PACKET FILTERING

パケットフィルタリング（Packet Filtering）とは、ネットワーク上を流れるパケット（データの送受信単位）のヘッダ情報を検査し、あらかじめ定められたルール（ACL：Access Control List）に基づいて、そのパケットの通過を許可または遮断する技術です。ファイアウォールの最も基本的な機能であり、ネットワークセキュリティの根幹を成す技術です。

パケットフィルタリングが検査する主な情報は、送信元IPアドレス、宛先IPアドレス、送信元ポート番号、宛先ポート番号、プロトコル（TCP/UDP/ICMP等）です。これらの情報はパケットのヘッダ部分に含まれており、パケットの中身（ペイロード）は検査しません。そのため処理速度が高速ですが、アプリケーション層の攻撃（SQLインジェクション、XSS等）を検知することはできません。

パケットフィルタリングは、専用のファイアウォール機器だけでなく、ルーターやスイッチのACL機能、Linuxのiptablesやnftables、WindowsのWindows Firewall with Advanced Securityなど、多くのネットワーク機器やOSに標準的に実装されています。

スタティックパケットフィルタリング

最も基本的なパケットフィルタリング方式です。個々のパケットを独立して検査し、ACLのルールに照合します。各パケットは前後のパケットとの関係を考慮されず、ヘッダ情報のみで判断されます。

この方式のメリットは処理が高速で実装がシンプルなことですが、デメリットとしてTCPの接続状態を追跡しないため、偽装されたACKパケットなどを使った攻撃を防ぐことが困難です。また、FTPのように動的にポート番号が変わるプロトコルへの対応が難しいという制限があります。

ステートフルパケットインスペクション（SPI）

ステートフルパケットインスペクションは、通信のセッション（接続状態）を追跡しながらパケットを検査する方式です。TCPの3ウェイハンドシェイクから接続終了までの状態遷移を管理する「ステートテーブル（状態テーブル）」を保持し、正当な通信フローに属するパケットのみを許可します。

• 内部から外部への接続要求（SYN）を記録し、その応答（SYN/ACK）のみを通過させる
• 未知の接続に属するパケット（偽装ACK等）を自動的にブロック
• FTPのデータ接続など、動的に生成されるセッションにも対応可能

現在のほとんどのファイアウォールはステートフルインスペクション機能を搭載しています。

ACL（アクセスコントロールリスト）の基本

ACLはパケットフィルタリングのルールを定義するリストです。一般的に以下の要素で構成されます。

• アクション：許可（permit / allow）または拒否（deny / drop / reject）
• プロトコル：TCP、UDP、ICMP、IP（すべて）など
• 送信元：送信元IPアドレス / ネットワーク / ポート番号
• 宛先：宛先IPアドレス / ネットワーク / ポート番号
• 方向：インバウンド（受信）またはアウトバウンド（送信）

ACLのルールは上から順に評価され、最初にマッチしたルールが適用されます。最後には通常「暗黙のdeny（すべて拒否）」が設定されます。ルールの順序が非常に重要であり、順序を間違えると意図しない通信を許可・遮断してしまう可能性があります。

Linux iptables / nftables

Linuxではiptablesまたはnftablesがパケットフィルタリングの標準ツールです。INPUT（受信）、OUTPUT（送信）、FORWARD（転送）の3つの基本チェーンに対してルールを設定します。nftablesはiptablesの後継として開発され、より統一的な構文とパフォーマンス改善が図られています。

• 01
  デフォルトdenyポリシーの採用：すべての通信をデフォルトで拒否し、必要な通信のみを明示的に許可する「ホワイトリスト方式」を採用する。デフォルトallow（すべて許可）は避ける。
• 02
  ステートフルインスペクションの活用：可能な限りステートフルパケットインスペクションを使用し、偽装パケットや不正な接続を自動的にブロックする。
• 03
  ACLの定期的な見直し：使用されなくなったルールや過度に広範なルールを定期的に確認し、最小権限の原則に基づいてACLを整理する。
• 04
  ログの有効化と監視：パケットの拒否ログを有効にし、不審な通信パターンやルール違反を検知する。特に拒否されたパケットのログは攻撃の兆候を知る重要な情報源となる。
• 05
  アンチスプーフィング対策：内部ネットワークから送信されるパケットの送信元IPアドレスが内部アドレス範囲であること、外部から送信されるパケットの送信元IPアドレスがプライベートアドレスでないことを検証する（Ingress/Egress Filtering）。
• 06
  変更管理プロセスの確立：ACLの変更は承認プロセスを経て行い、変更履歴を記録する。本番適用前にテスト環境で動作確認を行う。