ファイアウォールが無いとどうなる？「ネットに繋いだだけで感染した時代」と今も危険な5つの瞬間

新しい PC を箱から出して、最初にやることといえばセキュリティ対策 ── そう思ってウィルス対策ソフトをインストールしようとしたら、ライセンス認証のために、まずブラウザでメーカーのサイトを開いてください と言われる。「ちょっと待って。守られていない状態でネットに出て、本当に大丈夫なの？」

あの感覚、覚えがありませんか。似たような「丸腰の不安」は、ほかにもあります。

• 新品 PC で、ウィルス対策ソフトを入れる 前に その認証サイトを開かされる。今この瞬間、無防備なのでは？
• OS をクリーンインストールした直後、セキュリティ更新を当てるために、パッチが 1 つも入っていない状態のまま 長時間 Windows Update に繋ぎ続ける
• 引っ越し直後でルーターはまだ段ボールの中。壁の回線端末（ONU/モデム）に PC を直結 して、とりあえずネットを使う
• カフェやホテルの無料 Wi-Fi に繋いだ瞬間、見ず知らずの他人の端末と同じネットワークに同居 する

先に結論を言ってしまうと、最初の 2 つは、現代ではほぼ安全です。けれど残りの 2 つは、条件次第で本当に危険です。 その境界線を引いているのが ファイアウォール（外から来る通信を検問する仕組み） と、その手前に立っている ルーター なのです。

本記事では、

• そもそも ファイアウォールとは何か（§1）
• 「ネットに繋いだだけで感染」が 実際にあった時代（§2）
• なぜ今のあなたは無事なのか ─ 多層防御 の仕組み（§3）
• 防御が消える 危険な 5 つの瞬間（§4）
• ファイアウォールが守ら ない もの（§5）
• 家庭・企業・クラウドのファイアウォールの 違い（§6）
• 自分の防御を 3 分で点検 する方法（§7）

を、専門知識ゼロからでも追えるように順を追って解いていきます。

1. ファイアウォールとは何か ─ “防火壁” から “通信の検問所” へ

1-1. 語源は本物の壁

ファイアウォール（firewall）はもともと建築用語で、火事のときに延焼を食い止める防火壁 のことです。隣の区画で火の手が上がっても、壁の内側には燃え広がらせない。コンピュータの世界では「外で何が起きていても、被害をネットワークの内側に持ち込ませない仕切り」として、この名前が借用されました。

1-2. 実体は「ルールブック付きの検問所」

とはいえ、実際のファイアウォールは壁というより 検問所 に近い働きをします。あなたの PC とインターネットの間に立ち、通過しようとする通信の 1 つ 1 つを、あらかじめ決められたルールブックと照合して「通す / 遮る」を判定するのです。

• 「自分から要求した Web ページの応答」→ 通す
• 「誰も求めていないのに外から突然届いた接続要求」→ 遮る

1-3. インバウンドとアウトバウンド ─ この記事の核になる区別

検問所には方向の概念があります。これが本記事全体を貫く、いちばん重要な区別です。

• インバウンド通信（外からあなたの PC に向かってくる通信）：ファイアウォールが主に警戒する方向。あなたが何もしていないのに届く接続要求は、原則すべて遮断されます
• アウトバウンド通信（あなたの PC から外へ出ていく通信）：ブラウザでサイトを開く、アプリが更新を確認する、など。原則として許可され、その応答（戻りの通信）も「あなたが始めた会話の続き」として通されます

「ブラウザでサイトを開くのは安全か？」という導入の疑問は、実はこの区別だけでほぼ答えが出ます。あれは アウトバウンド です。検問所は、あなたが始めた会話の戻りはちゃんと通しつつ、それ以外の闖入者を止めてくれます。

1-4. ポート ─ 住所のさらに奥にある “窓口番号”

IP アドレスの記事で、IP アドレスは「ネットワーク上の住所」だと説明しました。実は住所の奥に、もう 1 段細かい区分があります。ポート（PC の中で動くサービスごとに分かれた “窓口番号”。0〜65535 番まである） です。

インターネット
     │
     ▼
┌─[検問所 ＝ ファイアウォール]────────────────────┐
│ ルール:「自分から始めた通信の戻り」だけ通す      │
└───────┬───────────────────────────────────────┘
         ▼
   あなたの PC（住所 = IP アドレス）
   ├─ 窓口 443 ── ブラウザの HTTPS 通信
   ├─ 窓口 3389 ─ リモートデスクトップ（普段は閉鎖）
   └─ 窓口 135 ── Windows 内部サービス（外に出す必要なし）

ここで重要なのは、PC は買った時点で いくつかの窓口を開けて待ち受けている ということです。ファイル共有、リモート操作、OS の内部連携 ── 本来は家庭内や社内で使うための窓口が、もしインターネットに直接さらされたらどうなるか。それこそが次の §2、歴史が証明してくれた話です。

2. 「繋いだだけで感染」が実際にあった時代

2-1. 2003 年夏、世界中の Windows が勝手に再起動した

2003 年 8 月、Blaster（ブラスター） というワーム（自力でネットワークを渡り歩いて増殖するマルウェア）が世界中に広がりました。Blaster の手口は、当時としても衝撃的でした。

• メールも添付ファイルも使わない
• ユーザーのミスも操作も一切不要
• インターネットに繋がっている Windows の「開きっぱなしの窓口」（RPC サービス、ポート 135 番）に直接侵入コードを送りつける

つまり、ネットに繋いだだけで感染 したのです。しかも感染した PC は今度は自分が攻撃側に回り、ランダムな IP アドレスに向けて同じ攻撃をばらまく。翌 2004 年には、別の窓口（ポート 445 番）を突く Sasser（サッサー） が同じ構図で大流行しました。

2-2. 「生存時間は数分」と言われた時代

当時のセキュリティ調査機関は、無防備な Windows PC をインターネットに直結してから攻撃が到達するまでの時間を「survival time（生存時間）」として観測していました。2000 年代半ばの調査では、その時間は 数分から数十分 とされていました。といっても、攻撃者があなたを狙ったわけではありません。感染 PC の大群が全 IP アドレスを機械的に巡回していたので、誰のところにも数分で「順番が回ってきた」のです。

1. 1ネットに直結無防備な PC にグローバル IP アドレスが付与される。
2. 2スキャン到達全 IP を巡回中の感染 PC 群が、数分であなたの住所に到達する。
3. 3窓口の発見ポート 135/445 など「開きっぱなしの窓口」を見つける。
4. 4侵入コード送信窓口の脆弱性（プログラムの欠陥）を突くデータを送りつける。
5. 5感染・拡散開始あなたの PC が乗っ取られ、今度は攻撃側として巡回を始める。

2-3. ウィルス対策ソフトでは防げなかった

「ウィルス対策ソフトを入れていれば大丈夫だったのでは？」── 残念ながら、当時はそうはいきませんでした。役割が違ったからです。

当時のウィルス対策ソフトは、主に 届いたファイルや実行されたプログラムを調べる「屋内の消火器」 でした。ところが Blaster は、ファイルとして届く前に 通信そのもの として窓口に直接突っ込んでくる。屋内の消火器では、窓から投げ込まれる火炎瓶までは防げません。必要だったのは 窓口の手前に立つ検問所、つまりファイアウォールでした。

2-4. 転機 ─ Windows XP SP2 がファイアウォールを「既定で ON」にした

この大流行を受けて、Microsoft は 2004 年の大型更新 Windows XP Service Pack 2 で大きな方針転換をします。それまで「あるけれど初期設定では OFF」だった Windows ファイアウォールを、最初から ON にしたのです。

外から勝手に届くインバウンド通信は、ユーザーが何もしなくても遮断される ── この既定値の変更だけで、「繋いだだけで感染」という攻撃の成立条件は崩壊しました。以降、Windows も macOS も、ファイアウォールは “入れるもの” ではなく “最初から効いているもの” になっています。

3. なぜ今のあなたは無事なのか ─ 多層防御

ここからは、導入の不安に答えていきます。現代のあなたの PC は、実は 3 枚の壁 に守られています。

インターネット
     │
     ▼
━━ 第 1 の壁: NAT ルーター ━━━━━━━━━━━
   外から始まる通信は、構造的に中へ通せない
     │
     ▼
━━ 第 2 の壁: OS 標準ファイアウォール ━━━━
   求められていないインバウンドを遮断（既定で ON）
     │
     ▼
   あなたの PC のアプリたち
     ▲
━━ 第 3 の壁: ウィルス対策ソフト ━━━━━━━
   壁を抜けて届いたファイルの「実行」を監視

3-1. 第 1 の壁: NAT ルーター ─ 意図せざる最強の盾

家庭のインターネット接続は、ほぼ必ず ルーター を経由しています。ルーターは NAT（ネットワークアドレス変換。1 つのグローバル IP アドレスを家中の機器で共有する仕組み） を使っていて、これが結果的に強力な防御になっています。

NAT の動作原理上、外から始まる通信は「家の中のどの機器宛てか」をルーターが判断できず、行き先不明で捨てられます。中から始めた通信の戻りだけが、ルーターの記録（変換テーブル）を頼りに正しい機器へ届く。つまり NAT ルーターは、防御のために設計されたわけではないのに、インバウンドを構造的に遮断する壁 として機能しているのです。

3-2. 第 2 の壁: OS 標準ファイアウォール

§2-4 で見たとおり、Windows（Windows Defender ファイアウォール）も macOS も、ファイアウォールは既定で有効です。NAT を抜けてきた通信だけでなく、同じネットワーク内（NAT の内側）から来る通信 に対しても、求められていないインバウンドは遮断されます。この「同じネットワーク内から」が効いてくる場面は、§4 で重要になります。

3-3. 第 3 の壁: ウィルス対策ソフト

検問所を正規に通過してきたもの ── あなたが自分でダウンロードしたファイル、メールの添付 ── が悪意あるものだったとき、実行の瞬間に止めるのがウィルス対策ソフトです。Windows には Microsoft Defender が標準搭載されていて、これも既定で動いています。

3-4. だから「認証サイトを開く」のは安全

導入の疑問に、正面から答えましょう。新品 PC でウィルス対策ソフトの認証サイトを開く行為は、

• アウトバウンド通信（自分から始める通信。§1-3）であり、検問所は戻りの応答を正しく通す
• そのとき既に NAT ルーター（第 1 の壁）と OS ファイアウォール（第 2 の壁）は購入時点から効いている
• さらに Windows なら Microsoft Defender（第 3 の壁）も最初から動いている

つまり、市販のセキュリティソフトを入れる「前」でも、あなたは丸腰ではありません。危なかったのは、第 1 の壁も第 2 の壁も無いままポート 135 がインターネットに露出していた 2003 年 の話です。クリーンインストール直後の Windows Update も同じ理屈で、現代の OS はインストール時点でファイアウォールが有効なので、更新を取りに行く間も防御は立っています。

4. 防御が消える危険な 5 つの瞬間

ここからが本題です。3 枚の壁は、特定の状況で 1 枚ずつ消えます。どの壁が消えるのか を §3 のモデルに対応させて見ていきましょう。

4-1. 公開 Wi-Fi ─ 壁の “内側” に他人がいる

カフェやホテルの Wi-Fi に繋ぐと、あなたの PC は 見知らぬ他人の端末と同じ LAN（ルーターの内側のネットワーク）に同居 します。NAT ルーターは「外」からの通信は遮ってくれますが、同じ内側にいる端末同士の通信は外ではありません。第 1 の壁は、隣の席の誰かに対しては効かないのです。

そこで効いてくるのが第 2 の壁、OS ファイアウォールです。Windows がネットワーク接続時に「このネットワークをパブリックにしますか？」と聞いてくるのは、まさにこのためです。

4-2. モデム直結 ─ 壁が 1 枚も無い、2003 年の再現

引っ越し直後など、ルーターを介さず ONU やモデムに PC を直結 すると、グローバル IP アドレスが PC に直接付与されます。これは第 1 の壁が存在しない状態 ── 構図としては 2003 年の「繋いだだけで感染」と同じ土俵 に立っています。

もっとも、現代では第 2 の壁（OS ファイアウォール）が既定で立っているため、即感染とはなりません。それでも、OS や待ち受けサービスに未知の脆弱性があれば直撃を受ける位置ではあります。ルーターを開封して間に挟むだけで第 1 の壁が復活する ので、直結の常用は避けるのが賢明です。

4-3. VPS・クラウドサーバー ─ 世界中のボットが数分でやってくる

レンタルサーバーや VPS（仮想専用サーバー）を借りてサイトを公開すると、そのサーバーには NAT の壁がなく、しかも Web を公開する以上、窓口（80/443 番）を自分から開けることになります。

そして、これは知っておいてほしい現実なのですが ── 公開された IP アドレスには、公開したその日から、無差別のスキャンが届き続けます。典型的にはこんなパターンです。

（架空の例: 新規サーバー公開後に届く無差別アクセスの典型パターン）

 公開直後   ポート 22 (SSH) への接続試行 ─ 海外の複数 IP から
 数分後     ポート 23 (Telnet) への接続試行
 十数分後   admin / root などの名前でログイン試行が断続的に開始
 数時間後   ポート 3389 (リモートデスクトップ) への接続試行
 以降ずっと 1 日あたり数百〜数千件のペースで延々と継続

§2 の「生存時間」の話は過去のものではなく、公開サーバーの世界では今も日常 なのです。とはいえ、誰かがあなたを狙ったわけではありません。全 IP アドレスを機械的に巡回するボットが、24 時間 365 日動いているだけです。だからこそ VPS では、クラウド事業者のファイアウォール（セキュリティグループ）や OS のファイアウォールで 「公開する窓口以外はすべて閉じる」 が鉄則になります（§6 で触れます）。

4-4. ポート開放・DMZ・UPnP ─ 壁に自分で開ける穴

オンラインゲームのサーバーを立てたり、自宅に NAS を置いて外から繋いだりするとき、「ポート開放」── ルーターの第 1 の壁に、特定の窓口だけ通す穴を開ける設定 ── が必要になることがあります。

穴そのものが悪いわけではありません。問題は、開けた窓口の安全性が、その先で待ち受けるアプリの品質に委ねられる ことです。古い NAS のファームウェア、更新されていないゲームサーバー ── 穴の先にいるのが脆弱なソフトだったら、そこが §2 の「ポート 135」の再現になってしまいます。

• DMZ 設定（全部の窓口を特定の機器へ素通しにする）は、穴どころか壁の撤去。原則使わない
• UPnP（アプリが自動でポート開放を要求できる仕組み）は便利な反面、家の中のアプリが勝手に穴を開けられるということ。身に覚えのない開放が無いか、ルーターの管理画面でたまに確認を

4-5. 「一時的に無効化」の戻し忘れ

通信がうまくいかないとき、切り分けのために「ファイアウォールを一時的に無効にする」のは定番の手順です。危険なのは無効化そのものではなく、戻し忘れたまま日常に戻る こと。第 2 の壁が無いまま、後日カフェの公開 Wi-Fi（4-1）に入ると、「壁の内側に他人がいるのに、検問所も休業中」という最悪の組み合わせが完成します。無効化したら、原因が分かった時点で即座に戻す。これだけ徹底すれば防げます。

5. ファイアウォールが守らないもの ─ 「自分で招き入れたもの」

ここまでファイアウォールの守備範囲を見てきましたが、守れないもの を知ることも同じくらい重要です。検問所の弱点は一貫しています。「あなたが自分で招き入れたもの」は疑わない のです。

• フィッシングサイト・偽メール：偽サイトを開くのはあなた自身のアウトバウンド通信。検問所は止めません
• 自分でダウンロードして実行したマルウェア：「招待客」として正規に通過してきます。止めるのは第 3 の壁（ウィルス対策ソフト）の仕事です
• ブラウザやアプリの脆弱性を突く攻撃：悪意あるデータが、あなたが開けた正規の窓口（443 番など）を通って 正規の応答のふりをして 届きます。防ぐのはソフトウェア更新の仕事です

この表が示す結論はシンプルです。ファイアウォール（入口管理）+ ソフトウェア更新（窓口自体の欠陥を塞ぐ）+ ウィルス対策ソフト（屋内監視）+ 人間（怪しいものを招き入れない） ── どれか 1 つで全部をカバーすることはできず、それぞれが別の層を守っています。これが「多層防御」という考え方です。パスワードの使い回しをやめるといった習慣も、この「人間の層」の話です（パスワード・ハッシュ記事 も参考に）。

6. 家庭・企業・クラウドのファイアウォールの違い

「ファイアウォール」と一口に言っても、立っている場所と守備範囲が違うものが何種類かあります。

• パーソナル FW（§3-2 の第 2 の壁）はアプリ単位の制御が持ち味。「このアプリだけ通信を許可」という粒度で守れます
• 企業の境界 FW は、インバウンドだけでなく アウトバウンドも統制 するのが家庭との大きな違い。社内 PC が変なサーバーへデータを送り出していないか、出口側も検問します
• クラウドのセキュリティグループ は VPS 利用者が自分で設定する壁。OS 側でも ufw のようなツール（Linux のファイアウォール設定を簡単にするコマンド）を使って「SSH と HTTPS 以外は全部閉じる」と二重に固めるのが定石です（サーバー側の安全設計は Python セキュリティ実装パターン も参照）

なお、Web サイト専門の検問所として WAF（Web アプリケーションファイアウォール） というものもありますが、これは通信の中身（Web アプリへの攻撃パターン）まで検査する別物です。名前は似ているものの、本記事のファイアウォールとは守っている層が違います。

7. 自分の防御を 3 分で点検する

最後に、ここまでの内容を「自分の環境の点検」に落とし込みましょう。

7-1. Windows ─ ファイアウォールの状態確認

設定 → プライバシーとセキュリティ → Windows セキュリティ → ファイアウォールとネットワーク保護で、すべてのネットワークが「有効」になっていることを確認します。コマンドでも確認できます。

netsh advfirewall show allprofiles | findstr State

3 つのプロファイル（ドメイン / プライベート / パブリック）がすべて ON なら健全です。§4-5 の「戻し忘れ」も、ここで発見できます。

7-2. macOS

システム設定 → ネットワーク → ファイアウォールで「有効」を確認します。アプリごとの受信許可もこの画面で見直せます。

7-3. Linux

sudo ufw status verbose

Status: active であること、そして開いているポートが意図したものだけであることを確認します。

7-4. ルーターの管理画面 ─ 開いている穴の棚卸し

ルーターの管理画面では、次の 3 つを確認します。

• ポート開放（ポートフォワーディング）設定 に、身に覚えのない項目が無いか
• DMZ 設定 が無効になっているか
• UPnP で自動開放されたポート の一覧に、知らないアプリが居座っていないか

7-5. 外から見た自分を確認する

ポートチェックサービス（検索すれば複数見つかります）を使うと、インターネット側から見て自分の窓口がどう見えているか を確認できます。すべて「閉じている（closed / stealth）」なら、§3 の壁は健在です。

まとめ ─ 4 行エッセンス

1. ファイアウォールは「外から始まる通信を遮る検問所」。屋内のファイルを監視するウィルス対策ソフトとは守る場所が違う
2. 2003 年には「ネットに繋いだだけで数分で感染」が現実だった。Windows XP SP2 (2004) がファイアウォールを 既定で ON にして、時代が変わった
3. 現代の家庭は NAT ルーター + OS ファイアウォール + ウィルス対策ソフトの多層防御。新品 PC でブラウザを開くだけなら、あなたは丸腰ではない
4. 危険なのは壁が消える瞬間 ── 公開 Wi-Fi・モデム直結・VPS 公開・ポート開放・無効化の戻し忘れ。どの壁が消えるかを知っていれば、対処は難しくない

ネットワークの住所そのものについては IP アドレスとは？、住所と名前を繋ぐ仕組みは DNS とは？ を併せて読むと、「あなたの PC とインターネットの間で何が起きているか」が立体的に繋がります。

FAQ

Q1. 新品 PC で、ウィルス対策ソフトの認証のためにサイトを開くのは危険ではないですか？

A. 現代ではほぼ安全です。サイトを開くのは自分から始めるアウトバウンド通信で、ファイアウォールは戻りの応答を正しく通します。しかも NAT ルーターと OS 標準ファイアウォール、Windows なら Microsoft Defender まで、購入時点から有効です。注意すべきは通信の方向ではなく行き先のほう ── メーカーの正規サイトであることを確認して、検索結果の広告枠などから偽サイトに誘導されないようにしましょう。

Q2. Windows 標準のファイアウォールだけで足りますか？市販のものは必要？

A. インバウンド防御という本来の役割では、Windows 標準で十分です。既定で有効・自動更新・アプリ単位の制御と、基本がすべて揃っています。市販セキュリティスイートの付加価値は、アウトバウンドの可視化（どのアプリがどこへ通信しているかの監視）やフィッシング対策など、ファイアウォール以外の層にあります。少なくとも「標準 FW では防御に穴があるから」という理由で買う必要はありません。

Q3. ファイアウォールがあればウィルス対策ソフトは不要ですか？

A. 不要にはなりません。§5 の表のとおり、ファイアウォールは「自分で招き入れたもの」── ダウンロードしたファイル、メールの添付、フィッシング ── を止められません。そこを守るのがウィルス対策ソフトの層です。逆もまた然りで、両者は代替関係ではなく分担関係にあります。なお Windows は Microsoft Defender が標準搭載なので、「何も買わない = 無防備」ではありません。

Q4. スマホにはファイアウォールが無いように見えますが、大丈夫なのですか？

A. スマホは設計思想が異なります。iOS / Android はアプリを「サンドボックス（アプリごとの隔離された箱）」で動かし、そもそも外から接続を待ち受ける窓口がほとんど開いていません。さらにモバイル回線はキャリア側の NAT を経由するため、インターネットから端末へ直接届く経路自体が細いのです。つまり「検問所が無い」のではなく、「待ち受けの窓口をほぼ持たない構造」で同じ目的を達成しています。公開 Wi-Fi での注意点は PC と同様です。

Q5. オンラインゲームのためのポート開放は危険ですか？

A. 「開ける窓口を最小限にして、その先のソフトを更新し続ける」なら、管理されたリスクです。危険なのは、全ポートを素通しにする DMZ 設定で済ませること、開放したことを忘れて放置すること、そして更新が止まった古い機器やサーバーソフトを窓口の先に置き続けることです。UPnP に頼っている場合は、ルーターの管理画面で自動開放されたポートの一覧を時々確認しましょう。