Host-Based Firewall

ホストベースファイアウォール（Host-Based Firewall）とは、個々のコンピュータやサーバーにインストールされ、そのデバイス単体の通信を制御・監視するソフトウェアベースのファイアウォールです。ネットワーク境界に設置されるネットワークファイアウォールとは異なり、エンドポイント上で直接動作することで、デバイスレベルでのきめ細かなアクセス制御を実現します。

代表的な実装として、WindowsのWindows Defender Firewall、Linuxのiptablesやnftablesおよびfirewalld、macOSのApplication Firewallなどがあります。これらはOS標準で搭載されており、インバウンド（受信）およびアウトバウンド（送信）のネットワークトラフィックをルールに基づいてフィルタリングします。特にアウトバウンド通信の制御は、マルウェアによるC2（Command & Control）通信の遮断に効果を発揮します。

近年のゼロトラストアーキテクチャにおいて、ホストベースファイアウォールの重要性はますます高まっています。内部ネットワークであっても「信頼しない」という原則のもと、各エンドポイントが自身を保護するマイクロセグメンテーションの実現手段として、ネットワークファイアウォールと併用することが推奨されています。

ネットワークファイアウォールとの違い

ネットワークファイアウォールはネットワーク境界（ゲートウェイ）に配置され、組織全体のトラフィックを一元的に制御します。一方、ホストベースファイアウォールは個々の端末に導入され、そのホスト固有の通信要件に合わせた細やかなルール設定が可能です。例えば、Webサーバーには80/443ポートのみ許可し、データベースサーバーには特定のアプリケーションサーバーからの3306ポートのみを許可するといった制御を実現できます。

また、ホストベースファイアウォールはラテラルムーブメント（横方向の移動）の防止にも有効です。攻撃者が内部ネットワークに侵入した場合でも、各ホストのファイアウォールにより他の端末への不正アクセスを阻止できます。

Windows Defender Firewallの仕組み

Windows Defender Firewallは、ドメインプロファイル・プライベートプロファイル・パブリックプロファイルの3つのネットワークプロファイルに基づいてルールを切り替えます。Active Directory環境ではグループポリシー（GPO）により全社一括でルールを配布でき、エンタープライズ環境での統一管理が容易です。

Windows Filtering Platform（WFP）というカーネルレベルのフレームワーク上に構築されており、パケットフィルタリング、アプリケーション制御、IPSec統合など多層的な防御機能を提供します。PowerShellのNetSecurityモジュールやnetshコマンドによるスクリプト管理にも対応しています。

Linuxにおけるiptables / nftables

Linuxでは、カーネルのNetfilterフレームワークを利用したiptablesが長年標準的なファイアウォールツールとして使用されてきました。iptablesはINPUT・OUTPUT・FORWARDチェーンを持ち、パケットの送信元IP、宛先ポート、プロトコル、接続状態（ステートフルインスペクション）に基づいてフィルタリングを行います。

近年は後継のnftablesへの移行が進んでおり、より効率的なルール評価、IPv4/IPv6の統合管理、セットやマップによる柔軟なマッチングが可能です。Red Hat系ではfirewalldがフロントエンドとして提供され、ゾーンベースの直感的な管理を実現しています。

アプリケーション制御とアウトバウンドフィルタリング

高度なホストベースファイアウォールは、アプリケーション単位での通信制御を実装しています。単にポートやIPアドレスだけでなく、どのプロセスが通信を開始しているかを識別し、許可されたアプリケーションのみがネットワークアクセスできるようにします。

特にアウトバウンド（送信方向）のフィルタリングは、マルウェア感染後の被害拡大防止に重要です。マルウェアがC2サーバーとの通信を試みても、ホストベースファイアウォールが未許可のプロセスからの外部通信をブロックすることで、データ漏洩やリモート制御を阻止できます。

集中管理と自動化

エンタープライズ環境では、数千台以上の端末のファイアウォールルールを個別に管理することは現実的ではありません。Endpoint Detection and Response（EDR）製品やMicrosoft Intune、SCCM、Ansible、Puppet等の構成管理ツールを使用して、ファイアウォールポリシーを一元的に定義・配布・監視することが一般的です。

また、SIEM（Security Information and Event Management）との連携により、ファイアウォールのブロックログをリアルタイムで収集・分析し、異常な通信パターンの早期検出やインシデント対応の迅速化を図ることができます。

• 01
  デフォルト拒否ポリシーの適用：ホストベースファイアウォールは「すべて拒否」をデフォルトルールとして設定し、業務上必要な通信のみを明示的に許可するホワイトリスト方式を採用してください。特にインバウンド通信は最小限の許可に留め、不要なポートやサービスへのアクセスを遮断しましょう。
• 02
  アウトバウンド通信の制御を有効化：多くの組織でアウトバウンド通信が制限なく許可されていますが、マルウェアのC2通信やデータ窃取を防止するため、送信方向のフィルタリングも実装してください。許可するプロセスと宛先を限定し、不審な外部通信を検出・ブロックしましょう。
• 03
  ネットワークプロファイルに応じたルール分離：社内ネットワーク、VPN接続時、公衆Wi-Fi接続時など、ネットワーク環境に応じて適用するファイアウォールプロファイルを切り替えてください。パブリックネットワークでは特に厳格なルールを適用し、ファイル共有やリモートデスクトップなどのサービスを無効化しましょう。
• 04
  集中管理ツールによるポリシー配布：グループポリシー、Intune、Ansible等の構成管理ツールを活用して、ファイアウォールルールを全端末に一括配布してください。個別設定の乱立を防ぎ、ポリシーの整合性を維持することで、設定漏れによるセキュリティホールを防止できます。
• 05
  ファイアウォールログの収集と監視：ブロックされた通信のログをSIEMに集約し、リアルタイムで分析してください。特定のホストから大量のブロックイベントが発生している場合、マルウェア感染や不正アクセスの試行を示唆している可能性があります。アラートルールを設定して異常を早期に検出しましょう。
• 06
  ファイアウォールの無効化防止策：エンドユーザーや管理者権限を奪取した攻撃者がファイアウォールを無効化するリスクに備え、ファイアウォールサービスの停止を監視し、改ざん防止機能（Tamper Protection）を有効化してください。EDRとの連携により、ファイアウォールの無効化を即座に検知・復旧する仕組みを構築しましょう。