Firewallを導入する意味

質問

初歩的な質問で恐縮です。
ホームオフィスのような環境で個人で仕事を始めた友人にFirewall導入の要否を質問されたのですが、、Firewallを導入する意味がよくわからなくなってきました。

例えば、個人宅でインターネット契約する時にISPから提供されるルータでインターネットをしますが、その状態だけでも外からのアタックは防げますよね？ルータがあれば外(WAN側)から内(LAN側)へアクセスはできないはずなので(外ー内のルーティングを設定しない限り)。

となると、Firewallを導入する理由は、
-内←→外へのアクセスでPort制限する
-DMZ上に置いたWebサーバを外部に公開する
とか、そのような状況のみに必要で上記の友人のような環境では、不要でしょうか？

または、Firewallを導入しないでルータだけだと実はLAN内のPCに不正アクセスされる可能性が高いとか、かなり危険なのでしょうか？

回答No.3

superside0 · ベストアンサー

> ただセグメント分けするとしたら、セグメント分けができる機器が必要なのであって”Firewall”が必要という理由にはならないですよね。

誤解があるようですが、一般的な、FireWall機器は　ルーティング機能を持っています。
これにより、
( インターネット)
　｜
　ISP貸与のルータ
　｜
　(宅内LAN)　→家庭用のPCやタブレットやレコーダ等々
　｜
　FireWall機器
　｜
　(仕事用LAN) →仕事用PCやNAS等々

とルーティングを多段化（セグメント分け）することで、
仕事用LANには、インターネットからも　宅内LANからも侵入を守ることができます。

> 友人には「外部からの不正アクセスを防ぐためにもFirewall入れた方がいいよ」みたいな言い方をしたのですが少し弱いですよね。

外部からの不正アクセスだけなら、ISP貸与のルータで足りるので、たしかに弱いです。
しかし、宅内からの不正アクセスをきちんと防ぎたいなら、ネットワークの分離が必要です。

それに、故意に行うだけが不正アクセスではなく、　
家人や　ゲームをしたくてWiFiを借りた友人か、、マルウェアに感染していたなんてこともあり、
そうすればLAN内の別のPCへも被害が広がります。
過去には、子供がインターネットを使ったP2P系のファイル共通ソフトを使っていて、
有名な○○ウィルスに感染し、
NAS上に置いていたお父さんの大事なファイルを世間にばら撒いたなんてこともありましたし。

お礼

ありがとうございます！
大変よくわかりました。自分でもある程度整理できました。

回答No.2

superside0

ホームオフィスということは　家人が使うPCと　仕事で使うPCが　同一LAN上に混在するでしょうから
・マルウエア/ウィルス感染時の二次被害
・家人が不用意に設置したWiFiアクセスポイントによる外部侵入
・宅内からのファイル漏洩
など、発生する可能性があります。

仕事で使うLANに関しては、宅内からのアクセスをブロックするために、　
FireWallで別セグメントにするというのは、　あっても当然かと。

補足

ありがとうございます。
確かに、ISPのルータではさすがにLAN側に複数セグメントを設定する事はできなそうですね。ただセグメント分けするとしたら、セグメント分けができる機器が必要なのであって”Firewall”が必要という理由にはならないですよね。
友人には「外部からの不正アクセスを防ぐためにもFirewall入れた方がいいよ」みたいな言い方をしたのですが少し弱いですよね。
「それだけならISPのルータでもできるじゃん」と言われたら、確かにそうだね、となりますので。

回答No.1

Viartril-S

ISP からの提供がルーターなのかモデムなのかによりますが、ルーターであってlan がわにプライベートip が割り当てられるなら、外から中への通信は制限されるでしょう。
F/wの利用価値ですが、中から外への不正な通信を防いだりできます。ランサムウエアのようなc&c通信などはispのルーターでは検知すらできませんし、レピュテーションによるアクセスのブロックもf/wの有効な利用です。
Pcにアンチウイルスが入っていれば、これらも要らないのではとよく思われますが、クロスプラットフォームによる検査は企業では普通にやっています。
この辺の気になる話は、「アンチウイルスは死んだ」でグーグル検索すると、シマンテックの記事がありますので、読んでみたらいかがでしょうか。

補足

ありがとうございます。
F/Wは外から内への不正アクセスを防止するもの(むしろ、F/Wじゃないと外からのアクセスをブロックできない！)というイメージでしたが、簡易的でよければそれはルータでもできますし、むしろ中から外への不正な通信の防止こそがF/Wの本質という所でしょうか。

多層防御は確かに企業では多いと思いますが、今回の場合個人のため、本人がエンドポイント部分だけのチェックでいいよ、という事であればF/Wの導入を強くおすすめする理由はない気がしてきました。