通信を分けて守る

1通してよい通信を決める

ファイアウォールは、設定した規則に従って通信を許可・拒否します。IP（ネットワークを越えて宛先へデータを届けるための通信の約束）アドレスやポート番号などを使い、不要な接続を制限します。全ての攻撃を一台で防ぐ装置ではありません。

DMZ（Demilitarized Zone：非武装地帯）は、外部公開サーバを内部ネットワークから分けて置く区画です。インターネットから公開サーバへの必要な通信を許し、内部への通信を別途制限します。ロードバランサの負荷分散や建物の入室制御とは役割が違います。

2来訪者と未点検端末を分ける

ゲストネットワークは、来訪者にインターネット接続を提供しながら社内の機器への接続を制限する分離です。検疫ネットワークは端末の更新やマルウェア対策の状態などを確認し、不適合な端末を通常の社内ネットワークから隔離します。

SSID（Service Set Identifier：無線ネットワークの識別名）を分けるだけで十分とは限らず、通信できる範囲の設定が必要です。ボタンで無線接続を簡単に設定する機能や、マルウェア検査そのものとは区別します。

WPS（Wi-Fi（無線LANの技術に使われる名称） Protected Setup）はボタン操作などで無線接続設定を簡単にする仕組みです。ネットワークの分離、端末の検疫、接続設定の簡略化は別の機能です。SSIDを空欄にして無条件に接続させる機能がゲストネットワークではありません。

3検知と防御を分ける

IDS（Intrusion Detection System：侵入検知システム）は、不正アクセスや兆候を監視し、検知・通知します。IPS（Intrusion Prevention System：侵入防止システム）は検知に加え遮断などを行います。

WAF（Web Application Firewall：ウェブアプリケーション用ファイアウォール）は、ウェブの要求内容を検査してアプリの弱点を狙う攻撃を検知・防御します。WAFを導入してもアプリの欠陥は修正すべきです。

DNS（ドメイン名とIPアドレスなどの対応を調べる仕組み）の名前解決、NTP（Network Time Protocol）の時刻同期、メール配送は侵入検知とは別の役割です。

4区画、検知、負荷分散

ファイアウォールは通信規則、DMZは公開系を置く区画、WAFはウェブ要求の検査、IDSは侵入の検知・通知という違いがあります。来訪者向けの分離はゲストネットワーク、端末の状態確認と隔離は検疫です。

サーバへの負荷分散はロードバランサ、時刻同期はNTP、名前解決はDNSです。建物の入室管理やボタンによる無線設定を、ファイアウォールやゲスト分離の機能と混同しません。