ウィルスセキュリティZEROのファイアウォール設定(アプリケーション)

質問

パーソナルファイアウォール(アプリケーション)のルールを追加作しようとしていますが、用語の理解に戸惑っております。以下の理解で正しいでしょうか？

a1) 通信方向は、自ホストが送信(起動側)か受信(受動側)かを記述
a2) ローカルIPアドレスとローカルポート番号は、自ホストを記述
a3) リモートIPアドレスとローカルポート番号は、通信相手を記述

戸惑いの発端は、履歴(ログ)ビューアからファイアウォールのネットワーク通信のログ情報で、以下の表記がされています。
b1) 通信方向
b2) 発信元IPと発信元ポート
b3) リモートIPとリモートポート
「b3) リモートIPとリモートポート」は「b3) 宛先IPと宛先ポート」を意味しているのでしょうか？

回答No.6

T-200 · ベストアンサー

Skinny-dadさんはウイルスセキュリティユーザーには珍しい？ユーザーかもしれませんね？

私は初級レベルなのでアプリ毎の通信制御ぐらいしかしませんので、これ位の方が使いやすいのですが、キメ細かな設定と切り替えを求めるのなら役不足感は強くなると予想されます。
ベストな設定を打ち出せた時はぜひ知りたいです。

wamos101さんがいつも仰られているファイアウォールバイパス機能付マルウェアに対しては統合セキュリティ製品の殆どがはあまり役に立たないでしょうが、ウイルスセキュリティの場合２００６版から機能的に変化ないような気がします（WestCoastLubsのテストリザルトには9.7.008が記載されていますが進化あるのかな？）。

お礼

ありがとうございます。

> キメ細かな設定と切り替えを求めるのなら役不足感は強くなると予想されます。

仰せの通りで、当方の知識・能力にも限界を感じており、殆ど諦めのモードです。製品の仕様調査が目的ではないので、Windows 2000環境を廃止するまでの間、デフォルトに近い状態で使おうかと思います。

まず、ファイアウォールですが、ローカルLAN内の閉じた通信とインターネット通信などのように、セグメント別に制御できるのかと思いましたが、過度の期待でした。ルール評価の順序を明示的に設定できるわけでもなく、設定を追加すればするほど、製品仕様が分からなくなってしまいました。最終的には、ローカルセグメント内部のNetBIOS通信を自前で定義しようとしたところで、ギブアップです。

実質２日間程度の使用ですが、ファイアーウォール機能に関して感じたことを記しておきます。次期バージョンへのかすかな期待を込めて。

改善希望1. ネットワークのログに関して、認可／拒否がファイアーウォールのどのルールにより処理されたのか、明示して欲しい。また、通信を要求したプログラムのパスも明示して欲しい。

改善希望2. ネットワークの基本ルールを編集可能にして欲しい。または、ルールの仕様をマニュアルに記載して欲しい。具体的には、「他のパソコンへのアクセス認可」なんて、何のことだか全く意味不明。

改善希望3. 各ルールの順序を入れ替え可能にして欲しい。目的は、余計なルール評価を避ける(負荷軽減)、ルールを見た目でグループ化して保守性を向上、など。

改善希望4. ログの見出しとデータの表示が不適切です。「発信元」と「リモート」の見出し表記は、「発信元」と「発信先」で統一してもらいたい。
例) リモートのホスト(192.168.1.1)からブロードキャスト・アドレス(192.168.1.255)宛てのパケットを受信した場合に、発信元IPとしてブロードキャスト・アドレス(192.168.1.255)、リモートIPとしてリモートのホストIPアドレス(192.168.1.1)が表示される。この場合、発信元IP=リモートIPになってしまいます。

改善希望5. ひとつのルール設定で、範囲指定に加えて、リスト形式での複数ポート指定に対応して欲しい。

改善希望6. ICMPのタイプ指定に対応して欲しい。

回答No.7

s-e-kun

ウイルスセキュリティのファイヤーウォールついてＰＣ初心者ですが参考までに、個人的にウイルスセキュリティーのファイヤーウォールは有る意味では凄いと思いますよ。
多分他社のセキュリティーに関してはきちんとした門番のいる入り口と言えば良いかな？ウイルスセキュリティーに関しては一様門番の入る入り口なんですが通れる通れないは門番の気分しだいって言うか例えて言えば通行証明書を門番に渡しても門番の気分が乗らなければ通してくれないって感じで何でも止めてしまいます。
自分もこれには苦労して今は一台のＰＣにもインストールしてません。
有る意味では凄く強力なファイヤーウォールの様な気がしますがさすがにこれでは本末転倒、何日も悩みましたがとりあえずアンインストールで解決です。（結局個人的な感想では何でも止めてしまう的な感じです）
ウイルスセキュリティーは他社に比べて少しトラブルが多い様に見受けられますが、スキルアップにつながるのでチャレンジは良いと思いますが
ちなみに質問ですが発信元IPと発信元ポートは受信する相手のホストＰＣでどの様なソフト等の通信かは解りませんが リモートIPとリモートポーはアップデートやデーター等を管理している相手方のＰＣのアドレスではないでしょうか？
相手からの通信をやり取りしてるのが発信元IPと発信元ポート（ルーターやゲートウェイを想像してます）実際データー等をやり取りしているのはＩＰやポートはリモートIPとリモートポート（個人的なＰＣ環境に当てはめるとクライアントのＰＣみたいな感じ）
あくまでＰＣ初心者的な意見ですが上記の様な気がしますが当方は本当にＰＣ初心者なのであくまで参考意見です（参考にもならないかもしれませんが）
なので信頼のおける通信なら許可で良いとは思いますがウイルスセキュリティーのファイイヤーウォールの場合許可で通信しても通してくれない事が多々有るので上手く通信出来ているかは当方には解りませんが。

回答No.5

wamos101

#1です。大変失礼　

2kだということを忘れていました。m(_ _)m

TCPViewやTCP Monitor Plusなら2kでもおk。

なお、しつこいようですがFWBというのは正しく設定出来ていてもすり抜けを可能にするものです。

私は自分のテストで十分把握できているからいいのですが、もしこの辺のことを知りたいならPC JAPAN 12月号を見て下さい。主な総合対策ソフトの検証記事が載ってます。

お礼

こちらこそ、深夜までお付き合い下さりありがとうございます。
未だにWin2Kを使い続けているくらいですから、最近のツール類には疎いのが実情で、情報を参考にさせていただいております。ご提示いただいた情報を元に、時間とお金を見繕って学習させていただきます。
ご指摘のFWBですが、ごもっともだと思います。そもそも、偽装サイトやクラッキングされたサイトなどの有害サイトなど、時々刻々と変化する情報に対応するためのコストを簡略化した製品だと認識しています。
売る側の論理を徹底排除して、買う側の論理に固執してみますと、現有資産(Win2K)への投資を最大限に保護してくれる製品。我ながら恥ずかしくなるくらいに誉めすぎカモ？
いずれにいたしましても、自己防衛と他人への被害防止の視点から、セキュリティ対策の啓蒙にお礼申し上げます。

回答No.4

T-200

私は詳しくありませんが、ウイルスセキュリティの場合ですと、不正侵入を防ぐ⇒設定⇒アプリケーションにこれまでの各アプリの通信可否リストが表示されていますよね？

下側の上記以外のプログラムの処理ではその都度メッセージを表示にチェックが入っていれば以降都度メッセージが表示されます。
また履歴を作成にチェックが入っていれば履歴も残るでしょう。
履歴のファイアウォール⇒アプリケーションを開くとアプリケーションの通信履歴が確認可能ですし。

で通常リストに無いプログラムがアクセスしようとする（アップデート等の動作含む）と確認メッセージが表示されて許可・ブロックを選択できます⇒そのプログラムの通信は以降警告を表示する・しないのチェックＢｏｘもありますのでその辺は便利と思います。
※マルウェアに対する性能面はＮｏ．1さんもコメントされていますので私はコメントしませんが、通常アプリの通信に関する許可・ブロックの制御はノートンやバスターより使いやすいと感じます。

お礼

コメントをありがとうございます。
ご記載いただいた設定方法で対応していると認識しています。追加設定事項として、各アプリケーションのルール設定を個別に登録中です。元ねたは、Virus Baster 2007をアンインストール前に書き出した情報です。同等の設定が出来そうな印象を抱いています。実作業は、時間の関係で今週末を予定しています。
なお、蛇足ですが、インターネット設定とローカルLAN設定共に空にしてから、各アプリケーションを登録する予定です。ネットワーク、ブロードキャスト、マルチキャストの扱いをどうしたものか？と疑問が無いわけではないのですが、妥当な設定方法を模索してみます。
※他製品との比較情報ですが、使用環境や慣れによって、評価基準が異なるかと思います。ファイアウォール機能に限定しますが、以下の点でVirus Basterの方が扱い易いと感じています(拙宅では２台のWindows 2000 PCを稼動中)。
- ファイアウォールのプロファイルを複数構成して切り替える
- ファイアウォールのプロファイルを複数PCで共有する(export/import)
- ひとつのルール定義内でtcp/udpのポートを複数設定する
しかしながら、価格面では断然ウィルスセキュリティZEROに軍配。更に2009年以後もWindows 2000 SP4対応。
ということで、私見ばかりダラダラと記載してしまいましたが、お礼まで。

回答No.3

wamos101

#1です。再度失礼します。

ホワイトリスト方式の狙いはわかるのですが、最初に書いたFWBというのは、たとえホワイト式であっても通過を可能にしてしまうものなんです。

これはほとんどのユーザーが許可を与えていると思われるIEやFirefoxなどのブラウザにMalwareの通信を注入するといった手法で行われるものです。

私がテストしていて気づいたのは、IEではブロックできるがFirefoxではすり抜けに成功した対策ソフトもありました。

最近のMalware作者やクラッカーは対策ソフトやルータの使用を織り込み済みだということを理解しておいたほうがいいでしょう。

回答No.2

wamos101

#1です。

今現在の通信の状況を見るならCurrPortsが便利ですよ。

ウイルスセキュリティーのログ表示がどうなってるかは当方は知りません。

お礼

情報をありがとうございます。
今回の目的は、アプリケーション(プログラム)レベルでのパケット・フィルター設定なので、使用は見合わせることにいたしました。
以下のサイトを斜め読みしてみましたが、ホストインターフェイスでパケットをモニターする仕様のようですね。また、制約事項として、Windows 2000環境では、外向けのUDPおよびICMPはキャプチャ出来ない仕様のようです。
http://www.nirsoft.net/utils/smsniff.html#problems

補足

失礼いたします。訂正投稿です。
恥ずかしながら、別製品の情報を「斜め読み」していました。
ご紹介の製品は、使用目的に合っています。週末にでもじっくりと読み直してみます。
http://www.nirsoft.net/utils/cports.html
お詫びまで。

回答No.1

wamos101

こんにちは。

私はクラッカーサイト巡りや対策ソフトの性能テストなどをしております。

>「b3) リモートIPとリモートポート」は「b3) 宛先IPと宛先ポート」を意味しているのでしょうか？

ですね。

ちなみに、このソフトFWB(Firewall Bypass)手法にかなーり弱いので注意。たとえ正しく使ってても。

お礼

履歴(ログ)ビューアに関して、ご回答をいただきありがとうございます。
- 項目の見出し表示が不適切であること
- ログ情報を正しく読み取る
プログラムレベルでのパケット・フィルタリング・ファイアウォールを設定する、という目的は果たせそうです。
試行錯誤しながらになるのでしょうが、今週末に時間を取って、Virus Baster 2007のファイアウォール設定を引き継ぐ予定です。

補足

早速のご回答をありがとうございます。

Windows2000環境ではありますが、「正しく使って」、家計安泰＋家内安全＝家内安心を目指しています。
ということで、Windows 2000を来年以降も使用するために、昨晩ダウンロード購入、本日Virus Baster 2007から乗り換えたばかりです。せめて、ホワイトリスト方式で使いたいので、なんとかしてログからプログラム+通信の情報を収集出来ないものかと模索中です。参考に出来そうなサイトをご存知でしたら、ご教示いただけないでしょうか？