🛡️ Stateful Packet Inspection（SPI）の仕組みと役割

はじめに

ファイアウォールの仕組みを理解するときに欠かせない概念のひとつが Stateful Packet Inspection（SPI） です。これは「パケット単位でのフィルタリング」から一歩進んで、「通信の状態」を追跡することでセキュリティを高める技術です。本記事では、SPIが生まれた背景、その仕組み、利点と課題、そして現代における役割について解説します。

📜 SPI誕生の背景

初期のファイアウォールは Stateless Packet Filtering と呼ばれ、各パケットの送信元・宛先IPアドレスやポート番号、プロトコルに基づいて「通す／遮断する」を判断していました。

しかし、この方式には次の問題がありました。

パケット単位でしか判断できず、通信全体の文脈を理解できない
攻撃者が「正規のポート」を装うと簡単にすり抜けてしまう
不正セッションの検知が難しい

こうした限界を克服するために登場したのが Stateful Packet Inspection です。

⚙️ SPIの仕組み

基本動作

SPIではファイアウォールが「セッションの状態」を保持し、通信が正規の流れに沿っているかをチェックします。

状態追跡の例（TCPの場合）

接続開始: TCP 3ウェイハンドシェイク（SYN → SYN/ACK → ACK）を確認
セッション確立: 正規の通信として「状態テーブル」に登録
データ転送: 状態テーブルを参照し、対応するパケットだけを通過させる
接続終了: FINやRSTを確認して状態を削除

重要なポイント

状態テーブル（connection table）を管理
TCPだけでなくUDPやICMPもトラッキング可能（疑似セッション化）
正規に確立したセッションに属するパケットのみ通過

🚀 SPIのメリット

セッション単位の防御: 不正なパケットを高精度で遮断できる
ダイナミックルールの適用: 内部からの接続に応じて外部からの応答を許可
利便性と安全性の両立: 内部ユーザーは意識せずインターネット利用可能

SPIの導入により、従来型の静的ルールベースのファイアウォールよりも高いセキュリティと柔軟性を実現できた。

⚠️ SPIの課題

パフォーマンス負荷: 状態テーブルの管理にリソースが必要
DoS攻撃への弱さ: セッションを大量に張られると状態テーブルが溢れてしまう
アプリケーション層攻撃には非対応: SQLインジェクションやXSSなどは検知できない

SPIは万能ではなく、アプリケーションレベルの脅威にはWAFやIDS/IPSなどとの併用が不可欠。

🛠️ SPIの代表的な利用例

企業ネットワークの境界ファイアウォール
家庭用ルーター（NAT＋SPI）
**UTM（統合脅威管理アプライアンス）**の基本機能

🔄 他方式との比較

特徴	Stateless Filtering	Stateful Packet Inspection	次世代ファイアウォール（NGFW）
判断基準	パケット単体	セッション状態	アプリケーション＋コンテンツ
精度	低い	中程度	高い
性能	高い	中程度	低め（重い）
攻撃対応力	限定的	一般的な不正接続は防御可	アプリ層攻撃も防御可能

🎯 まとめ

Stateful Packet Inspectionは、従来のパケットフィルタリングの限界を克服し、現在のファイアウォールの基礎となっている技術です。ただし、アプリケーション層の攻撃には対応できないため、現代では WAFやNGFWとの組み合わせ が一般的になっています。