入口対策／多層防御正規の通信に紛れる攻撃を、入り口で見分ける――次世代ファイアウォール「FortiGate」
多くの企業が、ファイアウォールで社内と社外の境界を守っています。ただ、今の攻撃は、ポートやプロトコルを塞ぐだけでは見分けられません。正規の通信に紛れて入ってくるからです。入り口の層で問われているのは、「通すか、通さないか」の判断から、「通信の中身を見て、危ないものを見分ける」判断へ。その役割を一台で担うのが、次世代ファイアウォール（NGFW）です。
入口対策は、「通す／通さない」だけでは追いつかない
かつてのファイアウォールは、通信の宛先や種類（ポートやプロトコル）を見て、許可するか遮断するかを判断していました。社内と社外の境界を分ける、守りの土台です。この役割は今も欠かせません。
ただ、近年の攻撃は、この判断の隙間を突いてきます。Webの閲覧やメールのような、業務で普段使う正規の通信に紛れて侵入する手口が増えました。通信の宛先や種類だけを見ていては、中身に潜む脅威までは見分けられません。警察庁の情勢報告でも、ランサムウェアなどによる被害は高い水準で続いています。
出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁・PDF）
- ＊ 四つの層に、決まった順番はありません。入り口の層を取り上げるのは、多くの企業が既に手を付けており、更新のタイミングで見直しやすいからです。他の層より優先すべき、という優先順位を示すものではありません。
さらに通信の多くが暗号化（SSL / TLS）されるようになり、中身が見えないまま通過するケースも増えています。入り口を「通す／通さない」だけで守る発想では、追いつかなくなってきたのが実情です。
次世代ファイアウォール（NGFW）とは
次世代ファイアウォール（NGFW：Next Generation Firewall）は、従来の「通す／通さない」の判断に加えて、通信の中身を見て脅威を見分ける機能を一台にまとめた製品です。主に、次のような機能で構成されます。
- アプリケーションの識別
- 同じWeb通信でも、どのサービスやアプリが使われているかを見分けて制御
- 暗号化通信の検査
- SSL / TLSで暗号化された通信を検査し、中身に潜む脅威を確認
- 侵入防御（IPS）
- 既知の攻撃パターンを検知し、遮断
- Webフィルタリング／不正通信の遮断
- 危険なサイトへの接続や、感染後の攻撃者サーバー（C&Cサーバー）との通信を防ぐ
こうした機能を機器ごとに別々にそろえると、管理も費用も分散します。NGFWは、これらを一台に統合することで、入り口の守りをまとめて見通しやすくする考え方です。
「FortiGate」という選択肢
「FortiGate」は、フォーティネット（Fortinet）社の次世代ファイアウォールです。アプリケーション識別、暗号化通信の検査、侵入防御、Webフィルタリングといった機能を一台に統合し、入り口の守りをまとめて担います。事業規模に合わせて選べるラインアップがあり、拠点やクラウド、テレワークを含めた通信を見渡す構成にも対応します。
なお、「FortiGate」とウイルス対策ソフトを組み合わせると、それぞれ別のデータベースで検知するため、入り口と端末の二重で守れます。
入り口の層にはメール経由の脅威やWebの脅威対策に強みを持つUTM「Cloud Edge」もあります。どの製品をどのような構成で用いるかは、既存の環境や守りたい範囲によって変わります。自社に合った構成は、大塚商会がご一緒に見極めます。
セキュリティ機器は、更新が続いて初めて守りになる
入り口対策で見落とされやすいのが、導入した後です。ファイアウォールにも脆弱（ぜいじゃく）性（弱点）が見つかることがあり、見つかったときに対応のファームウェア更新をしていないと、そこを突かれてしまいます。実際にファイアウォールの脆弱性対応が未実施だったために、ランサムウェアの侵入を許した事例も報告されています。
セキュリティ機器は、製品の進化も脅威の変化も速く、設置して終わりにはできません。脅威情報の更新、脆弱性が出たときのファームウェア更新、ログの確認が続いて初めて入り口の守りとして働きます。
選ぶとき・運用するときに見ておきたい点
入り口対策の製品を選ぶときは、カタログの数値だけでなく、自社の使い方に照らして見ておきたい点があります。
- 実際の速度
- 処理性能（スループット）は、機能を全て有効にした状態と、カタログ上の数値とで差が出ることがある
- 費用とライセンス
- 機能ごとにライセンスが分かれる製品が多く、必要な機能をそろえると想定より費用がかかる。さらにライセンスが切れると、Webフィルタリングやサンドボックスなど一部の機能が止まったり、更新されなくなったりする点にも注意が必要
- 運用の負担
- 設定や管理、ファームウェア更新を誰が担うのかの確認が必要
製品を選ぶことと同じくらい、自社の通信量や拠点構成に合った設計と、導入後に運用を続けられる体制が重要になります。
メーカーに縛られず、運用まで
入り口の層だけでも、製品は数多く存在します。大塚商会は特定のメーカーやサービスに縛られず、お客様の環境と使い方に合わせて適した製品を選べる立場にあります。境界を固める「FortiGate」や、メール・Webの脅威に強い「Cloud Edge」など、環境と使い方に応じて適した製品・構成をご提案できるのもそのためです。
そして、ファイアウォールは設置して終わりではありません。
大塚商会には、「FortiGate」の脆弱性の通知とファームウェア更新の代行、ログ分析による危険な兆候の通知、月次レポートまでを引き受ける運用サービス「EasySOC V for FortiGate」があります。専任の担当がいない環境でも、導入後の運用までまとめてお任せいただけます。地域ごとに専任の担当がつく体制のため、長くご相談いただけます。
派手な新しさよりも確かに続く守りを。5年後も今日と同じように業務が回っている。そのための備えを一緒に設計していきます。
入り口の守りをあらためて見直す
次世代ファイアウォールの仕組みと、自社の環境に合った選び方、導入後の運用まで、資料にまとめています。更新のタイミングは、入り口の守りを見直す機会になります。