① 不要になった許可ルールが残り、通信の入口が開いたままになる
穴あけ申請で開けた許可ルールは、業務が終わっても設定に残ります。使わないシステム宛ての通信が通り続けます。ルール一覧と申請記録を照合します。
SOFTWARE TESTING / QA / VERIFICATION / DOCUMENTATION
ネットワーク境界運用向け
ファイアウォール
ネットワーク境界運用向け
ファイアウォールの診断をルール設定の棚卸しから実施
ISMS審査や取引先からのチェックシートで、ファイアウォールの設定の妥当性を問われた企業へ。穴あけ申請で積み上がった許可ルール、境界を通らない経路、戻し忘れた一時開放が残っていないかを確かめます。累計5,000件以上の検証実績をもとに、ルールの棚卸しから順にご提案します。
支援事例
支援実績5,000件以上
ファイアウォールでよくあるセキュリティ不備
ファイアウォールが動いていても、通信を止めきれていない状態はルール設定に現れます。どこが危ういのか判然としないまま置くのではなく、境界の運用で実際に生じている不備を、次の5点として整理しました。
② ファイアウォールを経由しない経路が、境界の外側に残る
クラウドへの直結、拠点をつなぐ回線、持ち込み機器からのリモート接続は、境界の管理下から外れます。構成図とアドレスの割り当てから拾い出します。
③ 管理画面やVPNの口が外部に公開され、突破口になる
機器の設定画面やVPNの接続口が、導入時の設定のまま外部に見えることがあります。認証を破られれば境界の内側へ入られます。公開範囲を洗い出します。
④ 緩めたルールが戻されないまま、防御の範囲が狭くなる
通信が止まるのを避けて、範囲を広げた一時開放が加わります。あとで戻す作業は記録に残らず、緩めた範囲は遮断が効きません。変更履歴をたどります。
⑤ 内側から外への通信が制限されず、侵入後の被害が広がる
ルールは外から内への通信に偏り、内から外は制限しない設定のままです。侵入されたあとの外部への送信を止められません。内から外の制御を見ます。
脆弱性が残存することで起きる問題
境界の不備が残っていると、起きることは設定の是正だけでは収まりません。取引の継続や事業運営そのものへ、順に波及していきます。
診断時におさえるべきセキュリティ観点
外から当てるスキャンだけでは、いまの許可ルールが業務要件に見合っているかどうかはわかりません。設定の記述、境界の外に出た経路、変更の記録を突き合わせ、次の5点から診断します。
使われない許可ルールの残存を防ぐ
許可ルール一覧の棚卸しと業務要件との突き合わせ手順
許可ルールの一覧と穴あけ申請の記録を並べ、いま動いている業務やシステムとの対応を1件ずつ照合します。使われていないルール、範囲が広すぎるルールを特定します。
確認する資料
- 許可ルール一覧
- 穴あけ申請記録
境界を通らない経路の見落としを防ぐ
境界を経由しない経路の洗い出しと到達可否の検証
ネットワーク構成図とアドレスの割り当て、名前解決の状態を突き合わせ、境界を通らずに内外がつながる経路を拾います。拾った経路には外部から通信を送り、到達するかを検証します。
確認する資料
- ネットワーク構成図
- アドレス割当表
管理画面やVPNからの突破を防ぐ
管理画面・VPN接続口の公開範囲と認証設定の確認手順
機器の設定画面とVPNの接続口について、どこから接続できる状態かを機器の設定情報から読み取ります。認証方式、初期設定の残り、接続元の絞り込みまで範囲を書き出します。
確認する資料
- 機器の設定情報
戻し忘れた一時開放の残りを防ぐ
緩めたルール・一時開放の残存と影響範囲の検証
設定の変更履歴と申請の記録から、検証や障害対応で一時的に開放したルールを拾い出します。戻し漏れが残っていないか、緩めた範囲がどの通信まで通しているかを洗い出します。
確認する資料
- 設定変更履歴
- 申請記録
侵入後の外部への送信を防ぐ
内側から外への通信制御と遮断記録の確認・検証手順
内側から外への通信について、ポリシーの設定と遮断の記録を読み合わせます。想定していない宛先への送信を止められる状態か、記録が残る状態かを、実際に通信を送って検証します。
確認する資料
- 通信ポリシー設定
- 遮断記録
診断の進め方・具体的な診断内容
これらの観点は、予算と期限に収まる計画へ落とさなければ動きません。範囲の決め方から報告後の再診断までは、次の4段階です。
対象機器と経路を棚卸しし、診断する範囲を決める
ファイアウォールとVPN装置、外に向いている経路を先に一覧化します。取引先へ回答する期限と、経路ごとに業務が受ける影響を照らし、着手の順を合意してから作業に入ります。
- 01ファイアウォールとVPN装置を一覧化する
- 02外に向いている経路を先に一覧にする
- 03取引先の回答期限と業務影響から着手の順を合意する
OUTPUT対象機器・経路一覧
設定の読み取りと外部からの検証を組み合わせる
設定を読む作業と、外部から通信を送る作業では、見つかる不備の種類が違います。ルールの記述からは重複や過大な範囲、外部からの検証からは到達できる経路が出るため、両方を重ねます。
- 01ルールの記述から重複や過大な範囲を拾う
- 02外部から通信を送り到達できる経路を確かめる
- 03見つかる不備の種類が違う両方の作業を重ねる
OUTPUT設定読み取りと検証記録
検出した事項を、ルール修正で塞げるものと構成変更が要るものに分ける
塞ぎ方は事項ごとに違います。ルールの修正で対応できるものと、経路や構成の見直しが要るものに分けて整理します。着手の順を決められるよう、確認した手順を添えてお渡しします。
- 01ルールの修正で対応できる事項を切り分ける
- 02経路や構成の見直しが要る事項を判別する
- 03事項ごとに確認した手順を添えて整理する
OUTPUT切り分け済み是正計画
確かめた範囲と未確認範囲を分けて報告し、是正・再診断まで伴走する
検証した機器とルール、経路の単位まで踏み込んで、どこを確かめたのかを書き下します。手を付けなかった範囲と残るリスクは、期間や環境の都合とあわせて記載し、修正後の再診断も引き受けます。
- 01検証した機器とルールと経路の単位で書き下す
- 02手を付けなかった範囲と残るリスクを記載する
- 03修正後に再診断する範囲と条件を定める
OUTPUT検証範囲と残存リスク表
私たちGENZが、このようなファイアウォールのセキュリティ診断を代行します
固定費を抱えない人日単位のアサイン、監査にも使える独立した検証の記録、育成期間なしに活かせる専門ノウハウなど、第三者へのアウトソースには複数のメリットがあります。
OUTSOURCING RATIONALE
THIRD-PARTY VERIFICATION
01
必要な時に必要な分だけ
人日単位のアサインで固定費を抱えず、繁忙期に増減できます。
02
独立した視点で品質を底上げ
独立した検証で偏りを排し、監査に使える客観的な記録を残せます。
03
専門ノウハウを即戦力で
JSTQB認定エンジニアが在籍し、対象領域固有の検証知見を育成期間なしに活用できます。
専門知識を持ったテストエンジニアが、第三者目線でテストするメリット
- 開発側の思い込みや先入観に影響されず、仕様の抜け漏れを検出できる
- テスト技法にもとづく境界値・異常系の網羅で、見逃しを減らせる
- 開発チームがテスト工数から解放され、開発に専念できる
5,000件以上の実績に裏付けられた伴走型支援
GENZが引き受けるのは、機器の入れ替えや常時の運用代行ではありません。すでに入っているルール設定の側に立ち入り、どこまで診断するかを一緒に決めながら、境界の実態に合わせて次の4点を担います。
ルールの棚卸しから始める段階的提案
対象の機器と経路、どこまで踏み込むかは相談して決めます。まず許可ルールの棚卸しだけを切り出す形からでも着手できます。
設定の読み取りと外部検証の両立体制
設定の記述を読む作業と、外部から通信を送って確かめる作業を、同じ案件のなかで重ねます。どちらか片方に寄せません。
未確認範囲と残存リスクまで整理
機器とルール単位で、どこまで検証したかを書きます。未確認の範囲は理由まで併記し、社内の稟議や取引先への回答にも回せます。
是正・再診断まで一つの窓口で伴走
診断後1年間は、無償での再診断を承ります。修正が終わったあとの確認から次の検証まで、ソフトウェアテストの窓口がそのまま受け付けます。
ご相談から納品までの流れ
対象範囲と判断基準を先に合わせ、進捗と残るリスクを共有しながら進めます。
ヒアリングで対象範囲を具体化する
対象システム、拠点、商品区分、連携先、業務フロー、リリース時期を確認し、未検証領域を可視化します。
テスト計画と優先順位を合意形成
事故影響、変更量、利用頻度、代替手段の有無から優先順位を定め、必要工数の見積条件を揃えます。
テスト実施と進捗・課題を毎回共有
実施状況、発見事項、ブロッカー、追加確認が必要な仕様を共有し、終盤のまとめ出しを避けます。
報告書納品と再テスト支援まで実施
テスト完了レポートに結果、証跡、未実施範囲、残留リスクを整理し、修正後の再テスト条件まで引き継ぎます。
累計5,000件以上の対応実績
ファイアウォールの診断範囲と優先順位を、GENZに相談する
相談の場では、どの機器と経路まで診断するか、どこから着手するか、工数をどう見込むか、負荷テストや機能テストといった関連テストが要るかを、順に整理していきます。