アプリケーションファイアウォール

アプリケーションファイアウォールは、アプリケーションまたはサービスの入出力またはシステム コールを制御するファイアウォールの一種です。構成されたポリシー (通常は選択可能な定義済みのルール セット) に基づいて通信を監視およびブロックすることで動作します。アプリケーション ファイアウォールには、ネットワーク ベースとホスト ベースの 2 つの主要なカテゴリがあります。

パデュー大学のジーン・スパフォード、AT&T 研究所のビル・チェスウィック、マーカス・ラナムは、アプリケーション層ファイアウォールと呼ばれる第 3 世代のファイアウォールについて説明しました。ポール・ヴィクシー、ブライアン・リード、ジェフ・モーグルが作成したファイアウォールを基にしたマーカス・ラナムの研究は、最初の商用製品の作成の先駆けとなりました。この製品は DEC によってリリースされ、ジェフ・マリガンによって DEC SEAL (Secure External Access Link) と名付けられました。DEC の最初の大規模な販売は、1991 年 6 月 13 日にデュポン社に行われました。

TIS でのより広範な DARPA 契約に基づき、Marcus Ranum、Wei Xu、および Peter Churchyard は、Firewall Toolkit (FWTK) を開発し、1993 年 10 月にライセンスに基づいて無料で利用できるようにしました。^[1]商用利用ではなく無料で利用できる FWTK をリリースした目的は、ソフトウェア、ドキュメント、および使用された方法を通じて、(当時) 正式なセキュリティ手法で 11 年の経験を持つ企業とファイアウォールの経験を持つ個人がどのようにファイアウォール ソフトウェアを開発したかを示すこと、他の人が構築できる非常に優れたファイアウォール ソフトウェアの共通基盤を作成すること (そのため、人々はゼロから「独自のもの」を作成し続ける必要がなくなります)、使用されているファイアウォール ソフトウェアの「水準を引き上げる」ことでした。ただし、FWTK は、ユーザーによる操作を必要とする基本的なアプリケーション プロキシでした。

1994 年、Wei Xu は FWTK を拡張し、IP ステートフル フィルタとソケット透過のカーネル拡張機能を追加しました。これは、従来のアプリケーション プロキシ (第 2 世代ファイアウォール) を超えた、第 3 世代ファイアウォールの始まりとして知られる最初の透過ファイアウォールであり、Gauntlet ファイアウォールとして知られる商用製品としてリリースされました。Gauntlet ファイアウォールは、1995 年から 1998 年までトップ アプリケーション ファイアウォールの 1 つにランクされました。この年、Network Associates Inc (NAI) に買収されました。Network Associates は、Gauntlet が「世界で最も安全なファイアウォール」であると主張し続けましたが、2000 年 5 月、セキュリティ研究者のJim Stickley がファイアウォールに大きな脆弱性を発見しました。この脆弱性により、オペレーティング システムへのリモート アクセスが可能になり、セキュリティ制御がバイパスされました。^[2] Stickley は1 年後に 2 番目の脆弱性を発見し、Gauntlet ファイアウォールのセキュリティ優位性が事実上終了しました。^[3]

アプリケーション層フィルタリングは、従来のセキュリティ アプライアンスよりも高いレベルで動作します。これにより、送信元/宛先 IP アドレスやポートだけでなく、さまざまな基準でパケットを決定できるようになり、任意のホストの複数の接続にまたがる情報も使用できるようになります。

ネットワークベースのアプリケーションファイアウォールは、 TCP/IPスタックのアプリケーション層で動作し^{[4] 、}ファイル転送プロトコル（FTP）、ドメインネームシステム（DNS）、ハイパーテキスト転送プロトコル（HTTP）などの特定のアプリケーションやプロトコルを理解できます。これにより、非標準ポートを使用している不要なアプリケーションやサービスを識別したり、許可されたプロトコルが悪用されているかどうかを検出したりできます。^[5]

最新バージョンのネットワークベースのアプリケーション ファイアウォールには、次のテクノロジが含まれます。

• 暗号化オフロード
• 侵入防止システム
• データ損失防止

Web アプリケーション ファイアウォール (WAF) は、リバース プロキシとして機能し、関連付けられたサーバーに転送される前にトラフィックを検査する、 ネットワーク ベースのアプライアンスの特殊なバージョンです。

ホストベースのアプリケーション ファイアウォールは、アプリケーションシステム コールやその他の一般的なシステム通信を監視します。これにより、より細分化された制御が可能になりますが、保護できるのは、ファイアウォールが動作しているホストのみです。制御は、プロセスごとにフィルタリングすることで適用されます。通常、プロンプトは、まだ接続を受け取っていないプロセスのルールを定義するために使用されます。データ パケットの所有者のプロセス ID を調べることで、さらにフィルタリングを行うことができます。多くのホストベースのアプリケーション ファイアウォールは、パケット フィルタと組み合わせて使用​​されるか、パケット フィルタと連携して使用されます。^[6]

技術的な制限により、システムプロセスを保護するためのホストベースのアプリケーションファイアウォールの代わりにサンドボックスなどの最新のソリューションが使用されています。 ^[7]

無料のオープンソース ソフトウェアと商用製品の両方を含む、さまざまなアプリケーション ファイアウォールが利用可能です。

Mac OS X Leopard以降、TrustedBSD MACフレームワーク（FreeBSDから取得）の実装が含まれるようになりました。^{[8] TrustedBSD MACフレームワークは、} Mac OS X LeopardおよびSnow Leopardの共有サービスの構成に基づいて、サービスをサンドボックス化するために使用され、ファイアウォール層を提供します。サードパーティのアプリケーションは、アプリによる送信接続のフィルタリングなど、拡張機能を提供できます。

これは、アプリケーションと OS 間の通信をユーザーごとにフィルタリングできる Linux 用のセキュリティ ソフトウェア パッケージのリストです。

• アプリアーマー
• Kerio Control - 商用製品
• ModSecurity - Windows、Mac OS X、 Solaris、その他のバージョンのUnixでも動作します。ModSecurity は、Web サーバー IIS、Apache2、NGINX で動作するように設計されています。
• SafingのPortmasterはアクティビティ監視アプリケーションです。Windowsでも利用可能です。^[9]
• システムトレース
• ゾープ

• ポートマスター

• Microsoft Defender ファイアウォール

• ウィンゲート

これらのデバイスは、ハードウェア、ソフトウェア、または仮想化ネットワーク アプライアンスとして販売される場合があります。

次世代ファイアウォール:

• シスコ ファイアパワー 脅威防御
• チェックポイント
• Fortinet FortiGate シリーズ
• ジュニパーネットワークス SRX シリーズ
• パロアルトネットワークス
• SonicWALL TZ/NSA/SuperMassive シリーズ

Web アプリケーション ファイアウォール/ロードバランサー:

• A10 ネットワークWeb アプリケーション ファイアウォール
• バラクーダネットワークスWeb アプリケーション ファイアウォール/ロード バランサ ADC
• Citrix ネットスケーラー
• F5ネットワークスBIG-IPアプリケーションセキュリティマネージャ
• Fortinet FortiWeb シリーズ
• ケンプテクノロジーズ
• インペルヴァ

その他:

• クラウドフレア
• メラキ
• スムースウォール
• スナップ株式会社

• Web アプリケーション ファイアウォール、オープン Web アプリケーション セキュリティ プロジェクト
• Web アプリケーション セキュリティ コンソーシアムによる Web アプリケーション ファイアウォールの評価基準
• クラウドの安全性: Web アプリケーション ファイアウォールを「蒸発」させてクラウド コンピューティングを保護する