視点

ファイアウォールの統合

次のファイアウォール更新は、中堅組織にとってネットワークセキュリティを簡素化する最大の機会です。一度の正しい選択で、長期にわたって価値を得る方法を解説します。

初めての方は、まずやさしい解説版をご覧ください。

1. なぜ今、ファイアウォールの選択が重要なのか

多くの中堅組織では、ファイアウォールは何年も前に選定され、毎年同じ条件で更新され、それ以外はほとんど手が入っていません。現在、三つの変化が見直しを迫っています。

• 機器のサポート終了。 5年以上前に導入された多くのファイアウォールが、メーカーのサポート終了を迎えつつある、またはすでに迎えています。サポートが終了したファイアウォールにはセキュリティ修正が提供されず、監査人や規制当局に対して説明することが困難です。
• ネットワークの変化。 社員は自宅や外出先で働き、アプリケーションはクラウドやSaaSで稼働し、拠点は専用線ではなくインターネット経由で接続しています。データセンターの入口にあるファイアウォールが守れる重要な通信の割合は、年々小さくなっています。
• 通信の大半が暗号化。 暗号化された通信の検査には、従来のファイアウォールが想定していたよりはるかに大きな処理能力が必要です。多くの組織がネットワークの速度を保つために検査を無効にしており、費用を払っている防御の大部分を失っています。

いずれも、ファイアウォールを交換または再設定する理由になります。三つが重なれば、ネットワークセキュリティ全体を見直す理由になります。

2. 中堅組織が過剰に支出する理由

中堅組織のネットワークセキュリティ支出は、製品ごと、拠点ごとに少しずつ増えていきます。無駄の発生には決まったパターンがあります。

• 課題ごとに別の製品。 ファイアウォールはA社、拠点ルーターはB社、リモートアクセスはC社、さらにWebフィルタリング、スイッチ、無線LANも別々の会社。それぞれに管理画面、契約、更新日、専門担当者が必要です。
• 機能を追加購入。 侵入防御、Webフィルタリング、マルウェアのサンドボックス、アプリケーション制御が個別にライセンスされ、拠点ごとに条件が異なります。
• 機器のサイズが合っていない。 ピーク負荷に合わせて大きな機器を購入して使い切れていない、あるいは小さな機器を購入して検査を無効にしたまま運用しています。
• 見直しのない更新。 サポートとライセンスが毎年同じ条件で更新され、実際に有効化され使われている機能は確認されていません。
• 増える一方のルールベース。 プロジェクトのたびにルールが追加され、削除されることはほとんどありません。数年後には半数のルールの目的を誰も説明できず、変更に時間がかかり、監査で指摘を受けます。
• ファイアウォールログを正規料金でSIEMへ送信。 ファイアウォールやネットワーク通信のログは、量の面で最大級のログソースですが、単独で検知につながることはまれです。そのすべてにSIEMの取り込み料金を払うことは、セキュリティ支出の無駄として最もよく見られるものの一つです。

3. 統合という選択

統合とは、複数の個別製品を一つのプラットフォームに置き換えることです。そのプラットフォームが、ファイアウォール、拠点ネットワーク（SD-WAN）、安全なリモートアクセス、スイッチと無線アクセスポイントの管理を、一つのオペレーティングシステムと一つの管理画面で提供します。

• ポリシーは一度書くだけ。 本社、すべての拠点、クラウド環境、リモートユーザーに同じセキュリティポリシーが適用されます。
• 契約が減る。 取引先は一社となり、管理・交渉すべき更新日も減ります。
• 必要な専門スキルが減る。 少人数のチームでも一つのプラットフォームなら十分に運用できます。五つを十分に運用することはできません。
• 証跡が一か所にまとまる。 監査人や規制当局から求められたとき、全拠点の設定、変更履歴、セキュリティイベントが一つのシステムにあります。
• 拠点ごとの機器が減る。 拠点では、ルーター、ファイアウォール、リモートアクセス装置を一台に置き換えられます。

目指すのは機器一台あたりの最安値ではありません。機器の耐用期間を通じて、環境全体を安全に保ち、サポートを受け、それを証明できる状態にするためのコストを最小にすることです。

4. プラットフォーム選定の基準

すべてのプラットフォームが実際に統合を実現できるわけではありません。買収した製品群を一つのブランドで販売しているだけで、内部では管理画面もオペレーティングシステムも別々というものもあります。各候補を以下の基準で評価してください。

すべての基準を満たすプラットフォームは多くありません。自社の環境で何が最も重要かによって重み付けし、候補製品は検査を有効にした状態で自社の実際の通信を使って試験してください。

5. 適している組織

統合の効果が最も大きいのは、人材が限られ、拠点が多い組織です。

• 数拠点から数百拠点を持つ組織。 小売、物流、保険、医療、製造など、拠点を中心に事業を展開する業種。
• 少人数のネットワーク・セキュリティチーム。 五つの製品をそれぞれ専門的に扱う余裕がない組織。
• グローバル企業の地域拠点。 現地のインフラを現地で管理する必要がある組織。
• 規制対象の組織。 サポートが有効で、パッチが適用され、一貫して設定されたネットワーク制御を示す必要がある組織。

領域ごとに専任チームを持つ非常に大規模な企業は、用途ごとに別の製品を選ぶこともあります。しかし多くの中堅組織にとって、その方式は得られる効果よりもコストのほうが大きくなります。

6. 更新を投資回収の機会にする

最も安価な統合は、すでに予定されている支出に合わせて行うものです。

• すべての更新日とサポート終了日を一覧にする。 全拠点のすべてのネットワークセキュリティ製品について作成します。この一覧が多くの場合、そのまま事業計画の根拠になります。
• 前倒しせず、耐用期間の終了時または契約更新時に交換する。 個別製品は、契約が終わるたびにプラットフォームへ移行します。
• 移行時に整理する。 現在も使われているルールだけを移行します。移行は、旧環境にリスクを与えずにルールベースを作り直せる唯一の機会です。
• 検査を有効にした状態で、実測の通信量からサイズを決める。 カタログ値ではなく、各拠点に必要な性能を購入します。
• 拠点ごとではなく、組織全体で購入する。 価格、サポート、ライセンス条件は、組織全体として一度に交渉したほうが有利です。

7. ファイアウォールログとSIEMのコスト

ファイアウォールのログは調査に欠かせません。一方で、量が多く検知への貢献は小さく、多くのSIEMは取り込み量に応じて課金されます。

より良い方法は次のとおりです。

• SIEMにはセキュリティイベントを送る：遮断した脅威、侵入アラート、マルウェア検知、管理者による変更、ポリシー違反。
• 通信ログの全量は、調査時に検索できる低コストのストレージに保管する。
• 繰り返し発生するイベントは、拠点から送る前に選別・集約する。

これはフェデレーテッドSOCと同じ考え方です。データはその場所で分析し、重要なものだけを送ります。ログをこのように設定できるプラットフォームを選んでください。

すでに最新のファイアウォール環境を運用している組織は、何も交換せずにこの削減を実現できることが少なくありません。ログコストの見直しによって、現在どれだけのファイアウォールデータがSIEMに届き、いくらかかり、そのうちどれだけが検知に役立っているかが分かります。

8. 自社運用か、マネージドサービスか

マネージドサービスが最も効果を発揮するのは、事業者が同じプラットフォームを多くの顧客向けに運用している場合です。エンジニアがそのプラットフォームを深く理解しており、設定は検証済みの標準に沿っており、ファイアウォールのイベントをそのまま事業者のセキュリティ監視に取り込めます。

9. 既存環境の最適化

現在のファイアウォール環境がサポート期間内で、目的に合っている場合は、交換ではなく最適化が適切です。

• ルールベースの見直し： 使われていないルール、重複したルール、他のルールに隠れて機能していないルール、許可範囲が広すぎるルールを削除します。
• ライセンスの見直し： 費用を払っている機能と、実際に有効化され使われている機能を比較します。
• ファームウェアの最新化： すべての機器が、既知の脆弱性を修正したサポート対象バージョンで稼働していることを確認します。
• 検査設定の確認： 暗号化通信の検査と侵入防御が必要な箇所で有効になっており、ハードウェアがその負荷に耐えられることを確認します。
• ログの見直し： SIEMに何が送られ、いくらかかり、何を検知しているかを測定します。
• 堅牢化の確認： 設定を、広く認められたセキュリティ基準と比較します。

同じ見直しで、サポート終了が近い機器も分かります。それが第6章の出発点になります。

10. 実践的なロードマップ

1. 棚卸し（1～4週目）。 拠点ごとに、すべてのネットワークセキュリティ機器、ライセンス、契約、更新日、サポート終了日を一覧にします。
2. 評価（2～6週目）。 ルールベース、ライセンスの利用状況、ファームウェア、検査設定、ログ量を評価します。
3. 決定（6～10週目）。 第4章の基準でプラットフォームを評価し、第8章から運用方式を選び、更新カレンダーをもとに事業計画を作成します。
4. 一拠点で試験導入（3～4か月目）。 代表的な拠点に、検査を有効にした状態で導入します。性能、利用者への影響、ログ量を測定します。
5. 拠点ごとに展開（4～18か月目）。 サポート終了日、リスク、更新時期の順に拠点を移行します。
6. 継続的に最適化。 四半期ごとに、ルール、ライセンス、ログの振り分けを見直します。

11. 成果の測り方

12. よくある質問

すべてを一度に交換する必要がありますか？

いいえ。多くの組織は、サポート終了日と更新日に合わせて拠点ごとに移行します。最初の拠点から、プラットフォームは一元管理されます。

一つのプラットフォームに依存することになりませんか？

トレードオフはあります。重要拠点の冗長化、標準化された設定、オープンなログ形式、適切な契約条件によってリスクを下げられます。一方、五つのプラットフォームを運用することにも、五つ分のギャップ、スキル、パッチ管理というリスクがあります。

暗号化通信を検査すると、ネットワークが遅くなりませんか？

検査を想定していないハードウェアでは遅くなることがあります。すべての機器を検査を有効にした状態でサイズ選定し、展開前に試験導入拠点で性能を確認してください。

既存のSIEMはそのまま使えますか？

はい。変わるのは受け取る内容です。より少なく、より有用なイベントを受け取り、通信ログの全量は低コストのストレージに保管されます。

マネージドサービスは必要ですか？

必須ではありません。チームの規模と経験によります。共同運用から始めて、状況に応じて調整する組織が多くあります。