インストラクター：ルーターはアクセス・コントロール・リストを使ってネットワークの保護フィルタリングを行うことができますが､
アクセス・コントロール・リストの使用に優れているのは､ 実際にはファイアウォールと呼ばれる専用デバイスです｡
さて､ アクセス・コントロール・リストは､ 不要なトラフィックからネットワークを保護するために非常に重要である｡
ACLで利用する許可と拒否の文の大部分は､
ポート番号に基づいている｡ なぜなら､ ポート番号は許可またはブロックしたいアプリケーションやサービスに直接関連しているからだ｡
アクセス・コントロール・リスト（ACL）は､ ファイアウォール､
ルーター､ その他のネットワーク・インフラストラクチャー・デバイスに設定されるルール・セットで､
特定のインターフェイスを介したトラフィックを許可または許容する｡
これらのルールセットは､ ネットワークへのトラフィックの流入と流出を制御する｡
さて､ ファイアウォールのアクセスコントロールリストを設定するには､
ウェブベースのインターフェースか､ テキストベースのコマンドラインインターフェースを使うことになる｡
これらのACLを設定するときに重要なことは､
ACLをリストする順番が､ 特定のトラフィックに対して実行されるアクションの順番を指定することを覚えておくことである｡
アクションは常にアクセス・コントロール・リストのトップダウンで実行される｡
トラフィックは最初のルールと比較され､
適用するアクションの条件にマッチすれば実行され､ 他のACLはチェックされない｡
このため､ 最も具体的なルールは常にリストの一番上に配置し､
より一般的なルールは一番下に配置する｡
現在､ ルーターはこれらのアクセス制御リストとフィルタリングルールを使って基本的なセキュリティを提供することができる｡
しかし､ ネットワーク・ファイアウォールこそ､
ネットワーク・セキュリティや一括ブロック・許可に最もよく使われるものなのだ｡
ファイアウォールは､ ハードウェアベースのアプライアンスであったり､
クライアントやサーバーにインストールされる専用のソフトウェアであったりする｡
ファイアウォールの主な役割は､ ネットワークの境界に出入りしようとするトラフィックを検査し､
制御することである｡
ファイアウォールには､ パケットフィルタリング､
ステートフル､ プロキシ､ ダイナミックパケットフィルタリング､
カーネルプロキシなど､ さまざまな種類があります｡
各タイプのファイアウォールは､ トラフィックの徹底的な検査に重点を置いている｡
ネットワーク・セキュリティのすべてと同じように､
どの程度深く検査するかによって､ パフォーマンスのトレードオフが生じる｡
ファイアウォールがより詳細な検査を行う場合､
デバイスは高いスループットを達成することができる｡
これはネットワークの効率に悪影響を及ぼし､ ネットワークの待ち時間を増加させる可能性がある｡
現在､ ファイアウォールは私たちのネットワークにとって不可欠なセキュリティ・デバイスであるため､
より良い機能とより高いセキュリティを提供するために常に進化し続けている｡
多くの組織が統合脅威管理ファイアウォール（UTM）に移行していることは重要だ｡
統合脅威管理デバイスは､ 単一のデバイスまたはネットワーク・アプライアンス内で多数のセキュリティ機能を実行する能力を提供する｡
これらのデバイスは､ ネットワーク・ファイアウォール､
ネットワーク侵入防止システム､ ゲートウェイ・アンチウイルスおよびアンチスパム､
仮想プライベート・ネットワーク集中､ コンテンツ・フィルタリング､
ロード・バランシング､ データ損失防止など､ 複数の専門デバイスの機能を単一のネットワーク・アプライアンス内に備えている｡
これらの統合脅威管理デバイスには､
技術者が学習し､ 操作し､
保守する必要のあるデバイスの数を減らすなど､
多くの利点もある｡
これは､ これらの保護を提供するための全体的なコストを削減するのに役立つが､
それでもいくつかの欠点がある｡
UTMデバイスの最大の問題は､
単一障害点であるということだ｡
例えば､ デバイスが故障した場合､ ファイアウォールを失うだけでは済まなくなる｡
ファイアウォール､ アンチウイルス､ 侵入防止システム､
そういったものを失った｡
つまり､ このデバイスを失えば､
セキュリティ・スタック全体を失うことになる｡
そのため､ 我々の組織では､ アーキテクチャへの導入を決定する前に､
統合脅威管理のメリットとデメリットの両方を考慮する必要がある｡
UTMを使用する利点には､ 初期費用､ メンテナンス､ 消費電力の削減などがある｡
これらの機能はすべて､ 1台のラックマウント・デバイスに搭載されているからだ｡
また､ 単一機能ごとに複数のデバイスを用意するよりも､
設置や設定が簡単になる｡
また､ 完全に統合することも可能で､
これにも多くの利点がある｡
ここでの大きな欠点は､
単一障害点であり､
より専門的なツールによって提供される詳細がしばしば欠けていることである｡
UTMデバイスはほとんどの部分でうまく機能するが､
セキュリティ検査で実行しようとする機能ごとに個別のエンジンを利用している｡
一方､ 次世代ファイアウォールを使う場合は､
より効率的なエンジンを使うことになる｡
したがって､ ネットワークのスピードと効率が組織にとって最大の関心事であるならば､
統合脅威管理デバイスよりも次世代ファイアウォールの使用を検討したい｡
統合脅威管理デバイスを導入する場合､
インライン構成のファイアウォールと同じように､ LANとインターネット接続の間に設置することになる｡
このように､ ネットワークのアーキテクチャを設計する際､
ファイアウォールに関してはさまざまな選択肢がある｡