ステートフルインスペクション とは？

普通のパケットフィルタリングは、届いたパケットの「送信元」「宛先」「ポート番号」だけを見て通すか止めるか決めるんだ。でもステートフルインスペクションは、過去の通信の流れまで覚えているんだよ。

たとえば、レストランの受付をイメージしてみて。普通のフィルタリングは「予約名簿に名前があるか」だけ確認する。ステートフルインスペクションは「この人はさっき入店して、今は食事中で、次はお会計のはず」という流れまで把握しているんだよ。だから突然「お会計します」って入ってきた知らない人を怪しいと判断できるんだ。

TCP通信なら、3ウェイハンドシェイクの状態を追跡するよ。SYN→SYN-ACK→ACKという正しい手順で接続が始まったか、今はデータ転送中か、切断処理中かといった状態をテーブルに記録しているんだ。

そのとおり。たとえばいきなりACKパケットだけ送りつけてくるような攻撃は、「この接続のSYNを受けていないぞ」と判断して弾けるんだよ。これはパケット単体を見るだけでは分からないことだね。

状態テーブルを維持する分、メモリは消費するよ。大量の同時接続があるとテーブルが膨らむから、DDoS攻撃で意図的にテーブルを溢れさせる「ステートテーブル枯渇攻撃」という手法もあるんだ。だから現代のファイアウォールはテーブルサイズの上限やタイムアウト設定が重要になるよ。

次世代ファイアウォールはステートフルインスペクションをベースに、アプリケーション層まで検査する「ディープパケットインスペクション」や侵入防止システム（IPS）を組み合わせているよ。ステートフルインスペクションは今でもファイアウォールの土台として欠かせない技術だね。