ファイアウォールの設定

質問

ウイルスバスターでファイアウォールの設定で悩んでいます。
まずファイアウィールを有効にしないと危険でしょうか？実際どれほど危険か分からないのです。

使用中のルールでホームネットワーク1,2の二つと他に二つありますが正しいルールを選択しないと効果はないのでしょうか？少しはあるのか、逆効果なのでしょうか？
もう一つルールを作り特定のポートを開放しようと思っています。その場合作ったルールを選択して適用させないとポートを開放したことにはならないのでしょうか？

お願いします。

回答No.3

noname#20957 · ベストアンサー

詳しい記述が#1/2にあるので、まぁ一般論的に。

実際の使用環境によって様々違いますから「どれほど」危険かは推測を超えませんけど、現状ネット上を行き交う通信内容の数％～10数％は確実に悪意あるモノで、しかも不特定多数を標的にしており、いつ自分が被害に逢うか、また知らずに加害者の側(過失対象)にいるか想像付かないと思って差し支えないと考えます。
折角の火壁機能ですから使わないと言うのは勿体無いでしょう。
ウチはADSL使っていますが、少なくても20件/日以上はお呼びでないアクセスがあります。ルータ、WindowsのPFWで塞いでいますからバスターが反応することは今のところありませんが、LAN内の他のマシンが感染源な可能性も考えてバスターの火壁も有効にして使っています。

ホームネット２の設定は、見た通りなーんも設定が無いのであまりアテにはなりませんねぇ。
ホームネット１の「編集」-「除外設定」で必要なものにチェックすることや内容そのものを編集することで自分の必要な情報のみ通す方が良いのでは？
また、設定外の通信の出入りについてもその都度許可する/しないの選択を求められる筈(設定次第？)ですので不用意な設定でも問題少ないような気がします。

WindowsXPですと、ネットワークの標準機能でポートフィルタリングとパーソナルファイヤーウォール機能が付属します。
其々の機能とか得手不得手など情報収集されることをお勧めします。
ルータなどの機器もWindowsも人によりモノも使い方も様々ですので、どれかひとつ使っていれば「絶対安心」ではなく、併用して使うことでひとまず安心出来ると思います。

お礼

返信ありがとうございます。
追加質問で恐縮ですがホームネットワーク1の設定追加して特定のポートを開放というのは出来ないのでしょうか？
ホームネットワーク1と別に作ったポート開放のルールを合体するというという感じに。

回答No.4

noname#20957

遅レス陳謝。

追加は簡単に出来ますよ。
ホームネットワーク１とかを変更する形でも良いし、
新しくルールを作っても問題少ないと思います。
(どちらでも標準のルールは表示されますので手順は殆ど変わらないです。)

ルールを「編集」する画面内、「除外設定」タブの追加、編集でかなり自由度の高い編集が可能です。
具体的な設定に関しては、参考URL(pdf)108ページ以降参照してみてください。
最後、「適用」をお忘れなきようｗ

参考URL：

http://a500.g.akamai.net/7/500/484/00001/www.trendmicro.co.jp/download/vb2004/vb24guidebookae0105.pdf

回答No.2

heto2

昨年夏、MSBlasterが大流行したときに感染を防いでくれたのがファイウォールソフトでした。

Windowsにはインターネットを通じて、データの送受信を実行する機能があります。
しかし、不特定の相手と無制限にこの機能を許すと何が起こるかわかりません。
送受信に使われるプログラム、IP、ポートを基準に、予め「許可」、「拒否」、「その都度確認」、のいずれかを選択してルールを作っておくと安全かっ円滑に送受信を実行できます。

外部からの不正アクセスについて、次のような例が考えられます。
これも、ファイアウォールソフトが、実行されていないと気が付きません。

１．PortScan
　始めて、ファイアウォールソフトを導入した方が最初に驚くのが、自分のパソコンに外部から無数の、そして不特定の相手からアクセスがあることです。
　このレベルではユーザーのパソコンの脆弱性を調べているだけで、殆どの場合、実害は発生しません。

２．警戒警報
　ファイアウォールソフトが無ければわからないことですが、特定のIPアドレスから、何度もアクセスがある場合、貴方のパソコンは狙われている可能性があります。
　貴方のIPアドレスと侵入可能なポート番号が相手に知れているかもしれないのです。

３．IPの固定化
　個人でサーバーを立ち上げたときなどで、IPを固定することがありますが、通常はインターネットへ接続時のIPアドレスはプロバイダーから割り当てられたアドレスで接続の都度、別の番号になります。
　所が今のように常時接続が多くなるとIPが固定されているのと同じ環境になってしまいます。
　PortScanで捕捉したIPアドレスとポート番号と特殊なソフトを使って、容易に貴方のパソコンをコントロールできるようになってしまいます。

４．「便利」と「危険」が隣り合わせ
　最近、分散コンピューティングとか、IRCとか、チャットとかいろいろ便利な機能が使えるようになっていますが、いずれも、不特定の相手方からのアクセスを許す設定が組み込まれていて「便利」と「危険」が隣り合わせになっているようです。
　不特定の相手方のなかには、当然、ウィルスを送り込む悪者も含まれてしまいます。
　そんなもの使っていないという人が多いでしょうが、Windowsを使っている限り初期設定で、それらの機能が使えるようになっていると考えていいでしょう。
　この便利さを利用して最近蔓延し始めたのがGaobot系のウィルスです。
　侵入先のパソコンを自由自在に操る上、ウィルス対策ソフト各社も対応が後手に回っています。

５．対策１
　時々インターネットから切断してIPを変更する。
　短期的には有効かもしれませんが、いつかまたやられる可能性があります。

６．対策２
　WindowsUpdate
　過去のやり方から見て、マイクロソフトは「便利」を犠牲にして「安全」を提供するという例は余りありません。

　Windowsの脆弱性を悪用するプログラム出回る--MSBlast再現の可能性も
　http://japan.cnet.com/news/sec/story/0,2000050480,20065756,00.htm?tag=nl

７．対策３
　ウィルス対策ソフトのアップデート
　単発的ではありますが、対応は進んでいるようです。
　AVERTウイルス駆除ツール
　05月02日 Stingerv2.24がリリースされました。
　http://www.nai.com/japan/security/stinger.asp
　Exploit-MS04-011
　http://www.nai.com/japan/security/virE.asp?v=Exploit-MS04-011
　W32/Gaobot.worm.ali
　http://www.nai.com/japan/security/virG.asp?v=W32/Gaobot.worm.ali

８．対策４
　ファイアウォールソフトとルーターの導入
　絶対とはいえませんが、現在考えられる最善の策でしょう。

　ルータはセキュリティの第一歩
　http://www.itmedia.co.jp/broadband/0302/24/lp24.html
　内部プログラムの怪しい動きをチェック
　http://www.itmedia.co.jp/broadband/0302/25/lp22.html
　セキュリティパッチの重要性
　http://www.itmedia.co.jp/broadband/0302/26/lp15.html

☆特定のポートを開放
　充分な知識と対応策無しに、この種の設定をするのは危険です。
　悪意のあるユーザーによって、貴方のパソコンが自由自在に操作される可能性が出てきます。
　あなたのパソコンを踏み台にして、世界中に有害なメールやプログラムが乱発されるかもしれません。

お礼

詳しいところまで教えていただいてありがとうございます。大変参考になりました。

ポート開放はもう少し勉強してから試してみようと思います。

回答No.1

noname#194572

こんにちは。

ブロードバンドルータがないなら有効にしておくべきですね。
有効にしておかないとWindowsの弱点（セキュリティホール）につけこんで
ウイルスが入ったり、外部から破壊活動を行われる可能性があります。
なんだWindowsUpdateすればいいじゃないか、と思われるでしょうが、
残念なことにWindowsのセキュリティホールは一体いくつあるのやら、
多すぎてさっぱりわかりません。
WindowsUpdateだけでフォローできない問題が存在する可能性は高いです。
未知の危険に備えるためにも有効にしておくべきです。

さてルールの使い分けについてですが、
ホームネットワーク１は受信をすべてブロック、送信をすべて許可します。
ホームネットワーク２は送受信すべて許可です。
どちらもネットワークウイルスのアタックを検出しますので
効果がまったく無いとは言えません。
ルータが無いのにホームネットワーク２にすると
悪意のあるデータを直接送りつけられてしまう可能性があり危険です。
ルータが無い場合はホームネットワーク１にすべきですね。

ルールを作成されて除外リストにポートを登録された場合、
もちろんそのルールに変更しないとそのポートは除外されません。
必要に応じてポート開放・閉鎖をルールの切り替えで検討されていらっしゃるなら
それも一つのアイデアとして良いと思います。

お礼

ありがとうございます。
ルーターはあります。
ノートパソコンとデスクトップパソコンの2台をルーターを通して使っています。
とりあえずホームネットワーク1にしておこうと思います。