『ポートとホストとどちらを許可した方がいいでしょうか？』 の クチコミ掲示板

[ヤドカリドリ]

PC初心者です。
色々なページを参考にCOMODO Firewallを使っています。
ブラウザはGoogle Chromeを使用していまして、ルールセットを「Web Browser」に設定しています。
全体の設定はある程度「セーフモード」にした後、現在は「カスタムルールセット」を使用して様子見しています。

ある特定のサイトのページでFlash内の項目が表示されず、そのFlashコンテンツ内にて特定のポートと通信ができないというエラーが表示されました。
ファイアウォールの設定を変更した後でしたのですぐ気づきました。
アプリケーション単位のルール設定に個別許可を入れようと思ったのですが、ルールセット自体からの変更しかできないので、
今度はルールセット単位で個別設定を入れることにしました。
プロトコル(TCP,UDP)やIN,OUT等はログ等を見て共通して設定、確認できましたが、
ポートとホスト互いに個別で設定した場合と、同時に設定した場合、両方通信ができることを確認しました。
そこでお聞きしたいのですが、
安全性をとるならポートとホストどちらを設定した方がいいのでしょうか？
できれば説明もつけていただければ幸いです。

また、余談なのですが
Web browserというルールセット自体は無知な自分にとって、設定(個別のアラートによって許可,ブロックを選択)しないよりは適切といえますでしょうか？
LoopBack Zoneへのアクセスと、HTTP,FTP,FTP-PASV,DNSのOUT通信を許可しているようです。

書込番号：17823260

[papic0]

>安全性をとるならポートとホストどちらを設定した方がいいのでしょうか？

ポート　および　ホストの両方を指定して開放するのが最も安全です。

>できれば説明もつけていただければ幸いです。

特定ポートと特定ホストのみに許可を与え、他を排除するのですから、条件は厳しいです。

条件の厳しさは、
ポート＆ホスト　> ホスト　> ポート
の順です。

書込番号：17823309

[am01125]

可能ならば、ホストとポートの両方を設定します。

といっても、接続先がインターネット上の不特定多数なコンピュータではホストを特定できないので
インターネット向けには実質的にポート設定だけしかできません。

このソフトウェアにはさらにin/outの区別があるようですが、日常的に使うPCでinbound側を不特定多数に向けて
ポートを開けっぱなしにしておくことはしないほうがいいですし、おそらくその必要はあまりないはずです。
他方、outbound側は自分から他のコンピュータへの接続ですので、こちらはフリーでも構わないです。

一方で、LAN内でだけ有効にしたいサービス、たとえばWindowsファイル共有やリモートログオンなどは
ポートを開いておく必要がありますが、接続相手のホストがわかっているはずなので
こちらにはホストとポートの両方が設定できます。

まとめると、
・インターネット上のPCからの接続要求（inbound）には応じない。
・LAN内のPCからの接続要求（inbound）は、場合によっては応じてやらないこともない。
・俺ちゃんはどこへでも接続要求（outbound）し放題。
くらいでいいんじゃないでしょうか。

本来はこうした決まり事を先に作った上で、それを実現するようにファイアウォールを設定していきます。
最初から入っているプロファイルで問題がなければ、それを使ったほうが楽でしょうね。


インターネットへの接続にルータを使っていませんか？
ルータ内蔵のパケットフィルタを使えば、インターネット側からのアクセスには神経質になる必要がなくなります。
また、LAN内の接続に応じるPCと、（ルータなどでLAN全体に適用される上流のファイアフォールを介さず）
インターネットに直接接続するPCは、一緒にしないほうがいいです。LAN内向けにホストとポートを指定しても、
IP偽装されるとインターネットに対してポートを開きっぱなしにしておくのと同じですので。

書込番号：17823746

[ヤドカリドリ]

am01125さん、papic0さん有難うございます。
とてもわかりやすいです。

先月にウイルスが侵入してから色々とセキュリティ対策について調べてきました。
ウイルス対策プログラム,スパイウェア対策,ファイアウォール,UAC,EMET,アクションセンター,java,Flash,ブラウザの設定(サードパーティCookieや広告や無断情報収集サービスの管理やページ評価等),ルーターの設定,バックアップ,...

細かく言えばもっとありますが...
AV-comparatives
AV-TEST.orgやVirustotal,2ch,比較サイト,ブログ等のサイトも使用しつつウイルス対策プログラムは選出し...
未知のウイルスへの検出感度も誤検出を見込んで通知にして高感度に設定など


今思えばソフトを使ったりサイトを見に行く上で説明書を読むことや
根本を理解していれば、いまあげた項目だけでも
最低限気にかけなければいけなかったと思いました。
まだまだ途中ですが、細かな定期チェックになるまでまだまだかかりそうです。




ルーターはCTUのみです。
CTUに直接LANで繋げています。
ファイアウォールや、UPnP等の設定もログインして確認、変更しました。(ヘルプ、検索をかけながらセキュリティの高い設定)

無線LANルーターをちょうど買い替えようと思っているのですが、
有線も可能で2~3000円程度の価格帯でパケットフィルタやファイアウォール、ルーターオフ、UPnP、DMZ等の
主にセキュリティ重視で選出しても意味ないのかなぁ…という不安もあったりします。
ルーター2重という言葉を悪く捉えているのもまだひっかかります。
もう少し調べてみます。
お二方有難うございました。

書込番号：17824906