションを追う
ステートフルインスペクションの正体は、コネクション追跡の状態表です。1つ1つのパケットを孤立して見るのではなく、通信の一連の流れを1エントリとして覚えます。
- 表に載るのは「送信元・宛先のIP／ポート・プロトコル・状態（確立中・確立済みなど）」の組
- 内側発の通信が始まると新しいエントリを作り、その戻りだけを一致させて通す。NATとポート の変換表と同じ「内側発は戻せる・外からは入れない」構造
- 使い終わった接続はタイムアウトで表から消す。表が溢れないようにする運用も要点
アニメーション『パケットフィルタリング（許可・拒否）』を開く
パケットフィルタ型 vs プロキシ型 — フィルタ型は宛名（IP・ポート）を見て素通しに近い形で中継します。プロキシ型（※1）は接続をいったん受け止め、代理で相手へつなぎ直す。中身まで検査でき制御は強いが、間に立つぶん遅く重くなる。速さのフィルタ型、深さのプロキシ型という分担です。
登場人物メモ:
- ※1 プロキシ — 通信を代理で受けて相手へつなぎ直す仲介役。中身を見て仕分けできる
- ※2 シグネチャ — 既知の攻撃の「特徴パターン」。これと照合して不正を見つける
やさしく言うと（中級）
ステートフルインスペクション※2 — 単に1つ1つのパケットを見るだけでなく、通信の状態を覚えておく方式です。内側から始めた通信を記録しておき、その戻りの通信だけを通します。外から突然来た通信は「始めた覚えがない」ので通しません。これは NATとポート の「内側発は戻せるが外からは入れない」という性質とちょうど重なります。
allow／deny リストとデフォルト拒否 — ルールには「許可（allow）」と「拒否（deny）」を並べます。安全側の原則はデフォルト拒否——まず全部拒否し、業務に必要な穴だけを許可で開けます。こうすれば「書き忘れ＝遮断」に倒れ、想定外の通り道が生まれにくくなります。逆にデフォルト許可だと、書き忘れがそのまま穴になり危険です。
WAFとの違い（守る層の分担） — 基本のファイアウォールが見るのは主にネットワーク層（IP・ポート）です。一方 WAF（Web Application Firewall）は、Webアプリの層まで踏み込み、リクエストの中身を見て攻撃（不正な入力など）を弾きます。守る層が違うので、両者は役割分担で併用します。
境界を越えて拠点間を安全につなぐ通信そのものは、暗号化トンネルの VPN が担い、ファイアウォールはその出入口で通す・通さないを見張ります。
アニメーション『ステートフルインスペクション』を開く
次世代FWとWAFの守る層
基本のFWが見るのは主にL3/L4（IP・ポート）です。しかし「ポート443で通ってくるもの」の中身は、正規のWebもマルウェアもTLSに隠れて区別できません。ここを埋めるのが上位の仕組みです。
- NGFW（次世代ファイアウォール）— ポートではなくアプリを識別し（同じ443でも業務アプリか動画かを見分ける）、IPS（侵入防止）を統合してシグネチャ（※2）で攻撃を弾き、TLSを一度解いて中身を可視化する
- WAF（Web Application Firewall）— さらに上のL7・Webアプリ層に踏み込み、リクエスト本文を見て不正入力（SQLインジェクション等）を弾く
- 守る層が違うので置き換えではなく重ねて使う。L3/L4のFW、アプリ識別のNGFW、Web特化のWAF——という層の役割分担です
拠点間を安全につなぐ暗号トンネルは VPN が担い、FWはその出入口で通す・通さないを見張る、という関係も同じ「層で分ける」発想です。
外向きの制御とマイクロセグメンテーション
門番はつい入ってくる通信ばかり見張りがちです。しかし本当に効くのは、出ていく通信の管理でもあります。
- egress（外向き）制御 — 入口を突破されても、外向きを絞れば、乗っ取られた端末が外部の指令サーバへ連絡（C2通信）したり、データを持ち出したりするのを断てる。「入れない」だけでなく「勝手に出さない」
- ゼロトラストとマイクロセグメンテーション — 「社内は全部信頼」をやめ、社内を細かい区画に割って区画間にも門番を置く。ある区画が破られても、隣へ横移動できない。ステートフルFWの状態表を、社内の内側にも張り巡らせる発想
- 層の取り違えに注意 — L3/L4のFWだけでアプリ層の攻撃は防げない。ネットワークの層 を押さえ、どの層を誰が守るかを設計することが、過不足のない守りにつながる
やさしく言うと（中級）
- ルールの順序ミス — 上から順に一致するため、広い許可を上に置くと後の拒否が効かない
- 穴の開けすぎ — 「とりあえず許可」を重ね、実質デフォルト許可になってしまう
- 戻り通信の考慮漏れ — ステートフルでないと、正当な戻りまで塞いでしまう
- 層の取り違え — ネットワーク層のFWだけでアプリ層の攻撃（不正入力など）は防げない。WAFなど別の層の守りが要る
理解度チェック
そのまま解けます（成績は保存されません）。無料アカウントを作ると、学習の記録と進捗の山登りが始まります。
問1. ステートフルインスペクションが、外から突然来た通信を通さないのはなぜ？
問2. 外向き（egress）の通信制御が重視されるのはなぜ？
問3. NGFW（次世代ファイアウォール）が、基本のパケットフィルタ型FWと違ってできることはどれ？
問4. WAF（Web Application Firewall）が主に守る層と役割はどれ？
問5. プロキシ型ファイアウォールがパケットフィルタ型と本質的に違う点はどれ？
問6. マイクロセグメンテーション（ゼロトラスト）の狙いとして最も適切なのはどれ？
問7. 乗っ取られた端末が外部の指令サーバへ連絡を取る通信を、一般に何と呼ぶ？（英字と数字の略称）
問8. IPSやNGFWが照合に使う、既知の攻撃の「特徴パターン」を何と呼ぶ？