最終更新日：2026年6月21日

sg sg-security-measures unauthorized_access network access_control

まず結論

パケットフィルタリング方式とは、通信の最小単位であるパケットの情報を見て、通すか遮断するかを判断するファイアウォール方式です。

主に見ているのは、次のような情報です。

  • 送信元IPアドレス
  • 宛先IPアドレス
  • 送信元ポート番号
  • 宛先ポート番号
  • プロトコル

SG試験では、パケットフィルタリング方式は、パケット単体の条件で判断する方式と押さえるのが大切です。

ステートフルインスペクション方式との違いは、通信の状態を覚えて判断するかどうかです。

直感的な説明

パケットフィルタリング方式は、受付でいうと、名簿や条件だけを見て通す受付のようなものです。

たとえば、次のようなルールを作ります。

  • 社内から外部のWebサイトへの通信は許可
  • 外部から社内への不要な通信は遮断
  • 特定のポート番号への通信だけ許可

このように、あらかじめ決めた条件に合うかどうかで判断します。

ただし、パケットフィルタリング方式は、基本的にそのパケットがどの通信の続きなのかまでは詳しく見ません。

そのため、通信の流れまで考えて判断するステートフルインスペクション方式とは、ここが大きな違いです。

定義・仕組み

パケットフィルタリング方式では、ファイアウォールにアクセス制御ルールを設定します。

そして、通過しようとするパケットのヘッダ情報を見て、ルールに合っているかを確認します。

たとえば、次のようなルールです。

条件 動作
社内PCから外部WebサーバへのHTTP通信 許可
外部から社内PCへの不要な通信 遮断
管理用ポートへの外部からの通信 遮断

DMZにWebサーバを置き、インターネットからWebページの閲覧だけを提供する場合は、Web閲覧に必要なHTTP（80番）やHTTPS（443番）を許可し、それ以外の不要なプロトコルは遮断する、という考え方になります。

プロトコル 主な用途 Web閲覧だけを提供する場合の考え方
FTP ファイル転送 Web閲覧には不要なので遮断候補
HTTP Webページ閲覧 閲覧提供に必要なので遮断できない
SMTP メール送信・転送 Web閲覧には不要なので遮断候補
SNMP ネットワーク機器の監視・管理 インターネットからDMZへ公開する用途では通常不要

ここで重要なのは、主にヘッダ情報を見る点です。

通信の本文や、Webアプリケーションへの入力内容を詳しく検査する方式ではありません。

参考として、NISTのファイアウォールに関する文書でも、ファイアウォール技術の例として、パケットフィルタリング、ステートフルインスペクション、アプリケーションプロキシゲートウェイなどが整理されています。
NIST SP 800-41 Rev.1 Guidelines on Firewalls and Firewall Policy

ファイアウォール方式の切り分け

方式 見ているもの 試験での判断基準
パケットフィルタリング方式 IPアドレス、ポート番号、プロトコルなど パケット単体の条件で判断する
ステートフルインスペクション方式 通信セッションの状態 通信の流れ・状態を見て判断する
アプリケーションゲートウェイ方式 アプリケーションプロトコルの内容 プロキシとして中継し、内容を詳しく検査する
サーキットレベルゲートウェイ方式 コネクションの確立可否 接続の成立を見て制御する
WAF Webアプリケーションへの通信内容 Webアプリへの攻撃を防ぐ
次世代ファイアウォール（NGFW） アプリケーション識別、利用者、脅威情報など 従来型FWに加えて、より細かい通信制御を行う
UTM 複数のセキュリティ機能 FW、ウイルス対策、IPSなどをまとめて提供する

SG試験では、選択肢の中に「IPアドレス」「ポート番号」「プロトコル」「パケットヘッダ」といった言葉があれば、パケットフィルタリング方式を考えます。

どんな場面で使う？

パケットフィルタリング方式は、ネットワークの基本的なアクセス制御に使われます。

たとえば、次のような場面です。

  • 外部から社内ネットワークへの不要な通信を遮断する
  • 社内から外部への通信を必要なものだけ許可する
  • 特定のサーバに対して、特定のポートだけ開ける
  • ルータやファイアウォールで基本的な通信制御を行う

設定ルールが比較的シンプルなので、基本的な制御には向いています。

一方で、通信の中身を細かく見たり、Webアプリケーションへの攻撃を検査したりする目的には向きません。

そのため、SG試験では、基本的な通信の入口管理はパケットフィルタリング、Webアプリの攻撃対策はWAFと切り分けると分かりやすいです。

よくある誤解・混同

ステートフルインスペクション方式との混同

パケットフィルタリング方式は、基本的にパケット単体の条件で判断します。

一方、ステートフルインスペクション方式は、通信セッションの状態を記録し、その通信の流れに合うかどうかを判断します。

選択肢に「過去に通過したパケット」「通信セッション」「状態に照らして判断」とあれば、ステートフルインスペクション方式です。

アプリケーションゲートウェイ方式との混同

アプリケーションゲートウェイ方式は、クライアントとサーバの間に入り、プロキシとして通信を中継します。

パケットフィルタリング方式は、アプリケーションごとにプロキシを用意する方式ではありません。

選択肢に「アプリケーションプロトコルごとにプロキシプログラムを用意」とあれば、アプリケーションゲートウェイ方式です。

WAFとの混同

WAFは、Web Application Firewallの略で、Webアプリケーションを狙う攻撃を防ぐ仕組みです。

たとえば、SQLインジェクションやクロスサイトスクリプティングなど、Webアプリへの不正な入力を検査します。

パケットフィルタリング方式は、主にIPアドレスやポート番号などを見ます。

つまり、通信の入口をざっくり制御するのがパケットフィルタリング、Webアプリの中身を守るのがWAFです。

DMZのWebサーバで「禁止できないプロトコル」を選ぶ問題

SG試験では、DMZ上の公開サーバ構成を示し、ファイアウォールで「公開サービスに必要な通信」と「止めてもよい通信」を切り分けさせることがあります。

この場合、問題文の条件が「Webページの閲覧だけを社外に提供する」なら、Web閲覧で使うHTTPを禁止するとサービス自体が提供できません。したがって、選択肢に FTP、HTTP、SMTP、SNMP が並んだら、禁止できないものは HTTP です。

選択肢 判断
FTP ファイル転送なので、Web閲覧だけなら禁止できる
HTTP Web閲覧に必要なので、禁止できない
SMTP メール送信・転送なので、Web閲覧だけなら禁止できる
SNMP 監視・管理用途なので、外部公開Web閲覧には不要

👉 判断のコツ

「提供したいサービスで使うプロトコルは止められない」と考える。

SMTP通信を許可するポート番号の見方

SG試験では、パケットフィルタリング方式の問題で、メール送信に必要なTCPポート番号や通信方向を判断させることがあります。

SMTPのデフォルトポート番号は TCP/25 です。

クライアントがSMTPサーバへ接続する場合は、次のように考えます。

見る対象 考え方
クライアント側 通信のたびに一時的なポートを使う
SMTPサーバ側 SMTPサービスとしてTCP/25で待ち受ける
戻り通信 送信元と宛先の関係が逆向きになる

ポイントは、サーバが待ち受けているポートが宛先ポートになることです。

クライアントがSMTPサーバへ接続するとき、クライアント側は一時的なポート番号を使い、SMTPサーバ側の25番ポートへ接続します。応答パケットでは、通信の向きが逆になるため、サーバ側のポート番号とクライアント側の一時ポートの関係も逆に見えます。

なお、メール関連の問題では、送信用のSMTPと受信用のPOP3/IMAPなどを混同させることがあります。問題文が「送信」なのか「受信」なのかを先に確認します。

ping制御との混同（ICMPとポート番号）

SG試験では、「pingを止めるには何を通過禁止にするか」を問う選択肢が出ます。

ここでの判断軸は、次のとおりです。

  • pingはICMP（echo request / echo reply）を使う
  • ICMPは、HTTPやSMTPのようなTCP/UDPのサービス用ポート番号で識別する通信ではない

そのため、選択肢にDNS（53）、FTP（21）、NTP（123）などが並んでいても、 ping応答を止める目的なら、まずICMPを選ぶのが正しい切り分けです。

「簡単だから不要」と考える誤解

パケットフィルタリング方式は基本的な方式ですが、不要という意味ではありません。

ネットワークの入口で、不要な通信を遮断する基本対策として重要です。

ただし、これだけで高度な攻撃をすべて防げるわけではないため、他の対策と組み合わせて使うことが大切です。

確認問題（SG試験対策）

公開WebサーバをDMZに置き、外部利用者には通常のWeb閲覧だけを提供したい。ファイアウォールで外部からDMZへの通信を絞る場合、遮断してはいけない通信として最も適切なものはどれか。

  • ア. HTTP
  • イ. FTP
  • ウ. SMTP
  • エ. SNMP
▶ クリックして答えと解説を見る（ここを開く）

正解：ア

解説

Webページの閲覧はHTTP（またはHTTPS）で行われます。公開したいサービスに必要な通信を遮断すると、利用者がWebページを閲覧できなくなります。

  • ア：HTTPはWeb閲覧に必要なので、通常のWeb公開では遮断してはいけません。
  • イ：FTPはファイル転送用なので、Web閲覧だけなら遮断候補です。
  • ウ：SMTPはメール送信・転送用なので、Web閲覧だけなら遮断候補です。
  • エ：SNMPはネットワーク機器の監視・管理用なので、外部公開Web閲覧には不要です。

👉 判断ポイント

目的のサービスに必要な通信は許可し、目的外の通信を遮断するのがパケットフィルタリング設定の基本です。

まとめ（試験直前用）

パケットフィルタリング方式は、IPアドレスやポート番号など、パケットの情報をもとに通信を許可・遮断する方式です。

試験直前は、次の基準で切り分けましょう。

  • IPアドレス・ポート番号・プロトコルを見るなら、パケットフィルタリング方式
  • 通信の状態・流れを見るなら、ステートフルインスペクション方式
  • アプリケーションごとのプロキシなら、アプリケーションゲートウェイ方式
  • コネクションの確立を見るなら、サーキットレベルゲートウェイ方式
  • Webアプリへの攻撃を見るなら、WAF

特に、選択肢に「パケットヘッダ」「送信元IPアドレス」「宛先ポート番号」といった表現があれば、パケットフィルタリング方式を選ぶ手がかりになります。

DMZのWebサーバ公開では、Web閲覧に必要なHTTP/HTTPSは許可し、FTP、SMTP、SNMPなど目的外のプロトコルは遮断候補として考えます。

© 2024-2026 stemtazoo. All rights reserved.