次世代ファイアウォール（NGFW）とは？従来型との違いと企業ネットワーク防御への活用ガイド

ファイアウォールを導入しているのに、社内から不審な大容量アップロードが続いている——そんな場面に遭遇したことはないでしょうか。ポート443経由のHTTPS通信はほとんどの従来型ファイアウォールを素通りします。クラウドストレージへの大量データ送信も、動画ストリーミングへの業務時間中のアクセスも、ポート番号だけでは区別がつきません。

現代のネットワークセキュリティは、「どのポートが開いているか」だけでは語れなくなっています。アプリケーションを識別し、ユーザーを特定し、脅威を検知してその場で遮断する——これを1台でこなすのが次世代ファイアウォール（NGFW: Next-Generation Firewall）です。

この記事では、NGFWの基本概念から従来型との違い・主要機能の仕組み・中小企業での現実的な活用方法まで、現場目線で解説します。

次世代ファイアウォール（NGFW）とは？

NGFWは2009年にガートナーが定義したファイアウォールの次世代規格です。従来のポート/プロトコルベースのパケットフィルタリングに加え、アプリケーション識別・ユーザー認識・侵入防止（IPS）・SSL/TLSインスペクションを統合した多機能なネットワークセキュリティ機器です。

「次世代」とついていますが、今では企業ネットワークの防御基盤として広く普及しており、新しいファイアウォールを導入するなら事実上NGFWが標準となっています。

主な特徴を整理すると次のとおりです。

・アプリケーション識別（App-ID）: ポート番号に依存せず、通信の内容（ペイロード）を見てどのアプリケーションかを判断します
・ユーザー識別（User-ID）: Active DirectoryやLDAPと連携し、「誰が」通信しているかをポリシーに組み込めます
・IPS統合: シグネチャベースの侵入検知・防止機能を本体に統合しており、別途IPS機器を用意する必要がありません
・SSL/TLSインスペクション: 暗号化された通信を復号してマルウェアや不審な通信を検査できます
・クラウド連携: サンドボックス（未知のファイルをクラウドで実行して安全確認）との連携に対応した機種も多くあります

主要なベンダーとしては Palo Alto Networks（PAシリーズ）、Cisco（Firepower）、Fortinet（FortiGate）、Check Point、Sophos などがあります。近年は物理アプライアンスだけでなく、クラウド型の FWaaS（Firewall as a Service）として SASE アーキテクチャに統合されるケースも増えています。

従来型ファイアウォールとの根本的な違い

従来型ファイアウォールは「ポート80は許可、ポート23は拒否」というルールで動作します。単純明快ですが、HTTPS（ポート443）が全面普及した現代では機能不全に陥りがちです。

・Slack や Microsoft Teams もポート 443 を使う
・攻撃者の C2（コマンド＆コントロール）通信もポート 443 を使う
・クラウドストレージへの不審なデータ持ち出しもポート 443 を使う

つまり従来型FWでは「HTTPSはすべて許可」という大きな穴が開いた状態になりやすいのです。

具体的なイメージとして考えてみましょう。Slackのトラフィックは従来型FWでは「ポート443のHTTPS通信」として素通りします。NGFWなら「Slackは許可するが、外部へのファイル送信はブロックする」という細かいポリシーが設定できます。

NGFWの主要機能と仕組み

1. アプリケーション識別（ディープパケットインスペクション）

NGFWはパケットのヘッダーだけでなく、ペイロード（データ本体）まで検査します。これをDPI（Deep Packet Inspection）と呼びます。通信パターン・シグネチャ・ふるまいを組み合わせて、数千種類のアプリケーションを識別できます。

例えば「BitTorrent通信はポート80を使っていても識別してブロック」「Zoomのビデオ通話は許可するが録画機能は制限」といった制御が可能になります。

2. ユーザーベースのポリシー制御

「営業部はSalesforceを許可するが、GitHubへのアクセスは制限する」——こうした部署・役割単位の制御が可能になります。Active DirectoryやLDAPと連携して、IPアドレスとユーザーIDのマッピングをリアルタイムに行います。

退職者アカウントのアクセスも、AD側でアカウントを無効化すれば、NGFWのポリシーを変更しなくても自動的に遮断されます。

3. 統合IPS（侵入防止システム）

IPS（侵入防止システム）は、既知の攻撃パターン（シグネチャ）と照合して悪意あるトラフィックをリアルタイムにブロックする機能です。NGFWではこれがファイアウォールと同じ筐体に統合されています。

単体のIPS機器を別途置く場合と比べて管理ポイントが減り、遅延も低減できます。ただしシグネチャの更新を怠ると防御力が落ちるため、自動更新の設定は必須です。

4. SSL/TLSインスペクション

現在のWebトラフィックの大半はHTTPS（暗号化）です。NGFWがSSL/TLSインスペクションを有効にすると、NGFWが「中間者」として通信を一時復号し、マルウェアや不審なコンテンツを検査してから再暗号化して送信します。

詳しい仕組みと設定時の注意点は、SSLインスペクション（TLSインスペクション）とは？で解説しています。プライバシーへの配慮と業務への影響を考慮した段階的な導入が重要です。

具体的な導入・活用手順

1. 配置場所を決める

NGFWの配置は目的によって変わります。

・インターネット境界（ゲートウェイ）: 最優先。外部からの攻撃と社内からの不審な通信を両方フィルタリングします
・内部セグメント間（コアスイッチ直下）: ランサムウェアのラテラルムーブメント（横移動）対策として有効です。マイクロセグメンテーションの実現手段にもなります
・DMZ境界: 公開サーバーを内部ネットワークから分離するDMZに配置し、公開サーバーへの攻撃を遮断します

まずはインターネット境界に1台置くのが現実的なスタートです。

2. アプリケーション制御ポリシーを設定する

いきなりブロックポリシーを入れると業務が止まります。次の手順で段階的に進めましょう。

まず1週間程度、ポリシーを「ログのみ（モニタリングモード）」で動かします。どのアプリケーションがどれだけ使われているかを把握してから、禁止するアプリケーションのリストを作成します。

# Palo Alto Networks NGFWの例: アプリケーション識別ログの確認
# Monitor > Logs > Traffic でアプリケーション列を確認
# 検索フィルター例: ( app neq web-browsing ) and ( app neq ssl )
#
# ポリシー設定の基本フロー（管理コンソールより）
# 1. Policies > Security > Add で新規ルール作成
# 2. Application タブ: 対象アプリ（例: bittorrent, dropbox）を選択
# 3. Actions タブ: Action を "Deny" に設定
# 4. Log at Session End を有効化して証跡を残す

Fortinetの場合も同様にアプリケーションコントロールプロファイルを作成し、まず「モニター」モードで動かしてから段階的にブロックへ移行します。

3. IPSシグネチャを有効化し、誤検知を調整する

IPS機能は最初から全シグネチャをブロックモードで有効にすると誤検知が多発します。最初は「アラートのみ」で動かし、2週間程度のログ確認後にブロックへ移行するのが現実的です。

誤検知の調整方法や運用フローは、IPS誤検知の減らし方で詳しく解説しています。

4. SSL/TLSインスペクションを段階的に導入する

SSL/TLSインスペクションは最も影響範囲が広い機能です。次の順序で進めてください。

・Step 1: NGFWの中間CA証明書を全端末にプッシュ配布（GPOまたはMDMを使用）
・Step 2: ネットバンキング・電子申告・医療系サイトなどの除外リストを事前に設定
・Step 3: まずHTTP（非暗号化）通信のみインスペクション有効化
・Step 4: 問題がなければHTTPS（暗号化）通信へ拡大

証明書を配布しないまま有効化すると、ブラウザに証明書エラーが大量発生します。この手順は必ず守ってください。

中小企業でも今日からできること

「NGFWは大企業向けでは？」と思われがちですが、FortinetのエントリーモデルやSophosのシリーズは中小企業向けの価格帯でも入手できます。また、クラウドゲートウェイ型（Zscaler Internet Accessなど）であれば初期投資を抑えながらNGFW相当の機能を利用できます。

今すぐできることを整理します。

・現在の機器を確認する: 既存のファイアウォールがNGFW機能（IPSやアプリ識別）をサポートしているか確認しましょう。ソフトウェアアップデートで解放できる機能が眠っていることがあります
・アプリケーションの可視化から始める: NGFWがある場合はまずログを収集します。「どんな通信が流れているか」を把握するだけで、思いがけない発見があります
・脆弱性スキャンと組み合わせる: 脆弱性スキャンでネットワーク上の弱点を把握し、NGFWポリシーの優先度付けの参考にします
・ゼロトラストへの足がかりにする: NGFWのユーザーベースポリシーはゼロトラストアーキテクチャへの第一歩になります

よくある誤解と注意点

【誤解1】NGFWを入れれば完全に安全

NGFWは強力ですが万能ではありません。ゼロデイ攻撃・高度な持続的脅威（APT）に対しては、NGFWだけでは対応しきれない場面があります。WAF・EDR・SIEMなど、複数の防御を組み合わせる多層防御の考え方が重要です。

【誤解2】SSL/TLSインスペクションはすべての通信に有効にすべき

インターネットバンキング・電子申告・医療系サービスなど、証明書ピンニングを使っているサービスは除外リストに入れる必要があります。これらを含めてインスペクションすると接続エラーが発生します。

【誤解3】従来型FWからNGFWへの移行は設定を引き継ぐだけでよい

既存のポートベースのルールをそのまま移行しても、NGFWの強みは活かせません。アプリケーション識別に基づいたポリシーへの見直しが必要で、これには相応の時間と計画が必要です。段階的な移行計画を立てることを強くお勧めします。

【注意】シグネチャ更新ライセンスの管理

NGFWのIPS機能はシグネチャが命です。ライセンス期限切れ・更新停止はIPS機能を実質的に無効化します。ライセンス管理と自動更新の設定を忘れずに確認してください。特に更新を停止したまま数年が経過している機器は注意が必要です。

本記事のまとめ

NGFWは現代のネットワークセキュリティにおいて欠かせない存在です。ポートとIPだけに頼っていた時代のファイアウォールから、アプリケーション・ユーザー・コンテンツを総合的に判断する知的な防御機器へと進化しています。

まずは「ログのみモードでアプリケーションの可視化から始める」が最初の一歩です。何が流れているかを把握することで、セキュリティポリシーの優先順位が見えてきます。

姉妹サイトLinuxMaster.JPでは、Linuxベースのファイアウォールであるnftablesやfirewalldの詳細設定も解説しています。Linuxサーバーのネットワーク制御とNGFWを組み合わせることで、より堅牢な多層防御が実現できます。