NGFWとは

NGFWは、従来のファイアウォールが持つポート番号やIPアドレスに基づくフィルタリング機能に加え、アプリケーション層の識別やユーザー認証、侵入防止システム（IPS）、および外部の脅威インテリジェンスとの連携機能を統合した次世代型のネットワークセキュリティ製品のことです。

正式名称をNext-Generation Firewallと呼び、通信の内容（ペイロード）を深く解析するディープパケットインスペクション（DPI）技術を用いることで、従来のファイアウォールでは検知が困難であった高度なサイバー攻撃や、暗号化通信に隠れた脅威を遮断することを目的としています。

NGFWの主な機能と特徴

NGFWは、単一のハードウェアまたはソフトウェア上で複数のセキュリティ機能を動的に提供します。これにより、従来の複数のセキュリティ機器を個別に導入・運用する手間とコストを削減します。

1. アプリケーションの識別と制御（App-ID）

従来のファイアウォールは、ポート番号（例：80番や443番）のみを見て通信を許可していましたが、NGFWは通信の振る舞いから特定のアプリケーション（例：SNS、ファイル共有ソフト、ウェブ会議ツール）を識別します。これにより、「ウェブ閲覧は許可するが、特定のSNSへの投稿やファイルのアップロードは禁止する」といった、きめ細かなポリシー設定が可能になります。

2. ユーザー識別（User-ID）

IPアドレスではなく、Active Directoryなどのディレクトリサービスと連携して、個人やグループ単位でアクセス権限を管理します。IPアドレスが頻繁に変わる環境（DHCP環境や無線LAN環境）においても、一貫したセキュリティポリシーを適用できます。

3. 侵入防止システム（IPS）の統合

ネットワーク上の脆弱性を突く攻撃をリアルタイムで検知・遮断します。シグネチャベースの検知に加え、異常なトラフィックパターンを分析することで、既知および未知の攻撃から内部ネットワークを保護します。

従来のファイアウォール（L4）との違い

従来のファイアウォールは主にトランスポート層までを監視対象としていましたが、NGFWはアプリケーション層（第7層）までを詳細に解析します。

機能	従来のファイアウォール	次世代ファイアウォール (NGFW)
制御単位	IPアドレス、ポート番号	アプリケーション、ユーザー、コンテンツ
検査範囲	ヘッダー情報（L3/L4）	ペイロード（データ本体）を含む全層
脅威検知	限定的（基本は遮断のみ）	IPS、アンチウイルス、サンドボックス連携
暗号化通信の検査	不可	SSL/TLS復号による検査が可能

セキュリティ評価指標とスループット

NGFWは詳細なパケット解析を行うため、機能を有効化するほどスループット（通信速度）に影響を与えます。製品選定の際には、全機能を有効にした状態での「脅威防止スループット」を確認することが重要です。

性能指標の一つである実効帯域

は、物理的なリンク速度

から、解析に伴う遅延やオーバーヘッドによる損失係数

を差し引いたものとして概念化されます。

NGFWの導入においては、この

を最小限に抑えつつ、高い検知率を維持できる専用のASIC（特定用途向け集積回路）を搭載したモデルが選定される傾向にあります。

導入のメリットと運用の留意点

1. メリット

• 脅威の可視化：どのようなアプリケーションが利用され、どこにリスクがあるかを可視化できます。
• 多層防御の簡素化：複数のセキュリティ機能を一元管理できるため、管理者の負担を軽減し、設定ミスによる脆弱性を排除します。

2. 運用の留意点

• 復号に伴うプライバシー保護：SSL/TLS通信を復号して検査する場合、銀行サイトなどの機密性の高い通信を除外する設定が必要です。
• 継続的なアップデート：最新の脅威や新しいアプリケーションに対応するため、シグネチャやデータベースを常に最新の状態に保つライセンス保守が不可欠となります。

関連用語

お問い合わせ

システム開発・アプリ開発に関するご相談がございましたら、APPSWINGBYまでお気軽にご連絡ください。