Firewallの性能の差、違いについて

質問

Firewallの性能の差について教えて下さい。
過去の質問で海外の評価機関のテスト結果も見たのですが、通常使用の状態でどのくらい差が出るものなのでしょうか。

多分テストのときは、セキュリティーレベルを最大限上げてテストしていると勝手に思っているのですが（設定条件は分かっていません）、一般人が通常使用している場合でも差が顕著に出るのでしょうか。

想定条件が無いと漠然とすると思いますが、例えばセキュリティーレベルを市販ソフトの「中」特にアングラサイトや海外サイトを閲覧しない場合の使い方でかなり変わりますか？

私の使用環境では、ルーター有り、OSはXPで２台PCを使用。
１台はKIS7.0　もう1台はフリーで組み合わせで（PC TOOLS FIREWALL,avast!スパイ対策4種類）
どちらもFirewallは攻撃を今まで察知したことは無いぐらいの利用です。KIS7.0の方のFirewallは学習モードにしています。

実感として性能差を感じる機会が無いのですが、どのぐらいの違いがあるのでしょうか。
セキュリティーレベルを上げるとインターネット閲覧にも支障が出る場合が多いと思いますが、セキュリティーを「中」程度でどの程度差が出るのでしょうか。
（日本語対応のフリーのFirewallは2種類ぐらいしか無いと思いますが上位のソフトとではかなり違いますでしょうか）
検査機関の評価だとかなり違っていますが、一般的な利用状況ではどうなのかと疑問があり、質問しました。

日本語対応のソフトを使っているのは、理解出来なくて利用するよりは理解出来るものの方が結果的に安心出来ると思って使っています。
スパイ対策が英語なので頑張ればFirewallも高機能を使えばいいとは思っていますが、まだ試していないところです。

回答No.2

wamos101 · ベストアンサー

当方、アングラ突入調査や対策ソフトなどのテストをしております。

えっとですね、各種テストでは大概セッティングのことが書かれてますよ。default、highestといった感じで。ポイントの与え方なども書いてあることもあります。

で、手元にPC JAPAN 2007 12月号があるのですが、この中でPFWのAnti-Leak関連のテストが載ってます。日本で手に入る主な総合対策ソフト10製品をテストしてます。このテストではデフォルトセッチンングでの検証記事が出てます。

このテストにおいては、Anti-Leakのテストツール18種類を使ってテストしてますが、これによるとKIS 7.0が13検出でトップ、次いで12検出のG-DATA、10検出のバスター2008となっています。

おもしろいのはこの後で、テストツールではなく実際のMalware(Firewall Bypass機能のあるRAT)によるテストを行っていますが、KIS 7.0では検出ブロック出来ているのに、G-DATAやバスターはすり抜けてしまいました。KISの他に検出ブロック出来たのはF-Sec Internet Securityだけです。この辺ですねコアな部分は。

ちなみに、ボクが個人的にやってるテストは

1 既に対応済みの既知のMalwareを改変してわざと検出をすり抜けるように、あるいはリアルタイムスキャンをOFFって擬似的にスキャンをすり抜けた状態を作って、スキャン以外での防御機能があるかのテスト

2 実際のFWB-Malwareによるテスト。これは、RAT(Remote Admin Tool)、Keylogger、Downloaderなどを使います。

※FWB：Firewall Bypass

3 対策ソフト無効化機能があるMalwareを使った防御テスト

で、実際に自分でやってみるとわかりますが、意外と(?)性能差あってなかなか興味深いですよ。Anti-Leakテストなんかはテストツールが公開されてるわけですから、誰でも出来ますね。ちなみに、ボクは仮想マシン上でのテストです。

こちらに主なFirewall Bypass手法の解説が載ってます。

http://www.matousec.com/projects/windows-personal-firewall-analysis/introduction-firewall-leak-testing.php

お礼

回答ありがとうございます。
＞えっとですね、各種テストでは大概セッティングのことが書かれてますよ。default、highestといった感じで。ポイントの与え方なども書いてあることもあります。

そうでしたか。よく見ていませんでした。今度注意して翻訳を使いながら読んでみます。

PC JAPAN 2007 12月号もバックナンバーなど読めれば、一度読んでみます。
参考になりました。ありがとうございます。

回答No.3

wamos101

#2です。追記します。

前回書いたAnti-LeakのテストツールやFWB-Malwareによるテストはアウトバウンドのものです。

FWB-RATの例で説明いたしますと、ユーザー側のRATサーバーからクラッカー側のクライアントにリバース接続を行います。この時、普通にRATサーバーを起動して(感染に成功したとして)通信を行おうとしてもPFWが感知してしまうので、Internet Explorerやメッセンジャーなどユーザーが通信を許可していると思われるプログラムに成りすましてすり抜けを図ったりします(ウィンドウレス)。

なお、Rootkit機能付RATも現在では珍しくなく、この場合、通信のアクティビティー自体を隠匿してしまうことも可能です。ちなみに、ユーザーモードRootkitとカーネルモードRootkitがあります。APIのフックなどによって行われます。

※参考情報

http://itpro.nikkeibp.co.jp/article/NEWS/20080122/291708/

お礼

再度回答ありがとうございます。

自分で検証、テスト出来る力がついたら面白そうですね。
もう少しFirewallの機能について理解出来るように調べて使いこなせるように頑張ってみます。

回答No.1

FMVNB50GJ

ルーターがあるとルーターで接続要求が遮断されるので「攻撃」が来なくて当然でしょう。もしパソコンで検知したらルーターを超えてきたことになりますね。

パソコンからネットへのものはファイアーウォールの重要な部分。その部分がどうなのか、わからないからね。
ただ、まだ許可していないソフトがネットに向けてパケットを出そうとしているときに抜けてしまうようなwindowsファイアーウォールを使わない限りどこもそんなに変わらないと思うけど。

ルーターのログを見てはどうでしょう。「攻撃」を見ることできるかもしれません。

お礼

回答ありがとうございます。
＞ルーターがあるとルーターで接続要求が遮断されるので「攻撃」が来なくて当然でしょう。もしパソコンで検知したらルーターを超えてきたことになりますね。

そうですね。実際に感知したら大変だと思います。そこまでされるなら現在の私のセキュリティーでは分からず感知できないかもしれませんですし。
そんなに現在の利用方法では違いは出ないかもしれませんね。
まあせっかく高機能のFirewallも利用出来るので、今後試してみたいと考えております。
ルーターのログを前に見たのですが、時間を掛けて調べないとよく分からないと思いました。