*ステートフルインスペクション－その２*

ここでは引き続き、ファイアウォール機器が実装しているステートフルインスペクション機能について説明します。
以下、2人の会話をご覧ください。

後輩 せんぱ～い (^ー^*)
スッキリしました？
先輩 うん、スッキリした。（*´v｀*）
後輩 話している途中にモジモジしていたから、何かな～って思ってたんですよ～ヾ(・ε・。)
先輩 まぁ、気にするな。
後輩 じゃ、さっきの続きから始めましょうか。
先輩 えーっと、まず、ステートフルインスペクションではフィルタのリストを動的に更新する、というところまではイイよね？
後輩 はい、さっきの話ではそうでした。
その機能があれば、もう十分じゃないかと思うんですが。。。
先輩 確かにそうだね。
ちなみに、「性善説」っていう言葉を聞いたことある？
後輩 えっ、なんか突然ですね。(@_@;)
簡単に言うと、「もしみんなが善人だったら？」っていう考え方ですよね？
先輩 そう。逆に、「性悪説」は「もしみんなが悪人だったら？」ということになるね。
後輩 はい。
でも、それがどうかしました？
先輩 これは考え方の問題なんだけど、ファイアウォールという機器は「性悪説」の考えに立って設置するものなんだ。
後輩 う～ん。前に言ってた、「半分は気持ちの問題」ってやつですか。（・＿・）
みんながお行儀良くルールを守って通信してくれるとは限らない、ということですか？
先輩 そのとおり。確かにTCP/IPのルール通りに振舞っている人たちはフィルタで防げる可能性が高いんだけど、ルールを守らず通信の妨害を目的に考えている人たちからのパケットは防げないかもしれない。
後輩 う～ん、じゃあチェックを厳しくすれば、、、。あ～、そういうことですか（・０・☆）
ファイアウォールとして設置するなら、規則が守られることを前提にした制御じゃ不十分なわけですね。
先輩 「チェックを厳しく」って言葉で言うのは簡単なんだけど、じゃあ何をもって正しいと判断するのか、が問題なんだ。
後輩 人間がチェックする場合のように、「不審人物」「挙動不審」「怪しい奴」みたいな曖昧な表現は使えませんよね。。。（ｰ'`ｰ;）
どうしたらいいんでショ？
先輩 さっきの「3-WAYハンドシェイク」を思い出してみそ。
後輩 えっ、またコレですか？(．．)

Filter図3

先輩 そう、コレ。( ゜゜)
さっき、「お互いにこのルールを守っているから、通信が成り立つ」と言っていたよね？
後輩 はい。
相互で同じ仕組みになっていないと、会話が成立しませんから。
先輩 ということは、どこかにTCP/IPについてのルールが書いてあって、みんながそれを参照していることになるね。
後輩 あ～、そういえばそうですね。
もしかして、Webで公開されてるとか？
先輩 そう、実は公開されているんだ。
IETFっていう組織が管理しているもので、「RFC(Request for Comments)」っていうんだよ。
後輩 へぇ～(*´ー｀)／∩
へぇ～(*´ー｀)／∩
先輩 そこには大量のドキュメントがあって、みんながその内容に従ってプログラムや製品を作っているんだよ。だから、理論的には誰が作ったものでもお互いに通信が出来るはずなんだ。
後輩 なるほど～（・〇・）
つまり、それが「みんなの正しいルール」っていうことですね！
先輩 そう(￣ー￣)
もちろん、公式な文書はRFCだけじゃなくて、他にもあるけどね。
後輩 その中のTCPに関する仕様と照らし合わせて、正しい手順のパケットかどうかチェックするんですね。
先輩 そうそう(￣ー￣)(￣ー￣)
後輩 でも、例えばどんなことをチェックするんですか？
先輩 いろいろチェックしているんだけど、一番分かりやすいのがフラグとシーケンス番号ね。
後輩 フラグは、SYNとかACKとかいうやつですよね。
えーっと、シーケンス番号は、、、パケットの通し番号？
先輩 さっきの3-WAYハンドシェイクのようにフラグには役割があって、例えばSYNフラグはハンドシェイクの時しか使われないとか、使われるフラグの順番とか、チェックの材料になるものが多いんだよ。
後輩 初めて来たパケットにSYNフラグが立っていなかったら拒否する、みたいな感じ？
先輩 そうそうそう(￣ー￣)(￣ー￣)(￣ー￣)
後輩じゃ、シーケンス番号は？
先輩 シーケンス番号は通し番号だから、途中で変なパケットが入って来たら通し番号と合っていないことが分かるので、「正しくない」という判断が出来るんだよ。
後輩 な、なるほど～(*・o・)
フラグとシーケンス番号をチェックすれば、悪意を持って変なパケットを割り込ませようとしても、検出できるんですね～！
先輩 そうそうそうそう(￣ー￣)(￣ー￣)(￣ー￣)(￣ー￣)
要は「みんなの正しいルール」と照らし合わせて、違っているものは正しくないと見なすんだよ。
後輩 ここまでやれば、「性悪説」な人たちが来ても大丈夫ですね！
先輩 そうだね。
でも、便利なことばかりじゃないんだよ～ (ﾟДﾟ )
後輩 マ、マジですか(；￣０￣)ノ
まさか、ここまで持ち上げといて「実は使い物になりましぇ～ん！ヽ(●´Д｀●)ﾉ」なんて言うんじゃ。。。？
先輩 なんじゃそりゃ？(^-^;
いや、そこまでひどい問題じゃないよ。
後輩 はぁ、よかった。ε=（・ｏ・*）
先輩 じゃ、続きは明日ね。
さて、そろそろ帰ろうっとヽ(´ｰ`)ﾉ
後輩 じゃ、わたしも帰ろうっとヽ(´ｰ`)ﾉ

以下、「ステートフルインスペクション－その３」につづく。。。

ネットワークセキュリティ関係者の部屋 > ネットワークセキュリティ実践劇場 > ステートフルインスペクション－その２