ショップ構築ガイド

情報の流出経路

情報漏洩対策

レンタルガイド

目次～サーバガイド

サーバ構築ガイド

目次～ Linux サーバ

レンタルネットショップ

パーソナルファイアウォール～ソフトウェア

一般家庭で導入可能な　ファイアウォール　にパーソナルファイアウォールがあります。不正侵入を防ぐ役割や仕組みはルーターと変わりませんが、パソコンが設置される環境によってセキュリティの意味合いが異なる点に着目してください。

パーソナルファイアウォールとは

パケットフィルタリングによる通信規制をソフトウェア（パソコン内）で行うタイプのファイアウォールです。パソコン単位に設置するためノード型とも呼ばれています。Windows XP や OS X など最近の OS は標準でファイアウォール機能を持っています。

OS 標準と市販製品の違いについて.

パーソナルファイアウォールには、Windows XP など OS に標準で搭載されるファイアウォール機能と大手セキュリティソフトメーカーから市販されているファイアウォール製品があります。いずれも不正侵入のために行っている事は同じですが、機能面で違いがあります。

OS が標準でサポートするファイアウォール
- Windows XP や Mac OS X では、標準でファイアウォールソフトが組み込まれており、最近の Linux ディストリビューションでもファイアウォールの初期設定や設定のためのインターフェイスが提供されています。
- Windows XP のファイアウォール機能は、自分から出て行くパケット規制や詳細なログ管理など市販されているパーソナルファイアウォールに比べて機能面で劣りますが、外部からの不正侵入に対してセキュリティ面で劣るという訳ではありません。
- ファイアウォール機能を持つ OS は以下で紹介しています。
  参照 => ビジネス用途向けクライアントOS ～ Windows と OS X
市販のパーソナルファイアウォール
- 市販されているパーソナルファイアウォールでは内部から外部へ出て行くパケットを監視するためのインターフェイスや詳細なログ管理機能など、更に木目細かなパケットフィルタリングが行えます。
- 特定の情報を監視する事でウイルスや不正攻撃により流出する段階で通信を遮断するといった情報漏洩防止機能など、様々な機能が提供されいます。
- 個人向けの製品と企業向けの製品があります。以下で紹介しています
  参照 => 総合セキュリティソフトウイルス / 不正侵入他～個人・SOHO
  参照 => セキュリティ対策ワームウイルス・不正侵入～個人・SOHO
  参照 => 中小企業企業向けのウイルス対策（サーバ/クライアント）

ネットワーク構成により異なるセキュリティポリシ（自宅）

パーソナルファイアウォールはパケットフィルタリングを行うソフトウェアであるため、インストールされているパソコン単位での対策となります。そのため、ノード型ファイアウォールとも呼ばれます。

ネットワーク機器構成や場所、パソコンが配置さる場所によって最適なセキュリティポリシは異なります。具体的にどういう事なのか、図で説明します。

モデムと直接パソコンを接続しているケース.

一般家庭に多いと思われるネットワーク構成です。モデムと直接接続できるパソコンは一台のみで複数のパソコンを HUB を介して繋ぐことは出来ません。この場合、パーソナルファイアウォールは必須となりますが、後述するネットワークを構築している場合とでは、パーソナルファイアウォールに適用すべきセキュリティポリシが異なります。

モデムとパソコンを接続

このようなネットワークを持たない環境では、パソコンから外へ出て行くパケットを抑制する必要があります。LAN を構築している場合は、LAN 内の利便性に配慮し、ファイル共有やプリンタ共有が利用できるように自分から外へ出るパケットについては制限されないポリシが適用されています。

しかし、ISP が提供するインターネット回線の中には、同じ ISP の加入者同士が LAN で結ばれている杜撰なネットワークを提供する ISP も存在します。この場合、外部からの侵入は防げても、ファイル共有が設定されていた場合、ISP 加入者に自分のパソコン内のデータが見えている状態になります。つまり、情報が流出します。

このように、直接パソコンとモデムを接続する、つまりネットワーク（LAN）のない環境では、自分から出て行くパケットも規制する必要が出てきます。

対策　～モデムとPCを直接接続する場合 .

Windows XP では、知識のない方でも対策が行えるように簡素化されたインターフェイスを提供しています。XP SP2 からはデフォルトでファイアウォールは有効となっており、ポリシも SP1 より強化されています。

ファイル共有やプリンタ共有などはユーザ（コンピュータ管理者）が設定を行わない限り、利用できないポリシになっています。

モデムとパソコンを直接接続する場合や、公衆無線LAN などセキュリティに問題のあるネットワークにパソコンを設置する場合に使用する設定が用意されています。

１．管理者権限でシステムにログインします。
　シングルユーザであっても、通常のパソコン操作に管理者権限を利用すべきではありません。管理者権限でウイルスが実行されるとファイアウォールが無効化、システムの破壊といったリスクが発生するからです。下記ページで説明しています。

参照 => システム管理者（Administrator）とユーザー権限について

２．コントロールパネルからファイアウォールを開きます。
ファイアウォールが有効になっている事を確認します。

３．例外タブを選択し、必要のないポートを遮断します。
　ここでは、外部からのリクエストに応える必要のあるサービスポートを開く設定を行っています。利用するプリンタによっては双方向で通信を行う必要もあり許可しなければ、正しく接続された機器がコントロールできない場合もあります。モデムなどの通信機器でも UPnP を認めなければ設定が行えないケースも考えられます。

Windows XP ファイアウォール例外設定

ファイル共有や接続されたプリンタをネットワークで共有する場合も、例外としてポートを開ける（許可）する必要があります。しかし、LAN を構築しない場合、つまりモデムと直接接続する環境では、これらを許可する必要はありません。むしろ危険です。必要のないポートは閉じる必要があります。

直接モデムを接続する場合、モデム越しの接続を禁止するために例外は認めないようにする必要があります。特に LAN の存在しない環境では以下の項目はチェックを外さないと危険です。

NetBIOS / ファイルとプリンタ共有 / リモートアシスタンス / リモートデスクトップ

※ 一括でポートを遮断する場合、例外を認めない　のチェックボックスが用意されていますのでそれを利用します。

□ Windows ファイアウォールによるプログラムのブロック時に通知を表示する

にチェックが入っている場合、警告が出るようになります。悪意あるソフトウェアが外部との通信を確立しようとする場合にも警告が出るためチェックを入れるようにします。
（ Winny など防げないソフトウェアもあります）

ここで例外を認めると使用されるポートが開くためセキュリティリスクが増す事になります。LAN 内の利用に限られる場合は、上位にルータがあればルータが遮断してくれるため、インターネット側から侵入される事はありません。

■ご注意
使用しているモデムや周辺機器、ドライバによっては、UPnP を例外で認めなければ正しく制御できない場合や特定の周辺機器には双方向通信が行えないと動作しない場合もあります。詳しくは、それぞれのソフトウェア、ハードウェアの説明書に従って下さい。

モデムと直接接続する場合を想定してか、SP2 からファイアウォールのデフォルトが強化されていますが、出て行くパケットに対して柔軟な設定が行える市販のパーソナルファイアウォールは導入する価値はあります。

ルーターを導入しているケース

複数のパソコンを所有しており、ルーターによってぞれぞれがインターネットに接続出来る環境、LAN を構築しているケースです。つまり、上位にファイアウォールが存在するケースです。

ルーターを導入している場合

このケースでは、上流に専用ルーターが存在しているため、ファイル共有やプリンタ共有などのパケットはルーター側で外に出て行かないように初期値で設定されており、意図的にルータの設定を変更しない限り、外部からの侵入経路も閉じられた状態にあります。

そのため、ISP の提供する粗悪なネットワークが情報漏洩に直結してしまう可能性はなくなります。

民生ルータ＋市販パーソナルファイウォールの組み合わせ

このようなケースで、市販パーソナルファイアウォール製品を導入する事で得られるメリットは、PC内部から出て行く通信を全て遮断し、必要に応じてローカルIPアドレスにのみ認める事で更にセキュリティを強化できる事です。

ただし、パーソナルファイアウォールを利用して、これらの通信ルールを決めるには知識が必要であり、一般の方には難しくかえって不要な通信規制によりLANの利便性が著しく低下する恐れもあります。ルータがあればパーソナルファイアウォールは必須ではありません。

市販パーソナルファイアウォールの中には、特定のパケットを監視して通信を規制する機能を持つ製品もありますので、ネットショッピングをよく利用される方やパソコン内に重要なデータが記録されているケースでは、セキュリティを強化される目的で導入されると良いと思います。

市販パーソナルファイアウォールのイメージ

Windows XP 標準のファイアウォールに比べ、市販されているパーソナルファイアウォール製品は、自分から出て行くパケットやポートに対してより詳細な設定が行えます。

パーソナルファイアウォール事後対策イメージ

例えば、事後対策として、LAN 内のパソコンがワームウイルスに感染した場合、LAN内の他のパソコンからの感染防止対策をポリシによって行う事が出来ます。

内部から出て行くパケット（サービス）を制限すると LAN の利便性が低下します。

このように、同じパーソナルファイアウォールでもネットワーク環境によって求められるセキュリティポリシが異なる事に留意する必要があります。例えば、ルータを導入してLAN を構築しているケースでは、ローカルIPアドレス宛のみに通信を許可する事で利便性を考慮してインターネット側へ

市販パーソナルファイアウォールの特徴.

パケットフィルタリングによる通信規制を行う点は、ルーターと同じですがファイアウォールとしての機能を比較した場合、専用ルーターとパーソナルファイアウォールでは異なる点があります。

ログやアラートに優れる

ルータのようにハードウェアの制約がないため、詳細なログやアラートの出力が可能なだけでなく、リアルタイムです。セキュリティに関心のある方は勉強する上で足掛かりになるかも知れません。

詳細な設定が行える

パソコン内にインストールされたプログラムであるため、ルータのようにハードウェアの制約がありません。また、市販のファイアウォールソフトの場合、詳細な設定を行う事が出来ます。

パーソナルファイアウォールが不利な側面

単純にルーターと比較した場合、以下の面で劣ります。

ネットワークの利便性が低下する恐れ

それぞれのパソコンにファイアウォールの仕組みがあると、それぞれに通信規制が行えるため LAN を構築している場合は LAN の利便性が低下する可能性があります。

また、市販のファイアウォール製品をインストールした事によって、これまで利用できていたネットワークサービスが利用できなくなる可能性もあり、仕組みを理解していなければ問題解決が難しい場合があります。

LAN 内の同一セグメント上の PC に対して規制を外す事で利便性を高める事も出来ますが、これではパーソナルファイアウォールの意味がありません。脆弱性のある古い無線LAN アクセスポイントがない場合では、ルータがあればそれで良いという事になります。

ウイルス耐性

パソコン内部に存在するため、ウイルスによりファイアウォールが無効化される可能性は、異なるネットワーク機器であるルータに比べ高いといえます。（ネットワーク認証を突破する必要があるため）

ウイルスは通常、実行したユーザー権限で発動するため、ファイアウォール変更が行える Administrator 権限でウイルスに感染した場合、無効にされる危険性も高くなります。このリスクを軽減するには、自分だけが操作するパソコンであっても、Administrator （管理者）権限を持たないユーザを使用すべきです。

（企業ではそのようにしているが、個人のパソコンであっても同じ）

OS やアプリケーションの脆弱性を付いて Administrator 権限を取得して実行されるウイルスも存在しますので全てのウイルスに効果がある対策ではありません。また、ルータが安全と言う訳ではなく、特定の機種が持つ脆弱性を狙った攻撃も存在します。