Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第4部 4-4

ファイアウォール・WAF・IDS・IPS・UTMの違い｜役割と自社に要るものの見分け方

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • UTMやWAFを勧められて、自社に何が必要か判断したいとき
  • 見積書に並んだ「IDS」「IPS」「WAF」の違いが分からないとき
  • 取引先のチェックシートで、不正アクセス対策の設問に答えるとき

読み終えたあと、社内でこう言えます

「UTMやWAFが要るかを、守りたいものの場所から整理しました」

結論：5つは見る場所と、見つけたあとの動きが違います。ファイアウォールは通信の宛先と送信元で通すかを決め、IDSは怪しい通信を知らせ、IPSは止めます。WAFはWebサイトへの通信の中身に特化した盾で、UTMはこれらを1台にまとめた箱です。選ぶときは「守りたいものがどこにあるか」から考えます。社内にサーバーがなくクラウド中心なら、高価な箱より別の対策が先になることもあります。

ファイアウォールは宛先で通すかを決め、IDSは知らせ、IPSは止め、WAFはWebサイト向けの中身を見て、UTMはそれらを1台にまとめる

5つの役割を1枚で

まず、それぞれが「何を見て」「見つけたら何をするか」を並べます。IPAの「中小企業の情報セキュリティ対策ガイドライン」の用語説明に沿っています。

名前何を見るか見つけたら
ファイアウォール送信元・宛先（IPアドレスやポート番号）決めたルールで通すか断る
IDS（侵入検知）通信やシステムの動き管理者に知らせる（止めない）
IPS（侵入防止）通信の中身知らせて、自動で止める
WAFWebサイトへの通信の中身Webアプリへの攻撃を止める
UTM（統合脅威管理）上のいくつかと、メール・URLの検査1台でまとめて対処する

会社のビルにたとえると

ファイアウォールとWAFの違い

WAFは名前に「ファイアウォール」と入っていますが、働きは別物です。IPAの「Web Application Firewall 読本」は、違いを次のように説明しています。

ファイアウォールは、通信の送信元と宛先をもとにアクセスを制限します。社内のファイル共有を外から使えないようにする、といった使い方です。しかし、Webサイトは誰でも見られるように公開しているため、ファイアウォールでは閉じられません。そのため、Webアプリの弱点を突く攻撃はファイアウォールでは防げません。

WAFは、その公開された入口で通信の中身を検査します。たとえば、データベースを不正に操作するSQLインジェクションの特徴を見つけて止めます。手口はWebアプリへの攻撃の節で説明しています。

WAFは「根本の対策」ではない

IPAの読本は、WAFを攻撃の影響を減らす対策と位置づけています。脆弱性そのものを直す対策ではありません。順番は次のとおりです。

  1. CMSやプラグインを更新し、脆弱性を直す。
  2. 管理画面への入口を絞り、使わない機能を止める。
  3. すぐに直せない事情があるときや、直すまでのあいだの守りとしてWAFを使う。

自社サイトでできることは自社サイトを脆弱性から守るためにできること12項目にまとめています。WAFを入れる前に、まずこちらを確かめてください。

IDSとIPSの違い：止めるか、知らせるか

IDSとIPSは、どちらも怪しい通信を見つける仕組みです。違いは、見つけたあとに止めるかどうかです。IPSは通信の通り道に置いて止めます。IDSは通り道の脇で見張り、知らせるだけです。

見つけ方中身弱いところ
シグネチャ型知られた攻撃の特徴（パターン）と照らし合わせる。新しい手口は見逃しやすい。
アノマリ型ふだんの通信と違う動きを見つける。正常な通信を怪しいと判断しやすい。

どちらの方式にも、誤りが2種類あります。正常な通信を攻撃と判断する誤検知（フォールスポジティブ）と、攻撃を見逃す見逃し（フォールスネガティブ）です。IPSで誤検知が起きると、正常な業務の通信まで止まります。そのため、導入直後は知らせるだけの設定で様子を見ることがあります。

もう1つ大事なのは、知らせを誰が受けて、何をするかです。IDSの警報が誰にも読まれなければ、守りになりません。中小企業では、ここが一番のつまずきどころです。

自社に何が必要か：判断の目安

必要なものは、守りたいものの置き場所で変わります。次の表は目安です。実際には、使っている機器や契約中のサービスで変わります。

会社の状況まず考えること
社内にサーバーがなく、メールもファイルもクラウドアカウントの守り（多要素認証）とパソコンの守りが先。ルーターのファイアウォールが有効かは確かめる。
社内にファイルサーバーやVPN機器がある外から入れる入口の点検と、ファイアウォールの設定。UTMを検討する価値がある。
会社案内のサイトをレンタルサーバーで運営CMSの更新が先。サーバー会社がWAFを提供していれば、有効にできるか確かめる。
ECサイトや会員サイトを自社で運営脆弱性診断と更新の体制。そのうえでWAFを検討する。
AWSなどのクラウドにサーバーがあるセキュリティグループ（仮想のファイアウォール）の設定の見直し。Webの入口にはクラウドのWAFも選べる。

AWSは、セキュリティグループを「仮想のファイアウォール」と説明しています。クラウドでも、ファイアウォールの考え方はそのまま使えます。

たとえば社員40人の卸売業では（架空の例）

社員40人の卸売業が、複合機の業者からUTMを勧められたとします。社内には受発注のファイルサーバーがあり、営業は外からVPNでつないでいます。この会社では、外から入れる入口があるため、UTMは検討に値します。

ただし、買う前に次のことを文面で聞いておくと、判断を誤りにくくなります。

  1. 何を止めるか：どの機能を有効にして届けるのか。初期設定のままではないか。
  2. 誰が知らせを読むか：警報は誰に届き、誰がどう対応するのか。監視は契約に入っているか。
  3. 更新の費用：検知パターンの更新ライセンスは何年で、切れたらいくらか。
  4. 速さ：すべての機能を有効にしたとき、通信の速さが業務に足りるか。
  5. 故障のとき：機器が壊れたら、インターネットが止まるのか。代わりの機器はすぐ届くか。
  6. 記録：通信の記録（ログ）を何日分残せて、事故のときに取り出せるか。

Moshiruは特定の製品をお勧めしません。どの製品でも、上の6点が答えられれば比べられます。VPN機器を使っている場合はVPN機器の点検もあわせて確かめてください。守りを重ねる考え方は多層防御の節にあります。

チェックシートではこう聞かれる

よくある設問答え方の例
インターネットとの境界にファイアウォールを設置していますか。はい。UTMのファイアウォール機能で、外から社内への通信は必要なものだけを許可しています。
不正な通信を検知・遮断する仕組み（IDS/IPS）はありますか。はい。UTMのIPS機能を有効にし、警報は保守会社と総務担当にメールで届きます。
公開Webサイトへの攻撃対策（WAF等）を行っていますか。はい。サーバー会社のWAFを有効にし、CMSとプラグインは月1回更新しています。
ファイアウォールの設定を定期的に見直していますか。いいえ。現在は導入時のままで、〇月に保守会社と不要な許可がないかを見直す予定です。

「はい」と答える場合は、機能が有効になっているかまで確かめます。箱があっても、機能が切られていることがあるからです。

試験ではここが問われる

SG・支援士・Security+ 3・AWS 3・CISSP 4

  • 置き場所と動き：IDSは検知して通知、IPSは検知して遮断。IPSは通信の経路上（インライン）に置きます。
  • WAFとファイアウォール：ファイアウォールはIPアドレスやポートで制御し、Webアプリへの攻撃は防げない。WAFはHTTPの中身を検査します。
  • WAFの位置づけ：脆弱性を直す根本の対策ではなく、攻撃の影響を減らす対策（IPA）。
  • 検知方式と誤り：シグネチャ型は未知の攻撃に弱く、アノマリ型は誤検知が出やすい。フォールスポジティブは誤検知、フォールスネガティブは見逃し。
  • クラウド：AWSのセキュリティグループはステートフル（行きを許せば戻りも通る）で、仮想のファイアウォールとして働きます。

確認問題

問1 IDSとIPSの違いの説明として、最も適切なものはどれですか。

  1. ア IDSは暗号化を行い、IPSは復号を行う
  2. イ IDSは不正な通信を検知して知らせ、IPSは検知して遮断する
  3. ウ IDSはWebサイト専用で、IPSはメール専用である
  4. エ IDSはIPアドレスだけを見て、IPSはポート番号だけを見る
答えと解説
正解：イ　IDSは検知と通知、IPSは検知に加えて遮断まで行います。どちらも暗号化の機器ではなく、Webやメールに限った仕組みでもありません。

問2 社員30人の旅行会社（架空）が、自社で予約サイトを運営しています。ファイアウォールは設定済みですが、予約フォームの脆弱性を突く攻撃が心配です。修正が来月になる場合、それまでの守りとして最も適切なものはどれですか。

  1. ア ファイアウォールでWebサイトのポートを閉じる
  2. イ WAFを導入し、修正が終わったあとも更新を続ける
  3. ウ IDSを入れて、警報は誰も見ない設定にする
  4. エ 社内の無線LANをWPA3にする
答えと解説
正解：イ　WAFはWebアプリへの通信の中身を検査し、修正までの影響を減らせます。アではお客様もサイトを使えなくなります。ウは知らせを受ける人がいなければ守りになりません。エは予約サイトへの攻撃とは関係ありません。

問3 通常と違う通信の量や動きを手がかりに攻撃を見つける方式の特徴として、最も適切なものはどれですか。

  1. ア 知られた攻撃の特徴とだけ照らし合わせるため、誤検知が起きない
  2. イ 未知の攻撃も見つけられる可能性があるが、誤検知が出やすい
  3. ウ 暗号化された通信の中身を必ず読める
  4. エ 検知パターンの更新がなければ一切動かない
答えと解説
正解：イ　これはアノマリ型の説明です。ふだんとの違いを見るため未知の攻撃にも反応できますが、正常な変化も怪しいと判断しがちです。アとエはシグネチャ型の性質に近い説明で、アの「誤検知が起きない」も誤りです。

よくある質問

家庭用と同じルーターのファイアウォールでは足りませんか？
社内にサーバーがなく、外から入る入口もない会社なら、ルーターのファイアウォールが有効になっていれば、境界の守りとしては一定の役割を果たします。それより、アカウントやパソコンの守りを先に固めるほうが効果的なことが多いです。社内にサーバーやVPN機器があるなら、より細かく設定できる機器を検討します。
UTMを入れれば、ウイルス対策ソフトはいりませんか？
いいえ、パソコン側の対策も必要です。UTMは社内と外の境目で守る仕組みで、持ち出したパソコンや、暗号化された通信の中までは見られないことがあります。パソコン側の守りはエンドポイントの守りの節で扱います。
WAFを入れていれば、サイトの更新はしなくてよいですか？
いいえ。IPAもWAFを根本の対策ではないとしています。WAFが見逃す攻撃もあります。CMSやプラグインの更新は続けてください。WordPressならWordPressの点検項目が参考になります。

外から見た結果を、導入判断の材料にして報告する

Moshiruは、打合せなしでテキストだけでお受けします。対象のURLと、確認してよいという許可をいただければ、自社サイトが外からどう見えているかを確かめてお返しします。WAFやUTMを検討する前の材料にお使いください。

無料スキャンを申し込む対象のURLと許可だけメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）
  2. IPA「Web Application Firewall 読本」改訂第2版（2011年2月、第3刷 2011年12月）
  3. NIST「SP 800-41 Rev. 1 Guidelines on Firewalls and Firewall Policy」（2009年9月）
  4. NIST「SP 800-94 Guide to Intrusion Detection and Prevention Systems (IDPS)」（2007年2月）
  5. AWS「Control traffic to your AWS resources using security groups」（Amazon VPC ユーザーガイド）
  6. AWS「What is AWS WAF?」（AWS WAF 開発者ガイド）
  7. IPA「情報処理安全確保支援士試験 シラバス 追補版（科目A-2）」Ver.4.0（2023年）