UTM、ファイアウォール、WAFは、いずれもセキュリティ対策に使われますが、同じ役割の製品ではありません。
ファイアウォールはネットワークを出入りする通信を制御し、WAFはWebアプリケーションへの通信を検査します。
UTMは、ファイアウォールを含む複数のセキュリティ機能をまとめて運用する仕組みです。
三者の関係を理解すると、必要な対策を選びやすくなります。
UTM、ファイアウォール、WAFの違い
最初に、守る対象と役割を比較します。
| 比較項目 | UTM | ファイアウォール | WAF |
|---|---|---|---|
| 主な目的 | 複数のセキュリティ機能をまとめて管理する | ネットワークを出入りする通信を許可または拒否する | Webアプリケーションへの不正な通信を検査する |
| 主に見るもの | ネットワークを通る通信やメール、Webアクセスなど | IPアドレス、ポート、通信の状態、製品によっては通信内容 | Webアプリケーションに届くHTTPまたはHTTPSの通信内容 |
| 主な配置 | ネットワークの出入口 | 外部ネットワークと内部ネットワークの境界 | Webサーバーの手前 |
| 三者の関係 | ファイアウォール機能を含む複数機能のまとまり | 単独で使う場合と、UTMの一機能として使う場合がある | Webアプリケーションの保護に役割を絞った対策 |
UTMとファイアウォールは、完全に別の対策とは限りません。
UTMには通常、ファイアウォール機能が含まれるためです。
一方、ファイアウォールとWAFは、どちらも通信を検査しますが、判断する対象が異なります。
ネットワークへの接続を制御するのがファイアウォールであり、Webアプリケーションに届く要求の内容を検査するのがWAFです。
UTMは複数の対策をまとめて運用する
UTM（Unified Threat Management）は、日本語で「統合脅威管理」と呼ばれます。
複数のセキュリティ機能を一つにまとめ、管理を集約する仕組みです。
代表的な機能には、次のものがあります。
- ファイアウォール：通信ルールにもとづいて、ネットワークへの接続を制御する
- アンチウイルス：ウイルスやマルウェアを検出し、対処する
- IDSまたはIPS：不審な通信や攻撃の兆候を検知し、必要に応じて防ぐ
- Webフィルタリング：業務上不要または危険と判断したWebサイトへのアクセスを制限する
- スパムフィルタリング：迷惑メールを判定し、受信を抑える
UTMが向いているのは、複数の機能を個別に管理する負担を減らしたい組織です。
たとえば、IT担当者が少ない小規模なオフィスや支社では、管理窓口をまとめることで運用を整理しやすくなります。
ただし、「UTMを導入すれば、ほかの対策を検討しなくてよい」という意味ではありません。
公開しているWebアプリケーションの有無など、自社が守る対象に合わせて必要な機能を選ぶ必要があります。
ファイアウォールはネットワーク通信を制御する
ファイアウォール（Firewall）は、外部ネットワークと内部ネットワークの境界で通信を監視し、設定したルールに従って通すかどうかを判断する仕組みです。
ファイアウォールが確認する情報は、方式によって異なります。
- パケットフィルタ型：通信データのヘッダーを確認し、送信元や宛先、ポートなどをもとに許可または拒否を判断する
- ステートフルインスペクション型：通信の状態を記録し、接続の流れに合わないパケットを識別する
- アプリケーション層ファイアウォール：アプリケーションレベルの通信内容も検査する
「アプリケーション層ファイアウォール」はWAFと名称が似ています。
この記事では、WAFをHTTPまたはHTTPSで届くWebアプリケーション向けの通信を検査する仕組みとして区別します。
たとえば、社内ネットワークから必要な通信だけを許可したい場合や、特定のIPアドレスまたはポートへの接続を制限したい場合に使います。
ファイアウォールの中心的な役割は、ネットワーク通信の入口と出口を制御することです。
Webアプリケーションに送られる入力内容を詳しく調べる役割は、次に説明するWAFが担います。
WAFはWebアプリケーションへの通信を検査する
WAF（Web Application Firewall）は、Webアプリケーションへの通信を検査し、攻撃と考えられる要求からアプリケーションを守るための仕組みです。
主な対象には、次のような攻撃があります。
- SQLインジェクション：不正なSQL文を入力し、データベースを意図しない形で操作しようとする攻撃
- クロスサイトスクリプティング（XSS）：悪意のあるスクリプトをWebページ上で動かそうとする攻撃
- OSコマンドインジェクション：入力欄などを悪用し、サーバー上で意図しないコマンドを実行しようとする攻撃
ファイアウォールがWebサイトへの通信を許可していても、その通信に不正な入力が含まれる場合があります。
WAFはHTTPまたはHTTPSの通信内容を調べ、Webアプリケーションを狙う要求を識別します。
そのため、オンラインショップ、会員制サイト、クラウド上のWebアプリケーションなど、外部に公開するWebサービスを守りたい場合に検討します。
必要な対策を選ぶ手順
三者から一つだけを選ぶのではなく、守る対象と管理方法を分けて考えると判断しやすくなります。
- 守る対象を確認する：社内ネットワーク全体なのか、外部に公開するWebアプリケーションなのかを整理する
- 制御したい通信を確認する：IPアドレスやポートをもとに接続を制御したいのか、Webアプリケーションへの入力内容まで検査したいのかを決める
- 必要な機能を確認する：ファイアウォールに加えて、アンチウイルス、IDSまたはIPS、Webフィルタリングなどが必要かを確認する
- 運用体制を確認する：複数の機能を個別に管理できるのか、UTMで管理をまとめたいのかを検討する
小規模オフィスのネットワークを守る場合
複数のセキュリティ機能を少人数で管理したい場合は、ファイアウォール機能を含むUTMが候補になります。
外部に公開するWebアプリケーションがなければ、WAFの必要性は低くなります。
一方、Webアプリケーションを運用している場合は、その保護を別に検討します。
オンラインショップや会員制サイトを守る場合
ネットワーク境界の通信制御にはファイアウォールを使い、Webアプリケーションへの要求の検査にはWAFを使います。
UTMを導入している場合は、その中のファイアウォール機能と、Webアプリケーションを守る機能の役割を分けて確認します。
多層防御では役割の重なりを整理する
多層防御とは、守る場所や対象が異なる複数の対策を組み合わせる考え方です。
UTM、ファイアウォール、WAFを必ず三つとも別々に導入することを意味するわけではありません。
UTMにファイアウォール機能が含まれるように、機能が重なる場合があるためです。
ファイアウォールはネットワーク通信を制御し、WAFはWebアプリケーションへの通信内容を検査します。
複数の機能をまとめて管理したい場合はUTMを検討します。
自社のネットワーク構成、公開しているサービス、必要な機能、運用体制を整理し、それぞれの役割が過不足なくつながる構成を選びましょう。