Copyright © 2000-2005 eazyfox. All Rights Reserved.
HOME| Firewall | Security| 製品紹介| SecuTool| Forest| Hello| Link| 掲示板| 雑談掲示板| SiteMap| Contact
HOME > Firewall製品紹介 > Kerio Personal Firewall2

Tiny or Kerio Personal Firewall2

・インストール
WinRouteで有名なTiny社のPersonalユースでは無料となっているFirewallだ。合衆国空軍の50万台のPCにインストールされているぞ！と実績を誇っている。簡単操作で初心者向きってモノではないが、その分性能はいいそうだ。これを自機（Win95)にインストールしたところWindowsの旗の後で保護エラーとなって動かなかった。そこでOSをWindows2000にして試したところ無事動いたので、今回の環境はいつもの評価とは異なることに注意してほしい。その後Win98でも動かしているが全く問題ないく動いている。まぁ今時Win95が現役な方も珍しいだろう。プログラムはここからDownloadできる。

インストール作業はフォルダの指定だけであっさりと終わる。さっそく動かしてみた。

・実行してみる

タスクトレイにあるTinyのアイコンを右クリックすると"Firewall Status Windows"と"Firewall Administration"の2つのプログラムが選択できる。。"Status Window"が状態・ログ表示で"Administration"が各種設定となっている。またスタートメニューにも同様なショートカットと"Personal Firewall Engine"というサービスの起動ショートカットがあるはずだ。

では状態表示(Status Window)からみていくこととしよう。

状態表示では上記のような現在のコネクション状態が表示される。左からネットワーク上でアクティブになっているプログラム名、使用プロトコル、Fromアドレス、Toアドレス、状態、接続開始時間、受信バイト数・・・となっている。アプリケーション名のPERSFW.EXEとPFWADMIN.EXEはこのTiny PersonalFirewall自身のEXEなので気にしなくて良い。MSTASKもOSなので無視。やはりIEXPLORE.EXEがどこにどう繋がっているのかが問題というか重要なところである。ちなみにStatusで表示される状態はここにあるTCP/IP状態遷移図のステータスで「Connected」は接続中。「Listening」は待機中になる。アドレスやポート番号は実際の数値か単語に置き換えて表示することも出来る。メニューバーのLogsには表示形式や表示内容を変更するための設定がある。

ここではDon't Show Port Namesを選んでPort名→Port番号にして表示させている。WindowsのNBTに関するPortがListen状態なのがわかる。

つぎにDon't Resolve Domain Nameを選んでIPアドレスを表示させてみた。Localhostとなっていたアドレスがローカルの自分自身という内部アドレスなのがわかる。

またHide Listening Socketsを選ぶとコネクションが繋がっているところだけが表示される。普通はこの方がいいだろう。ただしトロイの木馬が待機してるのを見つけるにはListeningも表示していたほうがいいのだが・・

それでstatisticsを表示させると

上から順にトータルの送受信のパケット数、トータル送受信バイト数、バッファエラー(オーバーラン）が表示される。真中はプロトコルごとの送受信パケット数で上から順にTCP,UDP,ICMP,ARPとなっている。TCPは通常のWebサイトを見るときのプロトコルで、UDPはFTPやネットゲーム、ストリーミングなどで使われるプロトコルだがWindowsの共有関係(NBT)でも使われる、ICMPはインターネットコントロールプロトコルといいネットワークのエラーや障害通知などのエラー系とネットワーク状態を調べる、通知するための管理系があるが、ここでは合計されて表示される。ARPはMACアドレスとIPアドレスの関係を調べるためのプロトコルで、通常はあまり出ない（Sentは少ない)。一番下がFirewallを経由したコネクションの状態で、これが一番肝心である。プロトコルごとにIn/Outの許可されたTCPはコネクション、UDPはデータグラム、ICMPはパケット数(Permitted)と拒否したコネクション(Blocked)の数が表示される。ここではTCPのOutコネクションが27許可されている。つまり外にあるサイトの情報を見に行くためのパケットが27あったことが分かる。またUDPが38もあるがこれは筆者のLAN側のWindowsネットワークに出しているものだ。ここでは筆者のサイトを表示するための状態を表示してみたが、Topページを表示するために57K受信しているようだ。

これまでの表示を見てもTiny Personal Firewallがあまり初心者向きではないと評価されていることがわかる。決して難しくはないのだが、プロトコルとポート番号くらいはわかってないとダメよって言う感じかな？しかし無料は強みだし、普通に使うだけならNortonとさして難易度に違いはないので是非使ってみて欲しい。

ではLog表示の次に、Firewall Administrationを選んでセッティングをしてみよう。
別に難しくはないと書いたのはこの設定画面でもわかるとおり３段階のレベルを選ぶだけで通常は使用できる。３つのレベルの内容は

となっているので通常はMedium(Ask Me First)でいいだろう。斜体の文字は2.0.14で表示が変更になっているところだ。

ちょっと日本語が直訳の意訳なのでわかりづらいかな？「Ask Me First」にしておけば良い加減な設定にしますよ！ってことだ。HighとLowでは自分で設定しないと動かないプログラムや攻撃に対して弱い状態となってしまう。実際にFirewallをEnableにしてネットを使用すると、初めてのプログラムでは「許可するのか？、拒否するのか」ということと「フィルタに登録するのか？」と聞いてくる。ここで許可拒否を選ぶのはZAやNortonなんかと同じだ。フィルタに登録するか？というのもNortonなんかと同じだ。こうやってルールを登録していくとどんどんルールデータベースに登録されていく。

作成したルールは「Advanced」をクリックすると一覧で見ることが出来る。またここにはWindowsの共有やファイルの改竄チェックの設定もあるがこれは後で説明する。

ルールは登録された順に有効になる。つまり後から追加したルールよりも先に該当するルールがあるなら後のルールは適用されない。つまり上から順に該当するルールを検索していくのだ。

ルール適用の順番を変えるにはルール一覧の右にある「▲▼」をクリックすると選んだルールを上位や下位に移動可能である。

・ルールの自動生成
インターネットを使用するプログラムを起動したり、外部からのアクセスがあったりするとダイアログが表示され、ルール設定のチェックを入れるとルールが自動生成される。

これはYahoo.co.jpに接続しようとしたときに出たダイアログである。上から日付時間、Windows Internet ExplorerがあなたのComputerからyahoo.co.jpの80番ポートに繋ごうとしていますという説明、アプリケーションのファイル名、「Permit」は許可する、「Deny」は許可しない、「Create appropriate〜」はルールを作って今後このルールに該当するダイアログを表示しないというチェック、「Customize rule〜」はルールを作るときに自分で設定を指定するときにクリックする。クリックすると個別のルール設定のダイアログが表示される。普通は「Create〜」のところにチェックを入れてルールを作るほうが後々楽になる。というかルールを作らないと毎回聞いてくるのでけっこう邪魔になる。

自分で起動したプログラムなら「Permit」を押して許可すればいいが、外部からのアクセスや予期しないアクセスの時には結構迷うと思う。そんなときはルールを作らないでとりあえず「Deny」にして不都合があるプログラムがないか様子を見ることにしている。

「Create appropriate filter rule〜」にチェックを入れてから「Customize rule...」をクリックするとこのダイアログが出てくる。ルールの簡易設定の画面だ。 上から順に自分のPCのポートの指定で「全てのポートの使用を許可する」と「指定ポートだけの使用を許可する」、下は相手側のIPとポートの指定で「全ての相手先アドレスを許可する」、「特定の相手先だけ許可する」、「全ての相手先ポートを許可する」、「特定の相手先ポートを許可する」になっている。つまり「any 〜 port」は全部、「this 〜 only」は特定のアドレスまたはポートの許可となる。特定のアドレスやポートを指定するときには右側のテキスト欄にIPアドレスやポート番号を指定する。 例に示しているIEでは相手先アドレス(remote address)は特定できない。まぁ会社内のポータルしか見ないという設定にするのなら指定できるが。一般にそんな人はいないだろう。しかし相手先のポートはIEならHTTPかFTPなので80,8080,443といったポートに絞った指定が可能だ。このダイアログでは1つしか指定できないので下記の個別ルール設定で指定しよう。

・個別のルール設定
プログラム起動時に自動で設定されるルールを修正したり、新たにルールを追加や削除を行うことが出来る。ではルールの一覧から修正したいルールを選んで「EDIT」をクリックしてみる。

上から順番に「Description：説明」、「Protocol：プロトコル」、「Direction:方向」。次に「Local endpoint:自分の終端情報」として「Port Type：使用するポート」、アプリケーションの情報。次に相手先の情報としてアドレスタイプとポートタイプ。そしてルールの有効期間と許可、遮断の選択。最後にこのルールがマッチしたときログを出力するか？のチェックとおなじくルールにマッチしたときにメッセージボックスを表示するか？が選べる。

項目の種類とその設定の内容を一覧にしてみた。

・ルール設定での注意点

• DirectionはIncomingは外→内で、Outgoingは内→外であるから、外からの不正なアクセスを防御するにはIncomingを選び、木馬が外部と接続するのを防ぐにはOutgoingで定義する。木馬にもサーバ型で外部から接続を待つタイプと、自分から接続に行くタイプがあるので両方向止めておくほうがいいかもしれない。
• 一般的なアプリケーションではローカルポートは1025〜5000の範囲を使うので出来るだけ設定したほうが良い。トロイの木馬では5000以上のポートを使うタイプが結構多い。
• ルールの一番最後に全てのポートに対して「Deny」を指定してlogに出力する設定を追加しておけば、不正なアクセスなどをログに出力できるが、新しいルールを作成するためのダイアログは表示されない。それはこの最後のルールが適用されるからである。
• アプリケーションを特定してルールを指定するほうが望ましい。MD5というEXEファイルのチャックサムを作成して、Tinyが改竄を判定してくれるからだ。

・Microsoft Networking
次に「Microsoft Networking」の設定だ。今ではWindowsネットワークのほうがふさわしいような気がする。

ここではWindowsのファイル・プリンタ共有などの設定を行う。上から「フィルタのルールを設定せずにWindowsネットワークのルールを適用する」、そして「Windowsの名前解決を許可する」さらに「信頼するアドレスだけ許可する」。もう一つが「他のユーザーに自PCのファイル・プリンタ共有を許可する」があり、さらに「信頼するアドレスだけ許可する」と「共有フォルダにアクセスがあったときにはダイアログを表示する」となっている。一番下には信頼するアドレスを指定する「Trusted Address Group」がある。ここで1番上の「ルールを設定せずに〜」にチェックを入れるとルールを追加しなくてもWindowsのファイル共有が可能となる。NBTを意識して137〜139番ポートの設定をしなくてもいいと言う事だ。これはありがたい機能だと思う。

信頼するアドレスは下記のように指定する。

アドレスタイプ(Address Type)はルール設定のアドレスの指定方法と同じである。ここではLANにある他のPCを指定するためにLANのアドレスである192.168.1.1を指定してマスクで0〜255となるように設定して「Local Area Network」という名前を付けた。複数台のPCがないときはsingleで指定しても良いしRangeで指定しても良い。また当然ながらインターネット上の決まったアドレスではファイル共有を許可すると言う事も可能だ。このあたりはWindowsのネットワークの知識が必要だが・・

・Miscellaneous
次に「Miscellaneous」の設定。

ここでは名前のとおり、雑多な設定を行う。上から「ログの出力先」があり「filter.logファイルに出力する」と「Syslogを使ってログを出力する」から選択できる。Syslogはログの集中管理の方法で、管理用マシンにログを出力して集中管理することが出来る。次は「インターネットゲートウェイ機能を使う」と「未使用のポートに来たログを出力する」がある。一番下にはルールの設定で出てきたカスタム・アドレス・グループの設定がある。

「Is Running on Internet Gateway：インターネットゲートウェイ機能を使う」はMicrosoftのICS(Internet Connection Sharing)を利用するときにチェックを入れる。このチェックを入れるとポートがステルスではなくCloseになるという事が報告されている。またその右の「Log Packets Address to 〜：未使用のポートに来たログを出力する」はオープンしていないポートに来たアクセスをログに書き出すという設定である。これにチェックを入れておけば未使用のポートに対するアクセスとそのアドレスをログに出力する。ただしICMPはPort番号を使わなプロトコルなのでLogに出すときにはルールの設定が必要になる。

・MD5
最後の設定はMD5を使ってアプリケーションを認識するための画面だ。

プログラムを改竄してトロイの木馬を組み込まれたりVirusに感染したときに書き換えを認識できるようにMD5でハッシュ値(指紋)を登録しておくための機能だ。ここでは登録済みの指紋を削除したり再チェックしたり出来る。

以上でTinyの設定は終わりだ。こうやって書いてみたら設定なんて全然難しくないことがわかってもらえただろうか？日本語化パッチも陳Qさんのサイト(Linkページを参照)で提供されているので英語が苦手な方にも敷居は低いと思う。

・機能紹介

この絵で分かるようにTCP/IPドライバの下位に位置してLANやモデムからのデータをTCP/IPより先に受け取りルールにしたがってTCP/IPに渡したり、モデムに送ったりする。まぁ普通のドライバの位置関係である。なおマルチレイヤということでプログラムフィルタも当然持っていてる。これがMD5という認証付の強力なプログラム識別能力を持っていて(ZAも持っているらしい)、木馬がOutlook.Exeの名前を騙っていてもちゃんと偽物と識別できる仕組みらしい。なおこの絵はTinyのサイトから借用してきた。

・リモートでログを見たり状態表示が可能（設定も）

リモートで状態表示をしたり、設定を行ったり出来る。起動するときに-remoteとすれば状態表示が、-cfgとすれば設定が可能。動かすにはDOSコマンドかファイル名を指定して実行する。「C:\Program Files\Tiny Personal Firewall\PFWADMIN.exe" -remote -cfg.」 これで管理者が一元管理が出来るのでとっても便利だ。なおリモートをするには認証のパスワードと「Enable Remote administration」と「nable Remote Access to statics And Log」にチェックをいれること！ なお一番下には左から「DNSで名前解決を行う」下に言って「新バージョンのチェックを行う」右に上がり「手動で起動する」と「サービスとしてWindows起動時に自動起動する」が選べるようになっている。

サービスとして起動するを選択しておけば常時接続の環境でも常に最初にTinyが立ち上がって自PCを守ってくれる。ダイヤルアップで使う以外はサービスとして起動していたほうがいいだろう。また不用意なダイヤルアップも防ぐ事も可能だ。

・Basicルール
下記にあるTinyのメーリングリストやTiny Personal Firewall FAQで紹介されている基本的なルールの設定例を紹介しておく。ルールは設定を間違うとより危険性が増したり、OSの基本機能が動かなくなったりするのでぜひ参考にして欲しい。なおRule validはすべて「Always」となっている。またパラメータで「Range:」はPort/Rangeで「List:」はList of Portsのことである。Listのところは非常に見難くなってしまったが、ご容赦いただきたい。

代表的なルールなのでまだまだ足りないが、個人環境は無限にあるので、上の表を参考にトライして欲しい。

・Tinyのバックアップファイル
Tinyを設定などをバックアップするときは以下のファイルを保存してください。

バックアップしたファイルを戻すときには必ずサービス・プログラムを終了させてから戻してください。

・Tinyのログ表示プログラム

・Uninstall情報

Kerio/Tinyをアンインストールするときの情報を下記に記します。アンインストールに失敗したときに参考にしてください。

・Kerio Yahoo Groupのお知らせ
Yahoo.comにあるKerioとTinyのPersonal FirewallのUserGroupの登録フォームです。メールアドレスを設定してボタンをクリックすると登録されます。このGroupに入会するとメーリングリスト(英語です)と最新モジュールのDownloadが出来ます。情報の少ないKerioやTinyですから、ここのメーリングリストの情報は貴重です（メンバーにTinyやKerioの開発者もいらっしゃいます）。分裂しちゃったので２つとも公平に載せておきます。

こっちがKerioで

これがTiny(現在休止状態）

・Firewall製品別紹介に戻る