ファイアウォール — 出入口で危険な通信だけ遮断する門番

ステートフルインスペクションの正体は、コネクション追跡の状態表です。1つ1つのパケットを孤立して見るのではなく、通信の一連の流れを1エントリとして覚えます。

• 表に載るのは「送信元・宛先のIP／ポート・プロトコル・状態（確立中・確立済みなど）」の組
• 内側発の通信が始まると新しいエントリを作り、その戻りだけを一致させて通す。NATとポート の変換表と同じ「内側発は戻せる・外からは入れない」構造
• 使い終わった接続はタイムアウトで表から消す。表が溢れないようにする運用も要点

パケットフィルタ型 vs プロキシ型 — フィルタ型は宛名（IP・ポート）を見て素通しに近い形で中継します。プロキシ型（※1）は接続をいったん受け止め、代理で相手へつなぎ直す。中身まで検査でき制御は強いが、間に立つぶん遅く重くなる。速さのフィルタ型、深さのプロキシ型という分担です。

登場人物メモ:

• ※1 プロキシ — 通信を代理で受けて相手へつなぎ直す仲介役。中身を見て仕分けできる
• ※2 シグネチャ — 既知の攻撃の「特徴パターン」。これと照合して不正を見つける

基本のFWが見るのは主にL3/L4（IP・ポート）です。しかし「ポート443で通ってくるもの」の中身は、正規のWebもマルウェアもTLSに隠れて区別できません。ここを埋めるのが上位の仕組みです。

• NGFW（次世代ファイアウォール）— ポートではなくアプリを識別し（同じ443でも業務アプリか動画かを見分ける）、IPS（侵入防止）を統合してシグネチャ（※2）で攻撃を弾き、TLSを一度解いて中身を可視化する
• WAF（Web Application Firewall）— さらに上のL7・Webアプリ層に踏み込み、リクエスト本文を見て不正入力（SQLインジェクション等）を弾く
• 守る層が違うので置き換えではなく重ねて使う。L3/L4のFW、アプリ識別のNGFW、Web特化のWAF——という層の役割分担です

拠点間を安全につなぐ暗号トンネルは VPN が担い、FWはその出入口で通す・通さないを見張る、という関係も同じ「層で分ける」発想です。

門番はつい入ってくる通信ばかり見張りがちです。しかし本当に効くのは、出ていく通信の管理でもあります。

• egress（外向き）制御 — 入口を突破されても、外向きを絞れば、乗っ取られた端末が外部の指令サーバへ連絡（C2通信）したり、データを持ち出したりするのを断てる。「入れない」だけでなく「勝手に出さない」
• ゼロトラストとマイクロセグメンテーション — 「社内は全部信頼」をやめ、社内を細かい区画に割って区画間にも門番を置く。ある区画が破られても、隣へ横移動できない。ステートフルFWの状態表を、社内の内側にも張り巡らせる発想
• 層の取り違えに注意 — L3/L4のFWだけでアプリ層の攻撃は防げない。ネットワークの層 を押さえ、どの層を誰が守るかを設計することが、過不足のない守りにつながる