境界防御（ファイアウォール・DMZ・UTM）

ファイアウォールは、通信の送信元・宛先・ポート・プロトコルを見て、ルールの上から順に「許可」か「拒否」かを決めます。行きの通信を覚えておき、その戻りだけを自動で通す（ステートフル）のが普通です。

ステートフルなファイアウォールは、社内から外へ出た通信を「状態表（セッションの表）」に覚えておき、その戻りの通信だけを自動で通します。そのため「社内 → 外の 443 を許可」と1行書くだけで、戻りのために外からの通信を広く開ける必要がありません。表にない、外から始まる通信は拒否されます。

状態表には上限と保持時間があります。通信が非常に多い拠点では表があふれて新しい通信が通らなくなることがあるので、機種を選ぶときに同時セッション数も確かめます。

ファイアウォールのルールは、追加は簡単でも、消すのは「何かが止まるかもしれない」と怖くなり、増え続けます。変更の手順と、定期的な棚卸しをセットにします。

運用のポイント：「一時的に開けた」ルールが残り続けるので、ルールごとに目的・依頼者・期限を記録し、定期的に棚卸しする。管理画面（VPN 機器・FW）は外から開けない。VPN 機器・ファイアウォール自体の脆弱性は攻撃の入口として狙われやすいので、ファームウェアの更新と保守期限（EOL）を管理する。

消すときは、いきなり削除せず、まず無効にして1〜2週間ようすを見てから消すと安全です。

会社が Web サイトやメールのサーバーを外に公開すると、そのサーバーは世界中から攻撃を受けます。公開サーバーを社員の PC やファイルサーバーと同じネットワークに置くと、1台が乗っ取られたときに、そこから社内まで一気に入られてしまいます。

DMZ は、それを防ぐためにネットワークを分ける考え方です。情シスにとっては、ファイアウォール（UTM）のルールを決めるときや、監査で「どの通信を許しているか」を説明するときの前提になります。

DMZ は、インターネットと社内 LAN の間に作る「緩衝地帯」のネットワークです。会社の Web サーバー・メールの中継サーバー・外部向けの DNS など、外から使われるサーバーだけを置きます。

今はクラウド（AWS のパブリックサブネットと ALB・WAF など）に公開サーバーを置くことが多く、オフィスに DMZ を持たない会社も増えています。考え方（公開するものと社内を分け、間の通信を絞る）は同じです。

下の「ブラウザで試す」の図では、社員の PC が外を見るときの NAPT、外から公開サーバーへのポートフォワード、外から社内 LAN へは入れないこと、UTM による中身の検査、の順に進みます。このトピックで特に見てほしいのは「公開サーバーが乗っ取られたら」の手順で、DMZ から社内 LAN への通信が UTM のルールで止まる様子が、上の表の「DMZ → 社内 LAN：原則拒否」にあたります。

UTM（統合脅威管理）は、複数のセキュリティ機能を1台にまとめた機器です（FortiGate・Palo Alto・Check Point・Sophos・ヤマハなど）。

注意：全機能を有効にすると処理が重くなるので、カタログの「ファイアウォールだけの速度」ではなく、使う機能を有効にしたときの速度で、回線に見合う機種を選びます。1台が止まると全員が外に出られないので、2台で冗長化し、保守契約とファームウェアの更新を管理します。在宅・SaaS が中心になると境界の機器だけでは守れないので、クラウド型の SWG・SASE、端末の EDR と組み合わせます。

HTTPS の検査（SSL インスペクション）

IDS（侵入検知）は通信を見て攻撃らしいものを見つけて知らせ、IPS（侵入防御）は通り道に入って、その通信を止めます。どちらも、既知の攻撃のパターン（シグネチャ）や、ふだんと違う通信で判断します。UTM や次世代ファイアウォールの機能として入っていることが多いです。

運用のポイント：最初から全部のシグネチャを「遮断」にすると、業務の通信が誤検知で止まることがあります。まず検知だけで動かして誤検知を確かめ、除外を整えてから遮断に切り替えます。シグネチャは保守契約で更新されるので、契約が切れると新しい攻撃を見つけられません。公開サーバーの前では、Web アプリへの攻撃に特化した WAF を使うこともあります。

今の Web の通信はほとんどが HTTPS で暗号化されているので、UTM や SWG はそのままでは中身（ダウンロードするファイル・URL の細かい部分）を見られません。SSL インスペクションは、途中の機器がいったん復号して検査し、もう一度暗号化して送る仕組みです。

TLS ハンドシェイク（SRE の解説）

Web フィルタは、アクセスしようとする URL を、カテゴリ（マルウェア・フィッシング・ギャンブル・個人のストレージなど）や評判で判定して、許可・警告・ブロックを決める仕組みです。社員の Web の利用を記録するプロキシと一緒に使われることが多いです。

ブロックの画面には、理由と問い合わせ先を出します。業務に必要なのに止まったサイトをすぐに申請できると、社員が抜け道を探さずに済みます。