はじめに
インフラエンジニアやセキュリティエンジニアでなくとも、日々の開発で必ずお世話になる「ファイアウォール（Firewall）」。
普段何気なく設定しているセキュリティルールですが、その裏側にはインターネットの発展と、巧妙化するサイバー脅威との長年にわたる「いたちごっこ」の歴史があります。
本記事では、1980年代後半の誕生から現代のクラウドネイティブなセキュリティに至るまで、ファイアウォールがどのように進化してきたのかを4つの世代に分けてサクッと解説します。
ファイアウォール進化の歴史（4つの世代）
まずは全体像のタイムラインです。
| 世代 | 登場時期 | 主な技術 | 検査するレイヤー（OSI） | 特徴・課題 |
|---|---|---|---|---|
| 第1世代 | 1980年代後半 | パケットフィルタリング | ネットワーク/トランスポート層 | 高速だが、データの中身やコンテキストは見ない |
| 第2世代 | 1990年代前半 | ステートフルインスペクション | トランスポート層（動的） | 通信の「文脈（セッション）」を理解する |
| 第3世代 | 1990年代後半 | アプリケーションゲートウェイ | アプリケーション層 | 高セキュリティだが、プロキシ処理のため負荷が高い |
| 第4世代 | 2000年代後半 | 次世代ファイアウォール (NGFW) | L3〜L7（統合処理） | アプリ・ユーザー識別、IPS、サンドボックスを1台で実現 |
1. 第1世代：パケットフィルタリング型（1980年代後半）
すべてはDEC（Digital Equipment Corporation）のエンジニアたちの研究から始まりました。
-
仕組み: パケットのヘッダー情報（送信元/送信先IP、ポート番号、プロトコル）だけを見て、静的なルール（Access Control List）に合致するかどうかを
Allow/Denyで判断します。 - メリット: 処理がシンプルで非常に高速。
- デメリット: データの中身（ペイロード）は見ないため、正規のポート（例: 80番や443番）を悪用した攻撃や、IP偽装（スプーフィング）を防ぐのが困難でした。
2. 第2世代：ステートフルインスペクション型（1990年代前半）
1994年、Check Point社が「FireWall-1」をリリースしたことで、セキュリティの常識が変わりました。
- 仕組み: 通信を「単発のパケット」ではなく、「一連のセッション（状態：State）」として捉えます。内部から外部へリクエストが飛んだ際、その戻り通信に必要な一時的な穴（ダイナミックポート）を自動で開け、セッションが終了したら閉じます。
- メリット: 「外から突然入ってくる不正なパケット」をスマートに遮断できるようになり、安全性が飛躍的に向上しました。
3. 第3世代：アプリケーションゲートウェイ型（1990年代後半）
Web（HTTP）が爆発的に普及し、アプリケーションの脆弱性を狙う攻撃（SQLインジェクションなど）が登場した時代の対策です。
- 仕組み: ファイアウォール自身がプロキシ（代理人）として動作します。クライアントとサーバーの通信を一度完全に中継し、OSI参照モデルの最上位である「アプリケーション層」のデータまで分解・検査します。
- デメリット: すべての通信をパースして検査するためCPU負荷が非常に高く、ネットワークのボトルネック（遅延）になりやすいという致命的な弱点がありました。
4. 第4世代：次世代ファイアウォール（NGFW）（2000年代後半〜現在）
2007年、Palo Alto Networks社が提唱し、現代のデファクトスタンダードとなった技術です。
-
仕組み: 従来のステートフルインスペクションの機能に加え、以下の高度な機能を単一のエンジンで高速に並列処理（シングルパス）します。
- App-ID (アプリケーション識別): ポート番号ではなく、通信の挙動から「これはYouTube」「これはZoom」とアプリ単位で識別・制御する。
- User-ID (ユーザー識別): IPアドレスではなく、Active Directory等と連携して「誰が（どのグループが）」通信しているかで制御する。
- Content-ID: 脅威防御（IPS）、アンチウイルス、URLフィルタリング、サンドボックス連携。
現代、そしてこれからの展望（2020年代〜）
現在、インフラの主戦場はオンプレミスからAWS/Azureなどのパブリッククラウド、そして多数のSaaS利用へとシフトしました。
「社内ネットワークの境界線（境界防御）」という概念自体が崩れつつある今、ファイアウォールはさらに姿を変えています。
FWaaS (Firewall as a Service)
物理的なアプライアンス（ハードウェア）ではなく、クラウド上でファイアウォール機能を提供する形態です。オフィスの拠点追加やリモートワークの急増にも柔軟にスケールできます。
SASE (Secure Access Service Edge) への統合
「境界を守る」から「どこからでも安全にアクセスできる環境を作る（ゼロトラスト）」へ。
NGFWの機能は、SD-WANやセキュアウェブゲートウェイ（SWG）、ZTNA（ゼロトラスト・ネットワークアクセス）などと統合され、SASEという包括的なクラウドセキュリティアーキテクチャの一部として組み込まれるようになっています。
まとめ
- ポートとIPだけで守っていた時代（第1世代）
- 通信の文脈（コンテキスト）を読むようになった時代（第2世代）
- アプリケーションの中身を深く見るようになった時代（第3〜第4世代）
- クラウド・アイデンティティ（人）を中心に守る時代（現代）
歴史を知ることで、なぜ今「ゼロトラスト」や「SASE」が必要とされているのか、その必然性が深く理解できるようになります。開発時にセキュリティグループやACLをいじる際、ぜひこの進化の歴史を思い出してみてください。