ファイアーウォールは具体的にはどんなことしてるの？

質問

おはようございます。

最近、企業とかも防衛でファイアーウォールとか気をつけていると思います。

インターネット経由で害になるようなものを防ぐ仕組みだと思うのですが、具体的に何をやってるのかわかりません・・・。

インターネットの使い始めはファイアーウォールはなかったような気がするし、これって具体的にどんなことをして、何を防いでいるのですか？

ご存知の方いらっしゃいましたら教えてください！！

回答No.5

notnot · ベストアンサー

＞そのＰＣから外側にデータが出られるけど、外側からデータは入れないということでしょうか。でも、そうするとホームページも見れないし、ダウンロードもできない気がするんです。

「我が家の８２９１番出入口から、山田さんちの８０番出入り口に、データを投げた」ということを覚えているので、その後しばらくの間(数十秒)は、「山田さんちの８0番出入り口から我が家の８２９１番出入り口へのデータは受け取っても良い」という状態になります。（番号は一例です）

山田さんちはお店屋さん（サーバー）で、「うちに用があるときは８０番出入り口を使ってね」と宣伝していて、ファイアーウォールでもその入り口は開けてます。

お店屋さんで無い一般家庭(でも出入り口は数万個あるけど)は、上に書いたような一時的に相手限定で開けている出入り口以外は常に閉じています。

高機能のファイアーウォールはよくある攻撃パターンを知っていて、攻撃を検知すると、そこからの通信を一切遮断したり、管理者に通知したりします。

お礼

ありがとうございます。

なんだかすごく不思議な仕組みですね。

じゃあ、ホームページを見るっていうことは

(1)山田さんちの「８０番出入り口を使ってね」っていう宣伝を始めに見て、

(2)「我が家（自分のＰＣ）の８２９１番出口から、山田さんち（ホームページのデータがあるサーバ）の８０番出入り口に」まずデータを投げる。

(3)そうすると少しの間、山田さんちから我が家に送られてきたデータが、ちゃんと我が家の８２９１番出口を通れて家（ＰＣ）に入ってくる。

(4)それをブラウザが解読してホームページが見れる。

という順番ですよね。

そうすると、そもそも(1)番で「８０番を使ってねっていう宣伝」が自宅（ＰＣ）に外側（ネットワーク）から入ってこれないはずなのに入ってきちゃってる、と矛盾してしまいます(T_T)

>お店屋さんで無い一般家庭(でも出入り口は数万個あるけど)は、上に書いたような一時的に相手限定で開けている出入り口以外は常に閉じています。

相手限定で開けている出入り口、たとえば、我が家の８２９１番出口のことですか！！

その我が家の出口はおそらく、ＰＣの操作者である私たちがそこを開けろと命令してるのですね。私なんかはＰＣ操作していても自分で分かってないけど(>_<)

なんとなくネットワークの仕組みがわかってきたのですが、もしかして、攻撃というかハッキングというかは、この出口を通して何かしかけてくるのですか？　この出口が唯一のネットワークとの交通の場というか。

じゃあ、きっと敵は、我が家の相手限定で開けている出入り口を狙ってきて、本当は特定の相手、ここなら田中さんちの８０番出入り口のデータしか通れないのに、田中さんちの８０番のふりをしてデータを送ってくるとかするのかも。勝手な想像です（笑）

あ～！！　もしかして、変なウイルスとかの類は感染すると勝手に我が家の相手限定の出入り口を開けちゃったりするのではないですか？？？

そうするとアンチウイルスソフトは出入り口をあけちゃうウイルスを倒して、ファイアーウォールは・・・、もしかして、「この出入り口開けられましたよ」って知らせてくる感じでしょうか。

すごく長文になってしまいました。すみません。

回答No.8

jjon-com

HTTPという通信は，
「私が相手にデータを送信する，そして切断」
「相手が私にデータを送信する，そして切断」
と，相互に独立したブツ切りのデータをただ投げ合っているのではなく，

「私が相手にデータを送信する，それに対する相手から私への返信が戻ってくる，そして切断」
のようにコネクション状態が続くのです。

ですから，

(a) 先に，我が家の内部にいる私が外部の山田サーバへと電話をかけ，その結果，外部から我が家へと戻ってくる通信

(b) 先に，外部から我が家へと電話をかけてくる通信

の両者は，どちらも外部→内部への通信ですけれど，扱いが違うのです。

(a)をアウトバウンドな通信（最初に，内部から外部に出て行こうとする通信），
(b)をインバウンドな通信（最初に，外部から内部へ入ってこようとする通信），
と呼び，
ファイアウォールのもっとも基本的な機能は (a)は許可するけれど (b)は禁止することになります。

----------------------------------------
すでに，ANo.6で notnot さんから解説されていますが，

> 山田さんちの「８０番出入り口を使ってね」っていう宣伝

とは端的に，

http://yamada-san-chi.com/

というURL文字列のことです。（HTTPの既定のポート番号が80番なので）

その文字列を知ることになった経緯って，
(b)のインバウンドな通信で，無断で強制的に我が家のPCに入り込んできたわけではないですよね。

・雑誌広告で見た，テレビCMで見た，というインターネット以外の媒体経由だったり，
・私自身が主体的にYahoo/Google検索というアウトバウンドな通信をおこなった結果であったり，

するわけです。

----------------------------------------
> あ～！！　もしかして、変なウイルスとかの類は
> 感染すると勝手に我が家の相手限定の出入り口を
> 開けちゃったりするのではないですか？？？

はい，そのとおりです。

勘違いで怪しいWebサイトを開いてしまった，安易にクリックしてしまった，よくワカラナイので変なソフトウェアをインストールしてしまった。
それらが本人の意図していない行為であろうとも「本人自身が主体的に」おこなった行為であることは否定できません。

そのような方法で我が家のPCに仕掛けられた悪意あるソフトウェアは，アウトバウンドな通信を用いて我が家のPCへの侵入口を外部に曝します。
逆に言うと，インバウンドな方法で無断で強制的に我が家のPCに侵入するのはそれくらいきわめて難しいということになります。

お礼

ありがとうございます。

HTTPという通信が、相手にデータを送信して返信が戻ってきたら切断するというようなコネクション状態が続くプロトコル？なのですね。

それから、

「(a) 先に，我が家の内部にいる私が外部の山田サーバへと電話をかけ，その結果，外部から我が家へと戻ってくる通信」

がアウトバウンドな通信、

「(b) 先に，外部から我が家へと電話をかけてくる通信」

がインバウンドな通信

そして、ファイアウォールがアウトバウンドは許可するけれどインバウンドを禁止するとのこと、理解できました。

「山田さんちの「８０番出入り口を使ってね」っていう宣伝」が

http://yamada-san-chi.com/

というURL文字列のことを示しているのもわかりました。８０番というのはポート番号なのですね。ポート番号というのが家の出入り口の番号ですか。

ウイルスがやっていることはアウトバウンドな通信をすることなのですね！！

インバウンドな方法が難しいということもびっくりしました。

回答No.7

Gotthold

> じゃあ、きっと敵は、我が家の相手限定で開けている出入り口を狙ってきて、本当は特定の相手、
> ここなら田中さんちの８０番出入り口のデータしか通れないのに、
> 田中さんちの８０番のふりをしてデータを送ってくるとかするのかも。勝手な想像です（笑）
それも心配するべきことですが、
・そもそも田中さんが悪人である。
・田中さんの家が誰かに乗っ取られた。
ということもあり得ます。（というかこっちの方が良くある思う。）

ファイアウォールは通信相手や種類を限定することで安全性を高めますが、
利用者の意図通りの正当な通信を通す必要がある以上は
そこからやってくるデータは通してしまいます。
なので、ファイアウォールとは別の仕組み（ウィルス対策など）も併用します。

お礼

ありがとうございます。

なんだか面白いことをおっしゃってますね(^_^;

我が家と田中さんちの８０番出入り口とやりとりしていて、田中さんがそもそも悪人だった？？

どういうことですか～（汗）

というか、田中さんの家が誰かに乗っ取られたって・・・。

じゃあ、田中さんの８０番出入り口とやりとりしていると思っていても実はその家には田中さんがいなくて悪人がいたって感じでしょうか。

ちなみにファイアーウォールが通信相手や種類を限定することで安全性を高めるということについてはいままでのやりとりでだいぶわかってきました(^^)

回答No.6

notnot

No5です。

＞そうすると、そもそも(1)番で「８０番を使ってねっていう宣伝」が自宅（ＰＣ）に外側（ネットワーク）から入ってこれないはずなのに入ってきちゃってる、と矛盾してしまいます(T_T)

その宣伝は、最初はネットから来るんじゃ無いです。ブラウザに、http://山田さんち:80 と打ち込むことでデータを飛ばします。
手で打ち込むんじゃ無くて、グーグル屋さんに聞いた結果のブラウザ表示をクリックするのかもしれないけど。ブラウザ表示のリンクをクリックというのは、人間の代わりにブラウザがそこの文字を読み取ってブラウザのアドレスバーに人間に変わって打ち込んでくれているだけで、原理は人間が紙に書かれたＵＲＬを見ながら打ち込むのと同じ。

ブラウザの検索窓に打ち込むと、グーグル屋さんに聞きに行くというのはブラウザが最初から知ってます。

＞じゃあ、きっと敵は、我が家の相手限定で開けている出入り口を狙ってきて、本当は特定の相手、ここなら田中さんちの８０番出入り口のデータしか通れないのに、田中さんちの８０番のふりをしてデータを送ってくるとかするのかも。勝手な想像です（笑）

あまり一般的な攻撃じゃ無いですが、ＩＰアドレス偽装という攻撃もありますが、それです。

＞あ～！！　もしかして、変なウイルスとかの類は感染すると勝手に我が家の相手限定
の出入り口を開けちゃったりするのではないですか？？？

そういうウイルスもあるでしょうが、一般的には自分で外のサイトにアクセスします。

お礼

続けてありがとうございます。

「８０番を使ってねっていう宣伝」はネットから来るわけじゃないのですね（汗）

自宅側からブラウザに「http://山田さんち:80」と打ち込んでしまうわけですか！！

グーグル屋さんに聞いたとしても（ぐぐっても）、検索結果画面のどこかのリンクをクリックすれば、ブラウザに「http://斉藤さんち：８０」と打ち込んでいるのと同じなのですね。

ブラウザは最初に山田さんちも斉藤さんちも８０番出入り口も知っていて、データをＰＣからネットへ送るのですね！！

＞＞じゃあ、きっと敵は、我が家の相手限定で開けている出入り口を狙ってきて、本当は特定の相手、ここなら田中さんちの８０番出入り口のデータしか通れないのに、田中さんちの８０番のふりをしてデータを送ってくるとかするのかも。勝手な想像です（笑）

＞あまり一般的な攻撃じゃ無いですが、ＩＰアドレス偽装という攻撃もありますが、それです。

これは実際にあるのですか。それがＩＰアドレス偽装攻撃なのですね。

＞＞あ～！！　もしかして、変なウイルスとかの類は感染すると勝手に我が家の相手限定
の出入り口を開けちゃったりするのではないですか？？？

＞そういうウイルスもあるでしょうが、一般的には自分で外のサイトにアクセスします。

というと、勝手に我が家の１番ドアを開けちゃって、勝手に佐藤さんの２番のドアへアクセスみたいな感じですね。わかりやすいです。

回答No.4

i-q

専門家じゃありませんが、
ファイアーウォール自身も進化？してます。
昔はポートを管理したり、pingを無視してネット上で無反応を装ったりしているだけでしたが、
今はルータにも実装されています。。

アプリの管理も重要な機能かと、
ネット閲覧中ブラウザがアクセスするのは当然ですが、
それ以外のアプリが勝手に通信しようとした時警告してくれたり、
怪しいフリーウェアでネットで通信しようとした時、警告を発するなど・・
ネットに接続するアプリの監視も重要な機能だと思ってます。。

他にも日々進化しているようです。

お礼

ありがとうございます。

ポートとかpingってのは名前は聞いたことあります。ポートはたぶん英語で港？みたいなものでたぶんＰＣと外部のデータのやりとりをするところっぽいです。pingは「pingを打つ？」とかって言葉で聞いたことがあります。pingってなんだかよくわかりませんけど(^^;

ネットワークにつながってるＰＣがそのＰＣに入っているアプリがネットにつながろうとすると警告がでるの私のパソコンにも前ありました！！

あれ？？　とすると、No1さんがおっしゃっていたＰＣの中から外へ行く人を監視しているのですね。

外から中へ入ってくる人を監視するほうが大切な気がして仕方がないのですが。だって、ＰＣにネットワークをとおして進入してくるんですよね・・・。

補足

だめです、ポートわからないです。ポートていうハードウェアが存在するんでしょうか。いわゆる、部品として。それともソフトウェア的ななにかなんでしょうか・・・。

回答No.3

superside0

> そのＰＣから外側にデータが出られるけど、外側からデータは入れないということでしょうか。でも、そうするとホームページも見れないし、ダウンロードもできない気がするんです。

おっと。鋭いですね。
出口から出た人だけは、外から荷物をもって帰ってこれるようになってます。

お礼

ありがとうございます。

鋭いですか？　ちょっと鼻が高くなりました(^o^)

出口から出た人だけは外から荷物をもって帰れる？　う～ん、まるでなぞなぞをやっているようです（汗）

じゃあ、ホームページを見るっていうことは「ホームページのデータが荷物」だとすれば、その荷物をパソコンにもって帰ってる状態なわけだから、誰かがその荷物をもって帰ってくる前にＰＣからネットワーク上に出たんですね。だれだろう・・・。誰が荷物をとりにＰＣから外へ出たんだろう・・・。

回答No.2

jilo0810

簡単に端的に述べると、自分のパソコンにウィルスなどが入ってこないように防いでいる壁です。

補足

どうして入って来ないのでしょうか。ネット自体はできるのに、それが不思議で・・・。

回答No.1

superside0

ものすごく大ざっぱにいうと、遊園地の出口のゲートですね。
出られるけど、外から中には入れない。
さららに誰でも出られる訳でなく　迷子が出ていくと危険なので係員が見張っている。

詳しくは、
http://ja.wikipedia.org/wiki/%E3%83%95%E3%82%A1%E3%82%A4%E3%82%A2%E3%83%BC%E3%82%A6%E3%82%A9%E3%83%BC%E3%83%AB
で。

お礼

ありがとうございます。

使っているＰＣがインターネットにつながっている状態だとします。

そのＰＣから外側にデータが出られるけど、外側からデータは入れないということでしょうか。でも、そうするとホームページも見れないし、ダウンロードもできない気がするんです。

＞迷子が出て行くと危険なので係員が見張っている

そのＰＣが外側にデータが出るときにそれが迷子の子どもだったら外側に出さないという感じですね。

ちなみに参照のページ、ウィキペディア見ましたが専門的すぎて意味不明でした（汗）

技術者の方々って・・・。別世界な感じです。