ファイアウォールのルール棚卸しチェックリストと整理手順

要点： すべてのファイアウォールルールは最低でも年1回、インターネット向けとリモートアクセス向けのルールは四半期ごと、変更したルールはその変更の時点で見直します。各ルールで、責任者と理由があるか、送信元・宛先・サービスが十分に絞られているか、ログが有効か、最近使われているかを確認します。一度に削除せず、無効化、様子見、削除の順に進め、いつでも戻せる設定バックアップを残します。

この記事は、自分で構築していない、または何年も前に構築したファイアウォールを管理する情シス担当者とエンジニアに向けています。読み終えると、見直しの頻度、ルールごとのチェックリスト、戻せる整理手順、繰り返し使える1ページの記録票が手に入ります。

ファイアウォールのルールはどのくらいの頻度で見直すべきか

NIST SP 800-41 第1版（Revision 1、2009年9月）「Guidelines on Firewalls and Firewall Policy」は、ファイアウォールのルールセットは時間とともに複雑になるため、監査や緊急時だけでなく、一定の間隔でポリシーを見直すべきだとしています。また、前回の見直し以降のすべての変更について、誰がどのような状況で行ったかを確認すること、ときどき通常の見直しチーム以外の人にルールセットを監査してもらうことも勧めています。日数の具体的な数字は示していません（2026年10月28日確認）。

そのため、以下の頻度は当社が推奨する出発点であり、NISTの数字ではありません。リスクと変更の多さに合わせて調整してください。

変更のたび：新しいルールは、本番に入れる前に別の人がレビューします。コメント、責任者、チケット番号を付けます。
毎月（軽め）：直近1か月に追加されたルール、期限が近い一時ルール、ログでヒット数や拒否数が急に増えたルールを確認します。
四半期ごと：インターネット、取引先、VPNやリモートアクセスのグループからの通信を許可するルールをすべて見直します。
年1回：ルールセット全体を見直してテストします。可能なら、通常のチーム以外の人にレビューしてもらいます。
イベントのあと：セキュリティインシデント、合併やオフィス移転、大きなアプリケーション変更、ファイアウォールの入れ替えのあとに、あらためて見直します。

始める前に

設定をバックアップする。ファイアウォールが対応するすべての形式で取ります。NISTは定期的なバックアップを勧めており、バイナリ形式と人が読める形式がある場合は両方を保管するよう述べています。
ヒットカウンターまたはログ検索の結果とともにルールをエクスポートする。期間は少なくとも業務の一巡（月末や四半期末のジョブを含む）をカバーします。
最新のネットワーク構成図とアドレス一覧を用意する。ない場合はネットワーク構成ドキュメントのテンプレートを参考にしてください。
ルールの責任者を探す。責任者が分からないルールは、真っ先に疑います。
ファームウェアのバージョンとパッチ状況を確認する。アップグレード自体はネットワーク機器のファームウェア更新チェックリストにまとめています。
見直しと整理のための変更記録を起票する。メンテナンス時間帯と承認者を明記します。

ルールごとのチェックリスト

各ルールについて、次の質問に答えます。「いいえ」または「不明」は、すべて指摘事項です。

コメントに責任者と業務上の理由が書かれているか。
誰がいつ承認したかが分かるチケットまたは変更番号があるか。
送信元は可能な限り絞られているか（具体的なアドレス、グループ、サブネット）。「any」ではないか。
宛先は可能な限り絞られているか。「any」ではないか。
サービスは具体的なポートやプロトコルの一覧か。「any」ではないか。
方向は正しいか。受信用、送信用、内部通信用のどれなのかが明確か。
重要なシステムに届く許可ルールと、境界の拒否ルールで、ログが有効か。
見直し期間中に通信にヒットしたか。（ヒットカウンターやログ検索で分かります。カウンターは再起動、フェイルオーバー、ポリシーの再投入でリセットされることが多いため、「ヒットなし」を未使用と判断する前に、カウンターがどれだけ動いているかを確認します。これは一般的な実務であり、NISTの内容ではありません。）
一時ルールなら、期限があり、その期限が未来か。
上位のルールに隠されている、または重複しているため、永久に一致しない状態ではないか。
順序は妥当か。多くのファイアウォールは上から順に一致するまで調べるため、上のほうにある広いルールが、その下のすべてを隠してしまいます（拒否ルールを先に評価する製品もあるため、使用中の製品を確認してください）。
管理インターフェース（ファイアウォール自体、スイッチ、サーバーのコンソール、リモートデスクトップ、SSH）をインターネットに公開していないか。
暗号化されたプロトコルが使えるのに、暗号化されていないプロトコル（telnetやFTPなど）を許可していないか。
最後のルールは拒否か。明示的に許可されていない通信がブロックされるか。NISTはこれを「デフォルト拒否（deny by default）」と呼び、禁止されていないものをすべて許可するより安全だとしています。

ルールの周辺設定も見直します。誰がファイアウォールにログインしてルールを変更できるか、管理者アカウントが個人ごとになっているか、管理インターフェースが信頼できるネットワークに限られているか、各システムのログを突き合わせられるよう時刻が同期されているかです。NISTは、誰が、どこからルールセットを変更できるかを制限するよう勧めています。

1ページの記録票を使うと、見直しを後から追跡できます。

ファイアウォール：______  機種/ファームウェア：______  見直し日：______
担当者：______  レビュー者：______  変更番号：______
設定バックアップの保存先：______  見直したルール：___ / ___
ルールごと：ID | 責任者 | 理由 | 送信元 | 宛先 | サービス
 | ログ 有/無 | 期間内ヒット | 一時？期限 | 指摘
ルールごとの判断：維持 / 絞り込み / 無効化 / 削除
無効化日：______  削除予定日：______
受け入れた例外（ルール、リスク、承認者、再確認日）：______
次回の見直し日：______

指摘ごとの対応

各ルールにつき、結果を一つ選びます。

維持：責任者と理由があり、範囲が狭く、最近ヒットがある。見直し日を記録します。
絞り込み：動いているが必要以上に広い。「any」を実際のアドレスやサービスに置き換えてテストし、広いほうを外します。
無効化してから削除：責任者がいない、業務の一巡の間ヒットがない、期限切れ、または隠されている。まず無効化し、まだ削除しません。
すぐ削除：完全な重複、または無効化して保留期間を問題なく経過したルールだけです。
エスカレーション：管理インターフェースの公開、暗号化されていないプロトコル、「any」から「any」の許可。日常の整理ではなく、責任者と期限を決めたリスクとして扱います。

整理の手順

最新の設定バックアップを取り、保存場所を控える。
変更の一覧とメンテナンス時間帯を、ルールの責任者と業務側と合意する。
広すぎるルールから絞り込む。一つずつ行い、変更のたびに影響するアプリケーションをテストする。
使われていないルールと期限切れのルールを無効化する。コメントに日付とチケット番号を書く。
決めた保留期間の間、ログを見る。保留期間は、最も長い定期ジョブを含む長さにする。目安は、少なくとも月末を一回含む30〜35日。新しい拒否とユーザーからの報告に注意する。
保留期間が苦情なく終わったら、無効化したルールを削除し、削除を記録する。
ネットワーク構成図、ルールのコメント、見直しの記録を更新する。
次回の見直しを予定し、日付を誰かのカレンダーに入れる。

戻す手段は、手順1の設定バックアップと、無効化したルールを数秒で再び有効にできることです。保留期間が終わるまで、両方を残しておきます。

よくある失敗

短い観察期間でヒットがゼロだからと削除する。月末、四半期、年次のジョブがあとで失敗します。対策：業務の一巡を見て、削除の前に無効化する。
ルールだけを見て、誰が変更できるかを見ない。対策：毎回の見直しに、管理者アカウント、アクセス元、変更ログを含める。
コメントがない。なぜあるのか誰も分からず、誰も消せません。NISTは、ルールにコメントを付けるのは手間が小さい一方で、後の監査で役立つと述べています。対策：作成時に責任者、理由、チケット番号を必須にする。
一時ルールが恒久ルールになる。対策：一時ルールには必ず期限を付け、毎月の確認で期限切れを探す。
送信（アウトバウンド）のルールを無視する。対策：入ってくるものだけでなく、出ていくものも見直す。
緊急時にしか見直さない。対策：日付をカレンダーに入れ、パッチ適用の時間帯と同じように扱う。

正しくできたかの確認

整理の前後でルール数を比べ、変更したルールをすべて一覧にする。
事前に用意した一覧に沿って、重要な通信をテストする。Web、メール、VPN、基幹業務アプリ、バックアップなど。
その後の1週間、正当な通信に対する新しい拒否がないかをログで確認する。
最後のルールが拒否であり、どの送信元からどの宛先へのどのサービスも許可する「any」のルールがないことを確認する。
設定バックアップがテスト機に復元できる、少なくともテキストビューアーで開けることを確認する。
見直しの記録が保存され、次回の見直し日が決まり、無効化した各ルールに削除日が付いていることを確認する。

よくある質問

ファイアウォールのルールの例を教えてください。

ルールは通常、送信元、宛先、プロトコル、ポートで一致を判定し、動作を適用します。例：ゲストWi-Fiのネットワークからインターネットへの TCP 443 を許可し、ゲストネットワークからすべての社内ネットワークへの通信を拒否する。

ファイアウォールルールの主な4種類は何ですか？

標準化された「4種類」の一覧はありません。実務的には、方向と動作で分けます。受信の許可ルール、送信の許可ルール、拒否（ドロップ）ルール、アドレス変換やポート転送のルールです。NIST SP 800-41は、IPアドレスとプロトコル、アプリケーション、ユーザーID、ネットワークの動きという軸でポリシーを整理しています。