不要になった許可ルールが残り、通信の入口が開いたままになる
穴あけ申請で開けた許可ルールは、業務が終わっても設定に残ります。使わないシステム宛ての通信が通り続けます。ルール一覧と申請記録を照合します。
GENZ, Inc.
ネットワーク境界運用向け
社内ネットワークの
ネットワーク境界運用向け
社内ネットワークのファイアウォール診断
ISMS審査や取引先のチェックシートで設定の妥当性を問われたとき、許可ルールや経路に不要な開放が残っていないかを確かめます。
支援事例
支援実績5,000件以上
ファイアウォールでよくあるセキュリティ不備
ファイアウォールが動いていても、通信を止めきれていない状態はルール設定に現れます。どこが危ういのか判然としないまま置くのではなく、境界の運用で実際に生じている不備を、次の5点として整理しました。
不要に
ファイアウォールを経由しない経路が、境界の外に残る
クラウドへの直結、拠点をつなぐ回線、持ち込み機器からのリモート接続は、境界の管理下から外れます。構成図とアドレスの割り当てから拾い出します。
管理画面やVPNの口が外部に公開され、突破口になる
機器の設定画面やVPNの接続口が、導入時の設定のまま外部に見えることがあります。認証を破られれば境界の内側へ入られます。公開範囲を洗い出します。
緩めたルールが戻されないまま、防御の範囲が狭くなる
通信が止まるのを避けるために範囲を広げた一時開放は、戻す作業が記録に残らないと、緩めたまま遮断が効かない状態が続きます。変更履歴をたどります。
内側から外への通信が制限されず、侵入後の被害が広がる
ルールが外から内への通信に偏り、内から外への制限がされていないと、侵入されたあとの外部への送信を止められません。内から外の制御を見ます。
脆弱性が残存することで起きる問題
境界防御の不備が残っていると、起きることは設定の是正だけでは収まりません。取引の継続や事業運営そのものへ、順に波及していきます。
診断時におさえるべきセキュリティ観点
外から当てるスキャンだけでは、いまの許可ルールが業務要件に見合っているかどうかはわかりません。設定の記述、境界の外に出た経路、変更の記録を突き合わせ、次の5点から診断します。
使われない許可ルールの残存を防ぐ
許可ルール一覧の棚卸しと業務要件との突き合わせ
許可ルールの一覧と穴あけ申請の記録を並べ、いま動いている業務やシステムとの対応を1件ずつ照合します。使われていないルール、範囲が広すぎるルールを特定します。
確認する資料
- 許可ルール一覧
- 穴あけ申請記録
境界を通らない経路の見落としを防ぐ
境界を経由しない経路の洗い出しと到達可否の検証
ネットワーク構成図とアドレスの割り当て、名前解決の状態を突き合わせ、境界を通らずに内外がつながる経路を拾います。拾った経路には外部から通信を送り、到達するかを検証します。
確認する資料
- ネットワーク構成図
- アドレス割当表
管理画面やVPNからの突破を防ぐ
管理画面・VPN接続口の公開範囲と認証設定の確認
機器の設定画面とVPNの接続口について、どこから接続できる状態かを機器の設定情報から読み取ります。認証方式、初期設定の残り、接続元の絞り込みまで範囲を書き出します。
確認する資料
- 機器の設定情報
戻し忘れた一時開放の残りを防ぐ
緩めたルール・一時開放の残存と影響範囲の検証
設定の変更履歴と申請の記録から、検証や障害対応で一時的に開放したルールを拾い出します。戻し漏れが残っていないか、緩めた範囲がどの通信まで通しているかを洗い出します。
確認する資料
- 設定変更履歴
- 申請記録
侵入後の外部への送信を防ぐ
内側から外への通信制御と遮断記録の確認・検証
内側から外への通信について、ポリシーの設定と遮断の記録を読み合わせます。想定していない宛先への送信を止められる状態か、記録が残る状態かを、実際に通信を送って検証します。
確認する資料
- 通信ポリシー設定
- 遮断記録
診断の進め方・具体的な診断内容
これらの観点は、予算と期限に収まる計画へ落とさなければ動きません。範囲の決め方から報告後の再診断までは、次の4段階です。
STEP 01
対象機器と経路を棚卸しし、診断する範囲を決める対象機器と経路を棚卸しし合意
どう確かめるか
対象機器と経路を棚卸しし、診断する範囲を決める
ファイアウォールとVPN装置、外に向いている経路を先に一覧化します。取引先へ回答する期限と、経路ごとに業務が受ける影響を照らし、着手の順を合意してから作業に入ります。
- 01ファイアウォールとVPN装置を一覧化する
- 02外に向いている経路を先に一覧にする
- 03取引先の回答期限と業務影響から着手の順を合意する
OUTPUT対象機器・経路一覧
STEP 02
設定の読み取りと外部からの検証を組み合わせる設定の読み取りと外部検証を重ねる
どう確かめるか
設定の読み取りと外部からの検証を組み合わせる
設定を読む作業と、外部から通信を送る作業では、見つかる不備の種類が違います。ルールの記述からは重複や過大な範囲、外部からの検証からは到達できる経路が出るため、両方を重ねます。
- 01ルールの記述から重複や過大な範囲を拾う
- 02外部から通信を送り到達できる経路を確かめる
- 03見つかる不備の種類が違う両方の作業を重ねる
OUTPUT設定読み取りと検証記録
STEP 03
検出した事項を、ルール修正で塞げるものと構成変更が要るものに分けるルール修正と構成変更に切り分け
どう確かめるか
検出した事項を、ルール修正で塞げるものと構成変更が要るものに分ける
塞ぎ方は事項ごとに違います。ルールの修正で対応できるものと、経路や構成の見直しが要るものに分けて整理します。着手の順を決められるよう、確認した手順を添えてお渡しします。
- 01ルールの修正で対応できる事項を切り分ける
- 02経路や構成の見直しが要る事項を判別する
- 03事項ごとに確認した手順を添えて整理する
OUTPUT切り分け済み是正計画
STEP 04
確かめた範囲と未確認範囲を分けて報告し、是正・再診断まで伴走する検証した範囲と未着手を書き下す
どう確かめるか
確かめた範囲と未確認範囲を分けて報告し、是正・再診断まで伴走する
検証した機器とルール、経路の単位まで踏み込んで、どこを確かめたのかを文書化します。手を付けなかった範囲と残るリスクは、期間や環境の都合とあわせて記載し、修正後の再診断も引き受けます。
- 01検証した機器とルールと経路の単位で書き下す
- 02手を付けなかった範囲と残るリスクを記載する
- 03修正後に再診断する範囲と条件を定める
OUTPUT検証範囲と残存リスク表
私たちGENZが、このようなファイアウォールのセキュリティ診断を代行します
固定費を抱えない人日単位のアサイン、監査にも使える独立した検証の記録、育成期間なしに活かせる専門ノウハウなど、第三者へのアウトソースには複数のメリットがあります。
OUTSOURCING RATIONALE
THIRD-PARTY VERIFICATION
01
必要な時に必要な分だけ
人日単位のアサインで固定費を抱えず、繁忙期に増減できます。
02
独立した視点で品質を底上げ
独立した検証で偏りを排し、監査に使える客観的な記録を残せます。
03
専門ノウハウを即戦力で
JSTQB認定エンジニアが在籍し、対象領域固有の検証知見を育成期間なしに活用できます。
専門知識を持ったセキュリティエンジニアが、第三者の視点で診断するメリット
- 開発側の思い込みや先入観に影響されず、設定や実装の不備を検出できる
- 診断観点にもとづく網羅的な検査で、見逃しを減らせる
- 開発チームが診断の工数から解放され、開発に専念できる
5,000件以上の実績に裏付けられた伴走型支援
GENZが引き受けるのは、機器の入れ替えや常時の運用代行ではありません。すでに入っているルール設定の側に立ち入り、どこまで診断するかを一緒に決めながら、境界の実態に合わせて次の4点を担います。
ルールの棚卸しから始める段階的提案
対象の機器と経路、どこまで踏み込むかは相談して決めます。まず許可ルールの棚卸しだけを切り出す形からでも着手できます。
設定の読み取りと外部検証の両立体制
設定の記述を読む作業と、外部から通信を送って確かめる作業を、同じ案件のなかで重ねます。どちらか片方に寄せません。
未確認範囲と残存リスクまで整理
機器とルール単位で、どこまで検証したかを書きます。未確認の範囲は理由まで併記し、社内の稟議や取引先への回答にも回せます。
是正・再診断まで一つの窓口で伴走
是正後の再診断は、範囲と条件を取り決めたうえで対応します。修正が終わったあとの確認から次の検証まで、ソフトウェアテストの窓口がそのまま受け付けます。
ご相談から納品までの流れ
対象範囲と判断基準を先に合わせ、進捗と残るリスクを共有しながら進めます。
ヒアリングで対象範囲を具体化する
対象システム、拠点、扱うデータ、連携先、業務フロー、リリース時期を確認し、未検証領域を可視化します。
診断計画と優先順位を合意形成
事故影響、変更量、利用頻度、代替手段の有無から優先順位を定め、必要な工数と計画を具体化します。
診断実施と進捗・課題を毎回共有
実施状況、発見事項、阻害要因、追加確認が必要な仕様を共有し、終盤のまとめ出しを避けます。
報告書納品と再診断支援まで実施
診断完了レポートに結果、証跡、未実施範囲、残留リスクを整理し、修正後の再診断条件まで引き継ぎます。
5,000件以上の対応実績
ファイアウォールの診断範囲と優先順位を、GENZに相談する
相談の場では、どの機器と経路まで診断するか、どこから着手するか、工数をどう見込むか、負荷テストや機能テストといった関連テストが要るかを、順に整理していきます。