U
「ファイアウォール・VPN・DMZ・IDS/IPS……名前は聞いたことがあるけど、何が違うの？」経営情報システムのネットワークセキュリティ論点を一気に整理します。
ネットワークセキュリティとは——なぜ必要なのか
ネットワークセキュリティとは、企業・組織のネットワークを外部の不正アクセス・攻撃・情報漏洩から守るための技術・仕組みの総称です。インターネットに接続している限り、あらゆる組織がサイバー攻撃のリスクにさらされています。
診断士試験では「ファイアウォールの種類」「VPNの方式」「IDS vs IPS」「マルウェアの種類」「サイバー攻撃の手法」が繰り返し問われます。各技術の「何ができて、何ができないか」を整理することが合格への近道です。
ファイアウォール——3種類の違いを押さえる
ファイアウォール（FW）は、ネットワークの境界に置かれ、通信を監視・制御することで不正な通信をブロックするセキュリティ機器（またはソフトウェア）です。外部（インターネット）と内部（社内ネットワーク）の「門番」として機能します。
| 種類 | 動作の仕組み | 特徴・注意点 |
|---|---|---|
| パケットフィルタリング型 | IPアドレス・ポート番号を見てパケット単位で許可/拒否を判断 | 処理が高速・シンプル。しかしアプリ層の攻撃（不正なコンテンツ等）には対応できない |
| ステートフルインスペクション型 | 通信の文脈（セッション状態）を追跡して判断 | パケットフィルタリングより高度。正規セッションに紛れた攻撃を検知しやすい |
| アプリケーション型（プロキシ型） | アプリケーション層（HTTP・FTPなど）の内容を解析して判断 | 最も高度。URLフィルタリングやウイルススキャンが可能。処理負荷が大きい |
| WAF（Webアプリケーションファイアウォール） | Webアプリへの通信を解析し、SQLインジェクション等を検知・遮断 | Webアプリ専用。通常のFWでは検知できないアプリ攻撃に対応 |
ファイアウォールは許可されたポートを通過する通信の内容まで検査できない（パケットフィルタリング型の場合）。たとえばHTTP（80番ポート）を許可している場合、そのHTTP通信に含まれるマルウェアや不正コマンドはパケットフィルタリング型では検知できません。これがWAFや次世代ファイアウォール（NGFW）が必要な理由です。
DMZ（非武装地帯）——ネットワークの3層構造
DMZ（DeMilitarized Zone、非武装地帯）とは、外部ネットワーク（インターネット）と内部ネットワーク（社内LAN）の中間に設けられた「緩衝地帯」です。Webサーバー・メールサーバー・DNSサーバーなど、外部からアクセスが必要なサーバーをDMZに置くことで、内部ネットワークへの直接侵入を防ぎます。
典型的な構成：
インターネット → 外部FW → DMZ（Webサーバー・メールサーバー） → 内部FW → 内部LAN（社内PC・DBサーバー）
- 外部から直接アクセスが来てもDMZで止まり、内部LAN（機密情報）には届かない
- 万一DMZのサーバーが侵害されても、内部FWが内部LANを守る
- 内部のDBサーバーはDMZのWebサーバーとだけ通信（外部から直接は届かない）
DMZは「侵入されることを前提とした設計」です。外部向けサービスを提供しながら、被害を限定する「多層防御」の考え方が基本にあります。
VPN（仮想専用線）——2つの方式の比較
VPN（Virtual Private Network、仮想専用線）とは、インターネット（公衆回線）上に暗号化された「仮想的な専用回線」を構築する技術です。拠点間の安全な通信（サイト間VPN）やリモートワーカーの社内アクセス（リモートアクセスVPN）に使われます。
| 方式 | 動作レイヤー | 用途・特徴 |
|---|---|---|
| IPsec-VPN | ネットワーク層（L3） | 拠点間VPN（本社-支社間）に多く使用。すべてのIPパケットを暗号化。クライアントにVPNソフトが必要 |
| SSL-VPN | アプリケーション層（L7） | Webブラウザから接続できるリモートアクセスVPN。専用ソフト不要（Webブラウザ対応）。テレワークに最適 |
| L2TP/IPsec | データリンク層（L2）＋L3 | L2TPのトンネルをIPsecで暗号化。モバイル端末でよく使用 |
IPsec-VPN：ネットワーク層で全通信を暗号化。拠点間接続に強い。専用クライアントが必要
SSL-VPN：HTTPS（443番）を使用。ブラウザだけで接続可能。ファイアウォール越えがしやすい
テレワーク・リモートアクセスにはSSL-VPNが適している、という出題がよくあります。
IDS・IPS——検知と防止の違い
IDS（Intrusion Detection System、侵入検知システム）とIPS（Intrusion Prevention System、侵入防止システム）は、どちらも不正な通信・攻撃を検知する仕組みですが、「検知して通知するだけ（IDS）」か「検知して自動でブロックする（IPS）」かが決定的な違いです。
| 項目 | IDS（侵入検知） | IPS（侵入防止） |
|---|---|---|
| 主な機能 | 不正な通信・攻撃パターンを検知してアラートを上げる | 検知と同時に自動でパケットをブロック・遮断 |
| 設置方法 | ネットワークに「並列接続」（通信をコピーして分析） | ネットワークに「直列接続」（通信を通過させながら分析） |
| 誤検知時の影響 | 誤検知しても通信は止まらない（アラートが上がるだけ） | 誤検知すると正常な通信もブロックしてしまうリスク |
| 対応速度 | 人間が確認してから対応（リアルタイム性に劣る） | 自動でリアルタイムブロック（速い） |
- シグネチャ（パターン）型：既知の攻撃パターン（シグネチャ）との一致で検知。既知攻撃には強いが未知攻撃に弱い
- アノマリ（異常）型：通常の通信パターンと異なるものを異常として検知。未知攻撃にも対応できるが誤検知が多い
マルウェアの種類——7種類を整理
| 種類 | 特徴 | 感染経路 |
|---|---|---|
| ウイルス | 他のファイル（宿主）に寄生して自己複製。宿主なしでは動作しない | メール添付・USBメモリ・ファイル共有 |
| ワーム | 宿主なしで自律的に自己複製・感染拡大。ネットワーク経由で高速拡散 | ネットワーク脆弱性・メール |
| トロイの木馬 | 正常なソフトに見せかけて侵入し、裏で悪意ある動作（情報窃取・バックドア設置） | 不正ダウンロード・偽ソフト |
| ランサムウェア | ファイルを暗号化して身代金を要求。近年最も被害が多い | フィッシングメール・RDP脆弱性 |
| スパイウェア | ユーザーの行動・個人情報を密かに収集して外部送信 | フリーソフトにバンドル・不正サイト |
| アドウェア | 意図しない広告を表示。スパイウェアと組み合わせることも | フリーソフト・Webサイト |
| ボット（ボットネット） | 遠隔操作で命令に従い、DDoS攻撃・スパム送信等に利用される | ウイルス・ワーム感染後にインストール |
ウイルス：宿主（他のファイル）が必要。宿主に寄生して感染する
ワーム：宿主不要で自律的に複製・拡散。ネットワークを通じて高速拡散する
「ランサムウェアはランダムにファイルを消す」→ ×（ファイルを暗号化して身代金を要求する）
サイバー攻撃の手法——主な攻撃を整理
| 攻撃手法 | 内容 | 対策 |
|---|---|---|
| フィッシング | 本物そっくりの偽サイト・偽メールでID/パスワード・クレカ情報を詐取 | URLの確認・多要素認証・フィルタリング |
| スピアフィッシング | 特定の個人・組織を標的に絞ったフィッシング。信頼性が高く騙されやすい | セキュリティ教育・メールフィルタリング |
| DoS攻撃 | 1台のPC等から大量リクエストを送りサービスを停止させる | レートリミット・帯域制限・FW設定 |
| DDoS攻撃 | ボットネット（複数のゾンビPC）から一斉に攻撃。規模が大きく対策が困難 | DDoS対策サービス（Cloudflare等）・ISP連携 |
| SQLインジェクション | Webフォームに悪意あるSQL文を入力してDBを不正操作・情報漏洩 | WAF・プリペアドステートメント・入力検証 |
| XSS（クロスサイトスクリプティング） | Webページに悪意あるスクリプトを埋め込み、閲覧者のブラウザで実行させる | WAF・エスケープ処理・CSP設定 |
| 中間者攻撃（MITM） | 通信の途中に割り込んでデータを盗聴・改ざん | HTTPS/TLS暗号化・証明書検証 |
| ゼロデイ攻撃 | パッチ未公開の脆弱性（ゼロデイ）を狙った攻撃。対策が間に合わない | 仮想パッチ（IPS）・セグメント分離・最小権限 |
暗号化とPKI——VPNと証明書の基礎
| 方式 | 仕組み | 特徴 | 主な用途 |
|---|---|---|---|
| 共通鍵暗号 | 暗号化と復号に同じ鍵を使用 | 処理が高速。鍵の配送が課題（どうやって安全に渡すか） | ファイル暗号化・VPN通信の本体部分 |
| 公開鍵暗号 | 公開鍵で暗号化→秘密鍵で復号（鍵ペア使用） | 鍵配送問題なし。処理が遅い | デジタル署名・鍵交換・HTTPS |
| ハイブリッド方式 | 公開鍵で共通鍵を安全に交換→共通鍵で本通信 | 速度と安全性を両立 | TLS/SSL・HTTPS・VPN |
試験対策まとめ——頻出論点の整理
| 論点 | キーポイント |
|---|---|
| ファイアウォールの種類 | パケットフィルタリング（速いが内容検査なし）→ステートフル→アプリ型（遅いが高精度）→WAF（Web専用） |
| DMZの役割 | 外部向けサーバーを中間ゾーンに置き、内部LANへの直接侵入を防ぐ多層防御 |
| IPsec vs SSL-VPN | IPsec：ネットワーク層・拠点間。SSL-VPN：アプリ層・ブラウザ対応・テレワーク向き |
| IDS vs IPS | IDS＝検知してアラート（並列接続）、IPS＝検知してブロック（直列接続） |
| ウイルス vs ワーム | ウイルス＝宿主必要、ワーム＝宿主不要で自律複製・拡散 |
| SQLインジェクション対策 | WAF・プリペアドステートメント・入力バリデーション |
「IPSはネットワークに並列に接続する」→ ×（並列はIDS。IPSは直列接続）
「ファイアウォールはSQLインジェクションを防げる」→ △（通常のFWでは防げない。WAFが必要）
「SSL-VPNはSSL証明書がなくても使える」→ ×（HTTPS/TLSを使うため証明書が必要）
よくある質問（FAQ）
ネットワークセキュリティは「各技術が何を守り、何には対応できないか」という限界の理解が試験では問われます。ファイアウォールで防げないものをWAFやIPSで補う、という多層防御の考え方を軸に各技術を整理すると、暗記だけでなく「なぜその技術が必要か」が見えてきます。
