ファイアウォールとは
ファイアウォールは、インターネットのような外部のネットワークと、家庭内や企業内の内部ネットワークの境界線に設置されるセキュリティシステムです。日本語で「防火壁」を意味し、外部からの不正なアクセスや有害なパケット（データの塊）が内部に入り込むのを防ぐとともに、内部から許可されていない危険な通信が外部へ出ていくのを遮断する役割を持ちます。通過しようとするデータの送信元や宛先（IPアドレスやポート番号）などを監視し、あらかじめ設定した通過ルールと照らし合わせて、通して良い通信と破棄する通信を振り分けます。
具体例
例えば、会社のオフィスのネットワークにおいて、社員が安全に外部のWebサイトを閲覧することは許可する一方で、外部の正体不明のコンピュータから社内のファイルサーバーに向けて直接接続しようとする通信を検知した際に、ファイアウォールがそのアクセスを自動的に拒否してシャットアウトし、社内データの盗難を防ぎます。
もう少し詳しく
ファイアウォールには、動作する通信レイヤーや監視方式の違いによっていくつかの種類があります。 - パケットフィルタリング型：最も基本的なタイプで、通過するデータ（パケット）のヘッダーに含まれる「送信元/宛先IPアドレス」や「ポート番号」をあらかじめ定義されたルール（ACL: アクセスコントロールリスト）と照合し、通過の可否（許可/拒否）を判断します。処理が高速ですが、パケットの中身（データ部分）まではチェックできません。 - アプリケーションゲートウェイ型：通信の中継役となる「プロキシ（代理）サーバー」を介して通信を行います。アプリケーション層（HTTPやFTPなど）レベルで詳細に通信内容を解析・制御するため、より細かなセキュリティ制御が可能ですが、処理負荷が大きくなります。 近年では、これらに加えて通信の接続状態（コンテキスト）を動的に監視して不正を検知する「ステートフルパケットインスペクション（SPI）」や、従来のファイアウォール機能に加えて、ウイルスの侵入検知・防止（IDS/IPS）やWebフィルタリングなどを1台に統合した「UTM（統合脅威管理）」、さらに次世代ファイアウォール（NGFW）が主流となっています。
試験でのポイント
試験では、パケットフィルタリング型のファイアウォールが通過を制御するために使用する情報（IPアドレス、ポート番号、通信の方向）に関する問題が定番です。例えば、「Webアクセス（ポート番号80や443）は許可し、メール通信（ポート番号25）は制限する」といった具体的なフィルタリングルールの設定条件が問われます。また、外部からの直接の侵入を防ぎつつ、インターネットに公開するWebサーバーやメールサーバーを配置するための隔離されたネットワーク領域を「DMZ（非武装地帯：DeMilitarized Zone）」と呼び、ファイアウォールによって内部LAN、外部インターネット、DMZの3つの領域を切り分ける構成が非常によく出題されます。
関連する用語
ファイアウォールに関連する用語としては、外部公開用のサーバー群を隔離配置する「DMZ（非武装地帯）」、複数のセキュリティ機能を一体化した「UTM（統合脅威管理）」、そして通信を代理で行い内部のIPアドレスを隠す「プロキシサーバー」があります。これらを組み合わせて頑強なネットワーク境界防護を構築します。