ファイアウォールとポートスキャンについて

Question

初めまして。

現在、セキュリティについて独学で勉強しているのですが
以下の点が気になりました。

「「ポートスキャン」に対しての有効な対策としては「ファイアウォール」の導入であり、
ポートスキャンの発信元を洗い出して、ファイアウォールの設定で、その通信元からの通信を遮断するように設定する。」

という内容でした。
私が直感的に素人ながら感じた疑問が１点ございますでので、
ご存知の方ご教授ください。

①ポートスキャンの初回の攻撃(あえて攻撃という表現を使わせていただきます。)は防ぐ方法はないのか？
⇒あくまで、通信元のログを確認してからの遮断なので検知⇒遮断までの時間はポートスキャンを許す？

知識足らずで申し訳ございませんが、ご教授の程、よろしくお願いします。

Comments

[takito]

２点ございます、の２つ目はなんでしょうか？（①しか見当たらないので）

[strokes_1954]

失礼いたしまいた。
誤字で、一点でございます。

Answer 1

ポートスキャンってどのポートが攻撃に使用できるかを調査する攻撃の前準備なので、遮断しても通しても意味がないです。
＊特定ポートをダミーとして通すっていうのもありますが、一般的な方法ではありません。

ポートスキャンは、「検出してその後の攻撃に備える」のが攻撃に対する「対策」となります。
アノマリ検知とかふるまい検知といったキーワードで調べてみてください。

IDS/IPS(と一部のファイアウォール) あたりが対策用のプロダクトとなります。

Answer 2

ポートスキャンの初回の攻撃を防ぐ方法としては企業などが提供しているIPアドレスのブラックリストからの通信を拒否するなどである程度対応できるとは思いますが、完全に防ぐことはできません。

というか、それほどコストをかけてポートスキャンを防ぐ必要がないです。
セキュリティに限らず、リスクとコストを天秤にかけて対策を考えるべきだと思いますが、
ポートスキャンされたことによるリスクが大きくありません。大きなリスクがあるのであれば教えてほしいです。

なのでポートスキャンに対しての対策としてはそれほどコストをかけずにできる
FWで通常使用するポート以外への通信を拒否するという対策で十分だと思います。