導入コストが安い！パケットフィルタリング型のファイアウォールとは

前回はファイアウォールの４つの種類を解説しましたが、本日はパケットフィルタリング型のファイアウォールについてより詳しく見ていきましょう。

IT業界まるわかりガイドは、日本初Web専門スクールのインターネット・アカデミーが運営する業界情報メディアです。最新の業界情報を、初心者にも分かりやすくご紹介しています。

パケットフィルタリング型ファイアウォールとは

パケットフィルタリング型は、ファイアウォールが最初に普及したころに用いられたタイプです。

データのパケット（小包み）のヘッダ部分を参照し、パケットの送信元アドレスや宛先アドレス、通信方法を示すプロトコル、TCPおよびUDPトラフィック、宛先ポートの情報に基づいて、通信の許可、もしくは拒否を行うというのがその基本的な仕組みです。

通信不許可の場合、パケットをドロップ（暗黙の破棄）するか、または拒否します。拒否された場合はパケットを廃棄し、送信元にエラー応答を送信します。

あらかじめ定められたルールに従い、TCPやUDPなどのインターネット層の情報のみを使用し、通信の許可・不許可を判断します。

また、行き来する通信のフィルタリングを行います。

詐称されたIPアドレスを持つパケットをファイアウォールの入り口にてフィルタリングすることができますし、パケットの出口でのフィルタリングを行って特定のサービスの許可や拒否を行うこともできます。

このファイアウォールの強みとして、パケット検査が高速であることと、導入コストが安いことが挙げられます。

パケットフィルタリング型のファイアウォールは、アクセス・コントロール・リスト（ACL）として多数のオペレーティング・システム（OS）に実装されています。

したがって、ユーザーは新たな追加費用をかけることなくファイアウォールを利用することができます。

他のファイアウォール製品は通常、有料のソフトウェアまたはハードウェアであることを考えますと、追加費用なしで使えることは大きな利点です。

また、パケットのデータ内容まで読込む他のファイアウォールと違い、ヘッダ情報だけを検査するので、パケットの検査にかかる時間を大幅に短縮できます。

一般的に、ファイアウォールの導入は通信速度を低下させると言われることもありますが、パケットフィルタリング型の場合、ほとんど通信速度を低下させずに済みます。

最大の短所は、他のファイアウォールに比べて安全性が低いことです。

高速処理を可能にするヘッダだけの検査は、パケットの中身を検査しないで通すということですから、データの内容やデータ送信を行ったユーザー名やパスワード等の情報のやりとりなどは検査されません。

したがって、偽装されたパケットを見破ることができません。

また、セキュリティホールを利用した攻撃など、アプリケーション固有の脆弱性を突いた攻撃を防ぐことができません。通信のログ機能も限定されていますし、高度な認証もサポートされません。

そのほかの短所として、ルールを一つ一つ定義しなければならないため、設定が煩雑になりやすいことが挙げられます。

スタティックパケットフィルタリング型は、パケットフィルタリング型の最もシンプルな形です。スタティックの場合、あらかじめ許可・拒否される通信のルールをすべて設定していなければなりません。

ダイナミックパケットフィルタリング型の場合、クライアントからのサーバーへのアクセス要求に応じて、ファイアウォールが自動的に必要なACLを作成し、フィルタリングを行います。そして、このACLはセッションが終了すると同時に破棄されます。

パケットフィルタリング型の場合、内部ネットワークのコンピュータ（クライアント）はファイアウォールを通過しつつも、外部サーバーと直接やり取りします。

一方、アプリケーション型ファイアウォールの場合、ファイアウォールがクライアントに代わって外部サーバーと通信します。クライアントとファイアウォール、ファイアウォールとサーバーというように段階を踏んで通信が行われ、クライアントは外部サーバーと直接やり取りをしないため、安全性は高いと言えます。