パケットフィルタリング技術

インターネットにパソコンを直接つなげた場合、すぐに不審な通信が来ます。日々、信じられないくらい多くの不正アクセスや攻撃があるのです。

このため、インターネットからの通信は極力防がないといけませんが、これはファイウォールが実現します。

ファイアウォールは、NAPTのテーブルのような情報を保持していて、インターネットからのフレームでも内部からの通信の応答であれば通信を許可しますが、それ以外のインターネットからのフレームはすべて遮断するようにできます。

このように、通信内容を保持して透過するか遮断するかを動的に決める方法を、ステートフルインスペクション(Stateful Packet Inspection:略はSPI)と言います。

通信内容を保持せずに、設定されたフレームのみ許可する方法は、静的パケットフィルタリングと呼ばれています。静的パケットフィルタリングでは、インターネットへの通信を許可していても、応答パケットに対する許可の設定がないと遮断されてしまいます。このため、応答も考えた設定が必要です。

また、ステートフルインスペクションでは通信中のみ情報を保持しているため、通信が終わればインターネットからのフレームは受け付けなくなります。

これに対して、静的パケットフィルタリングでは設定した内容のフレームが常に通過できるため、フレームを偽装してインターネットからいつでも攻撃できる状態になります。

静的パケットフィルタリングは、LANスイッチやルーターに通常組み込まれている機能で、安価に実現できます。このため、ローカルネットワーク間の通信において、簡単にセキュリティを保ちたい時に使われます。