ステートフルパケットインスペクション

読み：すてーとふるぱけっといんすぺくしょん　／　英語表記：Stateful Packet Inspection

• セキュリティ

ファイアウォールが、通信の状態（セッション）を記録しておき、許可した通信に対する応答のパケットを自動的に通過させる方式。応答の向きの許可ルールを個別に書かなくてよい。

イマシルちゃんの解説

ステートフルパケットインスペクションは、通信の進み具合を記録してパケットを通すか判断するファイアウォールの方式だよ。
例えば社内の端末から外部のWebサーバへの接続を許可したら、通信相手のIPアドレスやポート番号などを記録するんだ。
戻ってきたパケットはその記録と照合し、許可したやり取りに合うものを通すよ。
これなら外部からの通信を広く許可せずに、必要な返事を受け取れるんだ。
ただし、許可した通信の中身まで安全だと保証するわけではないよ。

より深い解説

定義

ステートフルパケットインスペクション（SPI）は、通過する通信のセッション（送信元・宛先のIPアドレスとポート番号、プロトコル、TCPの状態など）を状態表に記録し、その状態に照らして、パケットを通すかどうかを判断するファイアウォールの方式である。

静的パケットフィルタリングとの違い

許可ルールの読み方

ステートフルパケットインスペクションを持つファイアウォールでは、まず通信を始める向き（最初のパケットを送る側から、受ける側への向き）の許可を設定する。記録した接続への応答を許可できる構成なら、その応答のために逆向きの新規接続まで広く許可する必要はない。

宛先のポート番号は、通信を受ける側（サーバ）のポート番号である。送信元のポート番号は、クライアントが一時的に選ぶため、通常は指定しない。

UDPの扱い

UDPには接続の開始と終了がないが、ステートフルのファイアウォールは、送信元・宛先の組を記録し、一定時間内に返ってきた逆向きのパケットを応答として通す。DNSやNTPの問い合わせと応答などが、これに当たる。

静的なルールで往復を許可する場合

静的パケットフィルタリングでは、要求と応答の両方向を個別に確認する。たとえばクライアントの一時ポートを53,000、接続先のHTTPSサーバのポートを443とすると、往復は次のようになる。

応答では送信元と宛先が入れ替わる。実際の一時ポートの範囲はOSや設定によって異なるため、条件に示された範囲を使う。また、サーバ側ポートを送信元に持つパケットでも、本当に要求への応答かどうかを静的なルールだけで保証できるわけではない。

ヘッダーで見分けられる範囲

パケットフィルタリングは、IPアドレス、ポート番号、プロトコルなどで通信を選別する。公開しないサービスへの接続を拒否する用途には適するが、許可したサービスのデータ内容が安全かどうかは、ヘッダーだけでは判断できない。

必要なサービスを維持するには、更新、内容検査、レート制御、上流での防御などを組み合わせる。通信の状態を追跡する方式でも、アプリケーションの全脆弱性を自動的に防ぐわけではない。

端末上で行う通信制限

パーソナルファイアウォールは、利用者のPCなどの端末上で、その端末へ出入りする通信を制限する機能である。ネットワーク境界の装置と配置場所が異なる。

アプリケーションごとの通信許可などに利用できるが、スイッチや無線LANアクセスポイントで利用者を認証してLANへの接続を許可する仕組みとは別である。端末の防御とネットワークへの参加資格を分けて設計する。

参考資料

• NIST SP 800-41 Rev.1：通信状態の追跡とファイアウォールのルール

実際の試験ではここに出る！全7問

ネットワークスペシャリスト

午後Ⅰ

• R7春 問3

午後Ⅱ

• R7春 問1

午前Ⅱ

• H28秋 問20
• H22秋 問19
• H22秋 問20
• H21秋 問20
• H21秋 問21

この用語が出てくる記事

• IPスプーフィング
• FQDN
• 検疫ネットワーク
• スループット
• ファイアウォール