ネットワークの境界を守るツールだったファイアウォールの意味が変わりつつある。物理、仮想、クラウドなど多様な形態で、オンプレミス、クラウド、リモート環境に分散配置し、単一のポリシーで統合運用する「ハイブリッドメッシュファイアウォール」の考え方が生まれた。主要ベンダーは、これを現代的なファイアウォールの再定義として位置付け、製品戦略に組み込んでいる。今、ファイアウォールは新たな進化の時を迎えている。
（取材・文／春菜孝明）
 

統合管理のフレームワーク

　ハイブリッドメッシュファイアウォールの「ハイブリッド」とは、物理、仮想、クラウド型など展開形態の多様性を指す。「メッシュ」とは、境界のみに集中させず、オフィスやデータセンター（DC）、工場、クラウド、リモートユーザーなど、複数箇所にファイアウォールを網の目のように分散配置することを意味する。つまり、ハイブリッドメッシュファイアウォールとは多様な形態・場所で展開されるファイアウォールに対し、単一の管理基盤の下で一貫したポリシーを適用するためのフレームワークとなる。

　そもそも、企業ネットワークの内外を往来する通信を監視し、ルールに基づいて許可や遮断をするファイアウォールは、サイバーセキュリティーの基本的な製品として広く導入されてきた。従来は境界にアプライアンス製品として設置するかたちが基本だったが、サーバー基盤の仮想化やパブリッククラウドの普及に伴い、仮想環境やクラウド上にもファイアウォールが配置されるようになった。

　働く場所や業務システムの配置先の変化も関わっている。在宅勤務やリモートワークが広がり、利用者はオフィス以外からも業務システムに接続し、アクセス先もIaaSやSaaSなどに広がった。一方、企業内には従来の物理ファイアウォールも残っており、新旧のファイアウォールが複数の環境にある中、一元的な可視化と管理の必要性が高まり、ハイブリッドメッシュファイアウォールの認知が高まった。2025年には米調査会社のGartner（ガートナー）が「Magic Quadrant」を発表し、市場での存在感は増す一方である。
 
　VPN機器を突いたとみられるセキュリティーインシデントが広く知られるようになり、境界防御への依存を見直す動きもある。ただ、現代の多様なIT環境では、境界を守るだけでファイアウォールの役割が終わるわけではない。企業内にはPCを利用するオフィスや、サーバーを収容するDC、制御機器（OT）が稼働する工場など、性質の異なる環境がある。これらの間を行き来する通信を制御し、不正侵入があった場合の影響範囲を限定するには、ネットワークを適切に区分する必要がある。現在のファイアウォールはIPアドレスやポート番号のみならず、アプリケーションやユーザーを識別して通信を制御できる次世代型が浸透しており、こうした精密な制御が、環境ごとの細かな区分けを可能にしている。ハイブリッドメッシュとして構築されたファイアウォールを統合運用すれば、境界だけでなく社内の各所でも通信を制御し、セキュリティーゾーンを形成できる。つまり、マイクロセグメンテーションに近い役割も担えるわけだ。もちろん、社内の区分けが進んでも、社外との境目を守るという本来の役割が不要になることはない。ガートナージャパンのアナリストである池田武史・バイスプレジデントは、細かくアクセス制御するゼロトラストと「境界型防御の組み合わせは必要だ」と指摘する。
 
　米Cisco Systems（シスコシステムズ）日本法人のセキュリティ事業担当の西原敏夫・執行役員も、ゼロトラストの実現には、クラウドサービスへのアクセスに限らず、社内の通信でも権限の付与は必要最小限にすることが重要だと説く。その基盤となるのがハイブリッドメッシュファイアウォールだ。各所のポイントを一元管理し、クラウドとオンプレミスに共通のポリシーを適用することで、ゼロトラストの対象を内部通信にも広げられるからだ。

　他方、ネットワークを守る方法としては、SASE（Secure Access Service Edge）を利用してクラウド上からセキュリティー機能を提供する方法もある。ただ、米Palo Alto Networks（パロアルトネットワークス）日本法人GTMストラテジー＆エグゼキューション部門の和田一寿・プリンシパルは、工場内の機器間通信やパブリッククラウドの内部など、外部へ出ない通信ではSASEを経由することで通信経路が長くなり、遅延につながる場合があると指摘し、物理や仮想ファイアウォールを配置することが有効だとする。このような環境下では、ハイブリッドメッシュのフレームワークによって統合的に管理する必要性はさらに高まるだろう。
 

ベンダーごとで異なる強み

　国内の中堅・中小企業向けUTM（統合脅威管理）・次世代ファイアウォール市場をけん引するフォーティネットジャパンは、アプライアンスや仮想型、SaaS、マネージドサービスをそろえ、幅広い環境でファイアウォール機能を提供する。同社製品の管理基盤「FortiOS」はファイアウォールのほかに、スイッチや無線LAN、SD-WAN、SASEなど、ネットワークとセキュリティーの統合管理を可能にする。マーケティング本部の今井大輔・プロダクトマーケティングマネージャーは、同じOSを利用することで、セキュリティーポリシーや動作が統一され、製品ごとの操作方法を習得する負担を抑えられると強調。ログの形式も同一となることで「分析も簡単になる」と語る。
 
　多数の物理ファイアウォールを配置する場合は消費電力も課題になる。同社の登坂恒夫・フィールドCISOは、FortiOSに最適化した独自のASIC（半導体チップ）を用いており、ランニングコストを抑えられると説明する。今井マネージャーも「100～1000カ所の規模になるとコストパフォーマンスの差が無視できなくなる」とし、競争力につながっているとする。

　シスコは、ポリシーの適用範囲の広さを強みにする。西原執行役員は、物理、仮想、IaaS上やSSE上で提供されるファイアウォールに加え、サーバースイッチ内のファイアウォール機能や、サーバー内部の通信を監視、制御するeBPFベースのエージェントのファイアウォールにも同一ポリシーを適用すると強調する。

　西原執行役員は、ハイブリッドメッシュファイアウォール自体が最終的な到達点ではないとし、インフラ全体を横断的に可視化・分析する「壮大なブループリントにおける一つのキーコンポーネント」と位置付ける。

　パロアルトにとっても、ハイブリッドメッシュファイアウォールはセキュリティー戦略の一要素だ。セキュリティー機能全体を有機的に連携させ、ファイアウォール単体では把握できないアイデンティティーやエンドポイントなどのリスクにも対応する。

　和田プリンシパルは、利用者に起因するリスクなどがあるためサイバー攻撃の侵入経路を完全になくすことは難しいと指摘した上で、「ファイアウォールのようなセンサーをさまざまな場所に張り巡らせ、異常をすぐに見つけてニュートラライゼーション（無力化）することが重要だ」とする。

パートナーのスキル向上が必要

　各社は運用効率を高めるためにAIの活用を進めている。シスコが6月に発表した「Cisco Cloud Control」は、ネットワークやセキュリティーなどIT基盤全体を横断的に可視化し、AIによる相関分析で運用や脆弱性対応を高度化する。フォーティネットは、各所に配置したファイアウォールなどを基盤に、ポリシーの一元管理やログ分析、ネットワーク監視の機能を連携。ネットワークとセキュリティーの情報をまとめて可視化し、NOC（Network Operation Center）とSOC（Security Operation Center）の運用を効率化する考えだ。パロアルトは、複数のセキュリティー領域から集めたデータを分析し、重複するアラートを取り除いた上で、対応の自動化につなげている。

　ハイブリッドメッシュファイアウォールは、必要な領域にファイアウォール機能を順次展開した結果として構成されるケースが多い。フォーティネットでは、DCへの「FortiGate」の設置を起点に、ほかの拠点にも導入してSD-WANを構築し、クラウド上の仮想ファイアウォール、リモートユーザー向けの「FortiSASE」へと導入を広げていくのが典型的な導入パターンだという。シスコは既存の構成を生かせるとして、他社製品も連携できる点をアピールする。
 
　導入や運用では、パートナーに求められる知識も広がる。シスコの中村光宏・セキュリティ事業シニアSEマネージャーは「当社のエンジニアでは、クラウドやコンテナの技術キャッチアップが必要になっている」と説明する。

　ガートナーの池田バイスプレジデントは、日本では導入パートナーがファイアウォールの導入やポリシー設定を担う一方、機器の更新時に従来のポリシーを引き継ぐだけで終わるケースがあると指摘する。ハイブリッドメッシュファイアウォールを生かすには、アプリケーションレベルの可視化や制御を実際の運用に取り入れられるかが課題となる。