技術発表(6)ファイアーウォールシステムについて

IT基盤センター 作山 幸恵

ファイアーウォールシステムについて
作山 幸恵 （ＩＴ基盤センター）
１．はじめに

３．ファイアーウォールシステム各役割

ファイアーウォールシステムとは、外部大きく役割を分けると、外部 FW（1000A）、ネットワークと内部ネットワークの間におき、内部 FW（1000A×2）、付属学校 FW（300A）

外部からの不正なアクセスや侵入を防止するの３つに分けられる。

ことを目的としたセキュリティシステムの総外部ＦＷは、主に学外インターネットと学内間称を呼ぶ。

での通信について、通信の許可、不許可を制御

そこで、茨城大学のファイアーウォールシス
テムについての概要を以下に記す。

するファイアーウォール機能と、学内ネットワークへの不正な侵入を検知、防御する IDS/IPS機能を持つ。

２．茨城大学のファイアーウォールについて

内部ＦＷは、主にウィルスの検出、削除、ブロックを行うウィルススキャン、学内外間で送信

茨城大学のファイアーウォールシステム（以されているメールに対して、スパムメールのチ下 FW）の種類は UTM（統合脅威管理製品）

ェックを行うアンチスパムと、学校生活に必要の 形 に あ た り 、 Fortinet 社 製 の Fortigateと思われないサイトに関して、閲覧不可にする、1000A 3 台、Fortigate 300A

Web フィルタリング機能を持つ。

1 台、計４台のシステムで構成されている。

附属学校 FW は小中養護学校へ、さらに厳各 FW は、４台全て茨城大学ネットワークのしく制限するため設けられ、内部 FW で WEB

入り口となる、日立キャンパスに設置されていフィルタリングをしているところに、更に二重る。に厳しく WEB フィルタリングを施し、アクセスの制限をしている。

学外

インターネット
外部FW
1000A(1)
内部FW
1000A(2)
付属FW

300A
小・中学校

大学内

図１：茨城大学ネットワーク

ＬＡＮ

養護学校

図２：FW 接続図

LAN４．外部との通信について
茨城大学は外部 FW における、ファイアーウォール機能により、学内のセキュリティ確保のため、標準的な一部の通信ポートを除くほとんどの通信ポートは通信が不可となっている。
そこで、情報機器利用登録システムによる申請サービスを用いている。
情報機器利用登録システムとは本学における情報機器(ソフトウェアも含む)の資産管理徹底、ならびに情報機器・ネットワークの運用管理効率化を目的として、IT 基盤センターによって運用されている教職員用データベースで

図３：IT 基盤センターTOP ページある。使用できるのは茨城大学の教職員のみである。その中の申請に、各種学外向けサーバ(Web、SSH、Mail、FTP)の運用申請と、標準外通信ポートの利用申請がある。
５．内部 FW２台導入理由
内部ＦＷを２台設ける理由としては、１つは負荷軽減。Web フィルタ、アンチスパム、ウィルススキャンの各機能を２台の装置で分散処理を行う事と、また、片方の装置が故障等で障害が発生した場合、もう片方の１台で通信を維持するための障害時対策が目的である。

図４：情報機器利用登録システム

また、内部 FW の機能の一つ、URL フィル
タリングについて、犯罪性の高いサイト 反対意見が多く、論争の元となる可能性のあるサイト、違法性、 セキュリティ上問題のあるサイト等の内容を含む Web サイトの閲覧をブロックしている。
教育・研究上、フィルタリングのかかっているサイトにアクセスする必要がある場合は、申請書を提出して頂き、妥当性が認められればアクセス可能となる

図５：URL フィルタリング

ファイアーウォールとはファイアーウォールシステム
について

IT基盤センター
作山 幸恵

 外部ネットワークと内部ネットワークの間におき、外部からの不正なアクセスや侵入を防止することを目的としたセキュリティシステムの総称。

学内ＬＡＮ

学外ネットワーク

ファイアウォール
：不許可アクセス：許可アクセス

ファイアーウォールの歴史

茨城大学では

 １９９０年代

 Fortinet社製の：ソフトウェア型：PCにソフトウェアをインストールした形のファイアーウォール

 １９９０年代末：ハードウェア型：専用のハードウェアを用いた形のファイアーウォール

 ２０００年代

Fortigate 1000A 3台, Fortigate 300A 1台,計４台のファイアーウォールシステムで構成されている。

：UTM（統合脅威管理製品）：様々なセキュリティ機能（アンチウィルス、URLフィルタ等）を搭載した統合型のファイアーウォール
茨城大学
ファイアーウォールシステム

茨城大学のファイアーウォールシステムはUTMにあたる。

茨城大学
ファイアーウォール設置場所
・ 各ファイアーウォールは、４台全て茨城大学ネットワークの入り口となる、・日立キャンパスに設置されている。

上の1台： ３００Ａ
下の3台： １０００Ａ

茨城大学
ファイアーウォールシステム
大きく役割を分けると・ 外部ファイアウォール
１０００Ａ（１）・ 内部ファイアウォール
１０００Ａ（２）

学外
インターネット
外部FW

1000A(1)

内部FW

1000A(2)・ 付属学校ファイアウォール
３００Ａの３つに分けられる。
水戸キャンパス
阿見キャンパス
広域水圏

付属FW
300A

大学内
ＬＡＮ

小・中学校
養護学校
LAN

＜外部ファイアーウォールの役割＞

外部ファイアーウォールの役割

学外インターネットと学内間での通信について、通信の 許可／不許可を制御する。

 IDS/IPS機能 送信元ＩＰアドレス、宛先ＩＰアドレス間で、サービス （ＩＰ、ＴＣＰ、ＵＤＰ） の通信の学外
インターネット ファイアーウォール機能

ファイアーウォール機能
許可・不許可により設定する。
 学内のセキュリティ確保のため、標準的な一部の通信ポートを除くほとんどの通外部FW

1000A(1)内部FW

1000A(2)

学内ネットワークへの不正な侵入を検知、防御する。

信ポートは通信が不可となっている。

TCP/80(http)に関して＜学内→学外＞
Web閲覧等で使用されるため、殆ど開放している。

付属FW
300A

＜学外→学内＞不正アクセス等防止のため、殆ど遮断している。運営上必要な機器、また申請を頂いている機器に関してはIP指定で開放している。

小・中学校
養護学校
LAN

大学内
ＬＡＮ

情報機器利用登録システムによる学外向けサービス＜外部ファイアーウォールの役割＞

 各種学外向けサーバ(Web、SSH、Mail、FTP)の運用申請

 ファイアーウォールで防げない攻撃をIDS/IPSにより防ぐ。

ＩＤＳ/ＩＰＳ

セキュリティ対策として、学内-学外間で利用できる通信ポートは標準的なもののみに制限されている。
 学外に対して、Web、SSH、Mail、FTPの各サービスを提供するサーバを運用する場合には、それぞれ申請が必要。


学内ネットワークへの不正な侵入を検知し、管理者へメール等で周知するシステム。
IPS：侵入防御システム（Intrusion Prevention System）

学内ネットワークへの不正な侵入を検知すると，それを防御するシステム。

 標準外通信ポートの利用申請
IDS：不正侵入検知システム （ Intrusion Detection System ）Web、SSH、Mail、FTP以外で、標準外の通信ポートを利用する必要がある場合には申請が必要。
（例：外部とのTV会議接続等）

 ファイアーウォールではIP,ポート番号などによるルールで、許可、不許可を行うため、もしパケットのデータに不正があったとしてもファイアーウォー
ルはその通信を許可してしまう。そこで、IDS/IPSを用いる不正なパケットを検出し防御することができる。

それぞれの登録は情報機器利用登録システムで行う。

内部ファイアーウォール
２台導入理由内部ファイアーウォールの役割
 ウィルススキャン
 負荷軽減学外
インターネット

ウィルスの検出、削除、ブロックを行う。
外部FW

1000A(1)

内部FW

1000A(2)Webフィルタ、アンチスパム、ウィルススキャンの各機能を２台の装置で分散処理を行う。

 アンチスパム


学内外間で送信されているメールに対して、スパムメールのチェックを行う。

付属FW
300A

 Webフィルタリング


学校生活に必要と思われないサイトに関して、閲覧不可にする。

大学内ＬＡＮ

小・中学校
養護学校
LAN

 障害時対策（冗長化）
もし、片方の装置が故障等で障害が発生した場合もう片方の１台で通信を維持する。

＜内部ファイアーウォールの役割＞＜内部ファイアーウォールの役割＞

ウィルススキャン

アンチスパム 内部ファイアウォールを通過するメール（SMTP）、WEB（HTTP）、ファイル転送（FTP）に対してウィルススキャンをする。
 ウィルスを検出した場合には、ウィルスの削除または当該ファイルへのアクセスをブロックする。

＜内部ファイアーウォールの役割＞

ＷＥＢ フィルタリング


Web閲覧時のアクセス制限（URLフィルタリング）が導入されている。 以下のような内容を含むWebサイトの閲覧をブロックしている。
 違法性、犯罪性の高いサイト 反対意見が多く、論争の元となる可能性のあるサイト
 セキュリティ上問題のあるサイト
教育・研究上、フィルタリングのかかっているサイトにアクセスする必要がある
場合は、申請書を提出して頂き、妥当性が認められればアクセス可能となる。

 学外、学内間のメール送信に対し、スパムメールか否かチェックする。
 スパムメールと判断したメールに対して受信制限を実施する。

３００Ａの役割
 小中養護学校へ、さらに厳内部ファイアーウォールでWEBフィルタリングをしているところに、更に二重に厳しくWEBフィルタリングを施しアクセスの制限をしている。
ウィルススキャンも、大学、小中学校間で施している。

情報機器利用登録システム
 IT基盤センターHP（www.ipc.ibaraki.ac.jp）
上に有る。
 茨城大学教職員が利用可能

外部FW

1000A(1)

内部FW

1000A(2)

付属FW
300A

大学内
ＬＡＮ

情報機器利用登録システム
登録の流れ① 情報機器利用登録システムに機器を登録する。
② 固定ＩＰを申請し、取得する。
③ 各サービス（学外向けＷＥＢ

情報機器利用登録システム

学外
インターネットしく制限する。

サーバ、学外向けＳＳＨサーバ等）の申請をする。

小・中学校
養護学校
LAN

普段、ＷＥＢ認証時に使用している ユー
ザーＩＤ、パスワードを入力する。

IT基盤センター トップページ（１）情報機器利用登録システムに機器を登録する。

認証後、最初のページ（２）固定ＩＰを申請し、取得する。

（３）各サービスの申請をする。