アカウント名:
パスワード:
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
日々是ハック也 -- あるハードコアバイナリアン
いまどきファイアウォールなし？ (スコア:1, すばらしい洞察)
ハードウェアとしてのファイアウォールなし、という意味だと信じたいが、ソフトウェアも含めなしだと…。
3年前の設置だとしても、さすがに危機意識がなさすぎないか？
WHOISしてみると自社運用のようだが、誰かコンサルしてあげたらどうだろ。
初心者はファイアーウォール必須 (スコア:3, 興味深い)
とか言うエンジニアって「初心者です」と言ってるようなもの。
最近は大手企業でなくてもギガビットクラスの
設計が必要な案件もたまにありますが、
そういう場合どうするのでしょうか？
まさか、NetScreenの最上位機種をいれて見積もりを出すのでしょうか？
しかも無知な業者の提案を鵜呑みにして、導入しても
サイトも実用に耐えられないものになるのがオチです。
Re:初心者はファイアーウォール必須 (スコア:2, 参考になる)
上で指摘頂いていますが、私の書いた「ファイアウォール」は「パケットフィルタや攻撃検知を簡易に行なえる機能」のイメージです。アプライアンスでもいいし、ソフトウェアでもいいです。
仰ることは、「ギガビットクラスの設計が必要な案件ではファイアウォールは入れるべきではない」ということでしょうか？
ソフトウェア処理（例えばルータのソフトウェア処理パケットフィルタ）のものも含めて？
いずれにせよ、インターネット直結ならハードウェアないしソフトウェア的なファイアウォール機能は必須だと思ってます。
各種attackを、ファイアウォール機能なしで防ぐ運用が可能なら確かに不要ですが、それってかなり厳しいんではないかと。
んで、少しでも脆弱性を守る可能性のある手が現実的にあるのなら、実施すべきではないかと。
かように思う次第であります。
Re:初心者はファイアーウォール必須 (スコア:3, 興味深い)
>「パケットフィルタや攻撃検知を簡易に行なえる機能」の
>イメージです。アプライアンスでもいいし、ソフトウェアでも
>いいです。
全てのサーバ環境に入れてるのが普通といえるくらい安価で容易に使えて、
さらに脆弱性を突く不正アクセスを未然に防げるような便利な
ソリューションって存在するんですか？
少なくとも私は聞いたことありませんね。
Webサーバなんてのは外部からアクセスされるためのものが多いので、
ファイアーウォールでもポートはスルーされていると思います。
ファイアーウォールで効果があるのは、80
Re:初心者はファイアーウォール必須 (スコア:2, 参考になる)
＞検知するようなアノマリ型くらいでしょう。
攻撃を検知するのはIDSもしくはIPSであって、
ファイアーウォールではありませんよ。
それにシグネチャ型でも製品によってはSynflood攻撃を検知可能なものもあります。
アノマリ型IDS（IPS）は・・・。
チューニングが難しいので私は運用したくはありませんね。
Re:初心者はファイアーウォール必須 (スコア:2, 参考になる)
"ファイアウォール"という単語が一人歩きしてしまっていて ファイアウォール = ○○ とは言い切れないのが現状ではないでしょうか。
私の中ではファイアウォール装置は、 L4 以上のフィルタリング機能を持ち、IDS 機能を有し(重要度によってはIPS機能も)、セキュアな VPN を構築することが出来る機能を持つことが最低の要求事項としていますが。
提案要求書に "ファイアウォールを用意すること" みたいな抽象的なことは書かないですねえ。
Re:初心者はファイアーウォール必須 (スコア:0)
> L4 以上のフィルタリング機能を持ち、IDS 機能を有し(重要度によってはIPS機能も)
ここまではまぁ、分からんでも無いけど
> セキュアな VPN を構築することが出来る機能を持つこと
そんなん、Firewallの仕事じゃねぇよ
Re:初心者はファイアーウォール必須 (スコア:0)
まぁ「OS = kernel」とか言い出すと、OSだけじゃ何もできないことになるので、普通はuserlandも含めてOSと言うのと同様だと思えば良いんでしょうが、ふと「Internet ExplorerはOSの一部だから、Windowsから分離することは不可能だ」というMicrosoftの主張に世界中が失笑した頃のことを思い出しました。
Re:初心者はファイアーウォール必須 (スコア:1)
> そんなん、Firewallの仕事じゃねぇよ
元のコメントに有るとおり、"私" が、 "ファイアウォール装置" に要求している機能です。
最近のファイアウォール装置は上記機能、 パケットフィルタリング IDS IPS SecureVPN (PPTP L2TP + IPsec など) 機能を具備している物がおおい(大半?)のですが。
SecureVPN 機能持ってないけど IDS 機能はあるという物の方が珍しいかと。
TRUST と UNTRUST の間にファイアウォール装置を置き、UNTRUST むこうがわにある TRUST な空間と接続するために VPN 機能が欲しいという要求があるのは自然なことで、世に出回っている多くのファイアウォール装置はその要求に応えるために SecureVPN 機能を搭載しています。
別に VPN の為に別箱用意してもかまわないですが、VPN 箱を別で作らなきゃいけないという結論に至る程 --ファイアウォール装置の VPN 機能じゃ手に負えないほど-- VPN を酷使する程の案件には逢ってないですねえ。
"数百～数千 Firewall-instance を作ることができ、且つそれぞれの instance が個々に別のネットワークと VPN 接続をし、全ての instance が論理的に分解されていること" という要求を、 ファイアウォール装置 と VPN 装置を分けて作ると大変ですよ。
# 要求がニッチであることは受け入れます。
サービスプロバイダ側の人なので、ユーザサイドの要求事項ではないでしょうから。
# 複数の "分離された VPN " を作れる VPN 専用装置ってあるのかな、あったらちょっと見てみたい。
# 是非、SecureVPN 機能は Firewall じゃねーから機能を削れと世界中の Firewall箱ベンダに働きかけてみてください ;-)