第7章 ファイアウォール設計実務

Palo Alto Networks（代表的な次世代FWベンダー）

Fortinet（FortiGate）

ファイアウォール装置の例（Cisco ASA 5510）
病院ネットワークで使用される業務用ファイアウォールの外観

7.1 FQDN許可とIP許可

2つの許可方式

ファイアウォールで外部への通信を許可する方法には、大きく分けて2つの方式がある。

AWSではFQDN許可が推奨される理由

AWSのサービスでは、以下の理由からIPアドレスが動的に変化する可能性がある。

• ロードバランサのスケーリング: 負荷に応じてIPが追加・変更される
• 障害時のフェイルオーバー: 別のIPアドレスに切り替わることがある
• メンテナンス: AWS側のインフラ更新に伴うIP変更

FQDN許可が使えない場合

古いファイアウォール機器ではFQDN許可に対応していない場合がある。その場合の対処法を以下に示す。

7.2 ポート開放の考え方

最小権限の原則

ファイアウォールのポート開放は、必要最小限の通信のみを許可する原則に基づいて設計する。

Smart Assistに必要なポート

ファイアウォールルールの設計例

# Smart Assist 通信許可ルール

Rule 1: HTTPS通信
  送信元:     192.168.10.50/32  (Smart Assist PC)
  宛先:       smartassist.example.com
  プロトコル:  TCP
  宛先ポート:  443
  アクション:  ALLOW

Rule 2: DNS通信（直接DNSの場合）
  送信元:     192.168.10.50/32  (Smart Assist PC)
  宛先:       院内DNSサーバ
  プロトコル:  UDP
  宛先ポート:  53
  アクション:  ALLOW

Default Rule:
  送信元:     *
  宛先:       *
  プロトコル:  *
  宛先ポート:  *
  アクション:  DENY

やってはいけない設定

7.3 プロキシ環境での注意点

プロキシ経由の通信構成

プロキシ環境では、Smart Assist PCはファイアウォールではなくプロキシサーバを経由して通信する。

プロキシ環境で必要な設定

Smart Assist PCでのプロキシ設定方法

# 環境変数で設定する場合
HTTPS_PROXY=http://proxy.hospital.local:8080

# アプリケーション設定で指定する場合
プロキシホスト: proxy.hospital.local
プロキシポート: 8080

認証プロキシへの対応

認証プロキシの場合、通信ごとに認証情報の送信が必要となる。

7.4 SSLインスペクションの影響

SSLインスペクションとは

SSLインスペクション（SSL/TLSインスペクション、HTTPSインスペクション）は、暗号化されたHTTPS通信の中身をファイアウォールやプロキシが復号して検査する機能である。

動作の仕組み

Smart Assistへの影響

対処方法

多くの場合、除外設定が最もシンプルかつ確実な対処法である。

7.5 許可申請書の書き方

病院への申請に含めるべき情報

ファイアウォールの許可申請は、病院IT部門が判断に必要な情報を過不足なく含める必要がある。

申請書テンプレート

7.6 病院ITへの説明方法

説明の基本原則

説明の流れ（推奨）

避けるべき説明パターン

補足（国際的な文脈）: 本章で示した許可申請書テンプレートは日本の病院IT部門向けの標準的な形式である。米国では、ベンダーセキュリティ質問票（SIG: Standardized Information Gathering、CAIQ: Consensus Assessment Initiative Questionnaire）やHIPAA Security Risk Assessmentに基づいた申請プロセスが一般的である。EUでは、GDPR第35条に基づくDPIA（Data Protection Impact Assessment）の実施や、DPO（Data Protection Officer）との協議が必要となるケースが多い。いずれの地域でも「通信フローの可視化」「送信データの明示」「Outbound Onlyの技術的根拠」を示すという本質は同じである。

7.7 資料の読み方：FW許可FQDN一覧（実際の設定値）

資料の概要

ネットワーク説明資料（Network Explanatory Materials）には、ファイアウォールで許可すべき具体的なFQDN/ポートの一覧が記載されている。担当者はこの一覧をもとに、病院IT担当者にFW設定の具体案を提示する。

Smart Assist通信（必須）

時刻同期（NTP）

セキュリティソフト更新

Windows Update

注意: Windows Updateの完全なFQDN一覧はネットワーク説明資料を参照すること。上記は主要なものの抜粋である。

VPN接続オプション（Option 2）を使用する場合

VPN接続オプションを選択した場合、Smart Assistant通信用のFQDN許可のみで済む（NTP・McAfee・Windows UpdateはVPN経由となる）。

担当者が注意すべきポイント

1. ワイルドカード（*）の許可: *.arkray-smartassist.com のようなワイルドカード指定は、FW機器によっては対応していない場合がある。その場合は具体的なサブドメインを個別に許可する
2. S3のFQDN: S3バケットへの直接アクセスURLはリージョン情報を含む長いFQDNとなる。正確にコピーすること
3. NTPの重要性: 時刻同期が行えないと、TLS証明書の検証に失敗する可能性がある（第10章の証明書期限切れトラブルシューティング参照）
4. 段階的な許可: まずSmart Assist通信（2つ）のみ許可し、通信テスト後にNTP・更新系を追加する方法も有効

次章では、Smart Assistのクラウド側基盤であるAWSの基本構造を理解する。