ファイアウォール

解説（テキスト版）

はじめに

情シスには、こんな相談が届きます。委託先から、このシステムの通信を通したいので、ファイアウォールの設定を変えてください、と頼まれる。

あるいは、ファイアウォールがあるから、うちは大丈夫ですよね、と聞かれる。

どちらも、ファイアウォールが何をしていて、どこにあるのかが分からないと、答えられません。今日は、その基本をお話しします。

一言で言うと

先に、一言でまとめておきます。ファイアウォールは、通信の関所です。決めたルールに合う通信だけを通して、それ以外は止めます。

そして、自治体のネットワークでは、関所は一か所ではありません。いくつかの境目に、置かれています。

ファイアウォールとは

ファイアウォールは、通信を一つずつ見て、通すか止めるかを決めます。見るのは、どこから来た通信か、どこへ行く通信か、そして、ポート番号です。

ポート番号は、建物でいう窓口の番号です。たとえば、ウェブの暗号化された通信には、443番が使われます。

ルールは、通してよいものを一つずつ書いておき、それ以外はすべて止める、という考え方が基本です。許可したものだけが通る、ということです。

地図のどこにあるか

では、自治体のネットワークの地図の、どこにあるのか。一般的な例で見ていきます。置き方は、団体によって違います。

まず、インターネットへの出口です。インターネット接続系の通信は、都道府県の自治体情報セキュリティクラウドを通ります。そこにも、ファイアウォールがあります。

次に、層の境目です。LGWAN接続系とインターネット接続系の間は、無害化や画面転送といった、決めた通り道だけを開けて、それ以外はファイアウォールなどで止めています。マイナンバー利用事務系は、ほかの層とは、そもそも通信しません。

そして、外とつながる入口です。LGWANとの接続口や、支所とつなぐ回線、委託先の保守の回線にも、関所が置かれていることがあります。

VPNとは

ここで、VPNも紹介しておきます。インターネットの上に、暗号化した通り道を作って、庁舎の外から、中のネットワークに入る仕組みです。

委託先が、離れた場所からシステムの保守をするときなどに、使われます。

VPNの機器は、インターネットに向けて開いている、庁内への正規の入口です。ファイアウォールと一体になった製品も、多くあります。

ファイアウォールをすり抜ける

ここに、落とし穴があります。VPNの機器に、ソフトウェアの弱点があったり、IDとパスワードが漏れていたりすると、攻撃者は、その正規の入口から入ってきます。

VPNを通った通信は、中の正規の利用者として扱われます。ファイアウォールのルールでは止められず、関所をすり抜けて、中に入られてしまうわけです。

実際に、病院などで、VPNの機器の弱点から侵入されて、ランサムウェアの被害が起きた例があります。詳しくは、次回以降でお話しします。

ファイアウォールだけでは見えないこと

まとめると、ファイアウォールには、見えないことがあります。通すと決めた通信の中で、何が行われているかは、見えないことが多いです。

そして、いったん中に入られたあとの動きは、ファイアウォールだけでは止められません。だから、人と端末を確かめる、ゼロトラストの考え方が必要になります。

現場でよくある誤解

現場でよくある誤解を、3つ挙げます。

一つ目。ファイアウォールがあるから安全、という誤解です。入口の関所であって、許可した通り道や、中に入られたあとは、別の対策が要ります。

二つ目。VPNは暗号化されているから安全、という誤解です。通り道が暗号化されていても、機器の弱点や、漏れたIDから入られることがあります。

三つ目。ポート443なら安全、という誤解です。通信が暗号化されているだけで、相手が安全だという意味ではありません。

異動してきたら最初に確かめること

では、異動してきたら、まず何を確かめればいいでしょうか。

一つ目。ファイアウォールが、ネットワークの地図のどこにあって、誰が管理しているかです。庁舎、セキュリティクラウド、委託先と、分けて書き出してみてください。

二つ目。外から中に入る入口の一覧です。VPNや、保守用の回線が、どこに、いくつあるのか。

三つ目。そうした機器の、ソフトの更新を、誰がしているかです。保守の契約に入っているかも、確かめておきましょう。