パーソナルファイアウオール（2）/キーマンズネット


	IT製品 TOP > セキュリティ > ファイアウォール > パーソナルファイアウオール

	これさえ読めば基本はカンペキ！「パーソナルファイアウオール」	掲載日：2004/12/27

【1】	クライアントセキュリティの必要性

【2】	パーソナルファイアウオールの注目機能

【1】	パーソナルファイアウオールの選び方

【2】	製品カタログ

【1】	パーソナルファイアウオールセキュリティ情報

これさえ読めば基本はカンペキ！

　クライアントセキュリティという言葉をよく耳にするようになった。これは VPNやモバイル端末の利用が急増していることから、ネットワークの境界線だけにファイアウオールを入れただけでは必要なセキュリティを維持できなくなってきたからである。例えば、社外でウイルスに感染したノートPCなどのモバイル端末やメディアがそのまま社内ネットワークに持ち込まれて感染するケースも増え始めている。そこで今回は、クライアントセキュリティ対策の中で、今最も注目されている「パーソナルファイアウオール」にスポットを当て、その最新事情をお届けする。

【2】

パーソナルファイアウオールの注目機能

　ここからは、パーソナルファイアウオールの具体的な機能について紹介していこう。パーソナルファイアウオールは、スタンドアロン型と集中管理型の２つの製品に大別できるが、ここでは集中管理型の製品を中心に紹介する。両者の違いは、スタンドアロン型はセキュリティポリシーを個人で管理するようになっているのに対し、集中管理型では管理者がユーザーグループやIPアドレスごとにセキュリティポリシーを配信できるようになっている。
　以下に各社の注目機能を紹介していくが、その前に、パーソナルファイアウオールの全体像を把握してもらうために、図2を見て頂きたい。これはシマンテックの「Symantec Client Security」の例だが、このようにパーソナルファイアウオール製品にはファイアウオールだけでなく侵入検知システム（IDS機能）やアンチウイルスソフトも合わせて搭載されていたり、これらの機能と連携して動くようになっていたりする。さらに、この製品は集中管理型なので管理者による一元管理機能も提供されている。

図2　Symantec Client Security

資料提供：シマンテック

2-1

ファイアウオール機能

　パーソナルファイアウオールにも、ゲートウエイ型ファイアウオールと同じように、パケットフィルタリングやアプリケーションゲートウェイといった機能が搭載されている。
　例えば、チェック・ポイント・ソフトウェア・テクノロジーズの「Check Point Integrity」では、独自の TrueVectorテクノロジー（図3）により、承認されたネットワークトラフィックだけにクライアントのポートが開くようになっている。従って、その他の一般のネットワーク侵入行為は自動ブロックされるので、複雑なルールを設定しなくて済む。

図3　TrueVectorテクノロジー

資料提供：チェック・ポイント・ソフトウェア・テクノロジーズ

　以下に、TrueVectorテクノロジーの動作を簡単に説明していこう。

（1）アプリケーションがインターネットに接続しようとする。
（2）接続がインターセプトされて、TrueVectorエンジンに転送される。
（3）TrueVectorエンジンによってアプリケーション、プロトコル、コンテンツなどが認証される。
（4）認証された接続はTCP/IPスタックに転送される。
（5）（4）と同時に、接続がファイアウオールを通過できるように、TrueVectorエンジンからファイアウオールに許可通知が送られる。
（6）アプリケーションがインターネットに接続される。

　また、MD5チェックサムを使って確認された承認済みアプリケーション以外はネットワークにアクセスできないので、トロイの木馬、スパイウエアなどが企業ネットワーク内に入り込むのを未然に防ぐことができる。例えば、許可されていないアプリケーションを使用しようとすると、図4のようなメッセージが表示されブロックされる。
　シマンテックの「Symantec Client Security」の場合には、IPアドレスの範囲を指定することでクライアントごとにアクセス制御を行える「インターネットゾーン制御」機能をサポートしている。この機能を使うと、例えば特定のIPアドレスから不審なアクセスが頻繁に起こる場合にはそのアクセスを定常的に禁止したり、開発部や人事部のリソースに対してアクセス制限を加えたりすることができる。
　また、クライアントの設置場所に合わせてファイアウオールルールを自動適用することもできるので、社内アクセスの場合と自宅からのアクセスの場合に分けてネットワークアクセスを適切に管理することが可能だ（図5）。管理者がすぐに使えるファイアウオールルールのサンプルも用意されている。さらに、ウェブアクセス時にダウンロードされるバナーやポップアップ広告をブロックする機能も搭載されている。