ファイアウォール（FW）（firewall）
ネットワークの境目に置き、通してよい通信とそうでない通信を、決めた規則で選り分ける仕組み。
もう少し詳しい説明
ファイアウォール（FW）は、ネットワークの境目に置き、通してよい通信とそうでない通信を選り分ける仕組みです。
名前は建物の「防火壁」から来ています。火（攻撃）が燃え広がらないよう、あいだに壁を置く、という見立てです。
何を見て決めるか
いちばん基本の形（パケットフィルタリング型）が見るのは、荷札にあたる部分だけです。
| 見るもの | 何が分かるか |
|---|---|
| 送信元IPアドレス（通信の相手を指すための番号） | どこから来たか |
| 宛先IPアドレス | どこへ行くか |
| ポート番号 | どのアプリ向けの通信か（Webなら80や443番） |
| プロトコル（通信の手順を決めた約束ごと） | TCPかUDPか |
管理者は、これに対する規則をあらかじめ並べておきます。「外から中へは443番だけ通す」「中から外へはすべて通す」といった形です。
中身は見ません。 封筒の宛名を見て仕分ける郵便局のような働きで、中の手紙に何が書いてあるかまでは読みません。
DMZ：外に見せる場所を分ける
社外に公開するWebサーバ（ほかの機械からの頼みごとに応える側の機械）を社内と同じ場所に置くと、そこが破られたときに社内まで届いてしまいます。
そこで、社内でも社外でもない区画を作ります。これをDMZ（DeMilitarized Zone。非武装地帯）と呼びます。
| 区画 | 何を置くか | 外からの通信 |
|---|---|---|
| 社外 | — | — |
| DMZ | 公開するWebサーバ、メールサーバ | 決めたポートだけ通す |
| 社内 | 業務システム、社員の端末 | 直接は通さない |
外から社内へ直接行けなくすることが要点です。DMZのサーバが破られても、そこから社内へは改めてファイアウォールを越える必要があります。
何ができないか
ここが試験で問われるところです。
| 止められないもの | 理由 | 受け持つ仕組み |
|---|---|---|
| 通信の中身に仕込まれた攻撃 | 荷札しか見ないため | WAF（Webアプリ向けの壁）、IPS |
| 許可したポートを通る攻撃 | 443番を開けていれば、その上の攻撃は通る | 同上 |
| 持ち込んだUSBメモリ経由の侵入 | 境目を通らないため | 端末側の対策 |
| 内部の人による持ち出し | 中から外は通すことが多いため | ログの監視（SIEM） |
ファイアウォールを置けば安全、とはなりません。 境目を通らない道があり、通ってよいと決めた道もあります。ここから、守りを重ねる多層防御という考え方が出てきます。
試験ではこう出る
科目A（旧・午前）では、何を見て判断するかがそのまま出ます。IPアドレスとポート番号、と答えられれば足ります。
DMZに何を置くかも頻出です。外に公開するサーバを置く場所であり、社内の業務システムは置きません。
科目B・午後では、ファイアウォールでは防げない攻撃が題材になります。許可したポートを通る攻撃や、端末の持ち込みが出てきたら、別の対策を選ぶ問題だと読んでください。
関連する用語
- 境界防御
- ファイアウォールを置いて中と外を分ける、という考え方そのもの
- ポート番号
- どのアプリ向けの通信かを表す番号。通す・通さないの判断に使う
- LAN間接続装置
- どの層の情報まで見て中継するか。ファイアウォールもこの並びに入る
- SQLインジェクション
- 通信の中身に仕込まれる攻撃。ファイアウォールでは止まらない例
ミニクイズ
ファイアウォール（パケットフィルタリング型）が通信を通すかどうかの判断に使う情報として、適切なものはどれか。
正解は 2番：送信元と宛先のIPアドレス、ポート番号、プロトコルの種類
パケットフィルタリング型のファイアウォールが見るのは、荷札にあたる部分です。どこから来てどこへ行くのか（IPアドレス）、どのアプリ向けか（ポート番号）、どの手順を使うか（プロトコル）を規則と突き合わせて、通す・通さないを決めます。本文の中身が攻撃の形かどうかを見るのはWAFやIPS、パスワードの照合は認証の仕組み、ウイルスの有無を調べるのはウイルス対策ソフトの役目です。荷札しか見ない、というところがこの機器の守備範囲になります。
この分野をまとめて解く → セキュリティのミニテスト（全47問）
最終更新：2026-11-09