すべてのプロダクト
Search

このプロダクト

    Cloud Firewall:アプリケーションコントロール

    ドキュメントセンター

    Cloud Firewall:アプリケーションコントロール

    最終更新日:May 15, 2026

    Cloud Firewall のアプリケーションコントロール機能は、ディープパケットインスペクション (DPI) とヒューリスティック行動分析に基づき、アプリケーションレイヤーのトラフィック管理を実現します。この機能により、IP/ポート 5 タプルのみに依存する従来のファイアウォールの制約を解消できます。トラフィック内のアプリケーション特性を識別することで、暗号化ポートや非標準ポートの背後に隠れたアプリケーションの実体を可視化します。システムは、アプリケーション種別に基づいてアウトバウンドトラフィックを許可、監視、または拒否し、アプリケーションと挙動のレベルで、きめ細かいアクセス制御ポリシーを実現します。

    メリット

    • 偽装トラフィックの高精度な識別：アプリケーションがポートを変更した場合や、通信を暗号化した場合、またはプロトコルを借用した場合 (HTTPS トンネルなど) でも、アプリケーションコントロールエンジンは実体を高精度に識別します。これにより、従来のネットワークレイヤー管理では特定のアプリケーションを識別できないという課題を解決します。

    • ID ベースのきめ細かい制御：複数の業界分野をカバーする組み込みアプリケーションシグネチャライブラリを提供します。アプリケーションカテゴリまたは特定のアプリケーションに基づいてアクションポリシーを定義することで、「ポートフィルタリング」から「ビジネス認識」への中核的な進化を実現します。

    • 柔軟なポリシー優先度の定義：カスタムルールと組み込みカテゴリルールのハイブリッド構成をサポートします。特定のアプリケーション (GitHub のファイルアップロードなど) に対して個別のアクションポリシーを設定することで、複雑なシナリオにおけるきめ細かい管理要件に対応します。

    image
    説明

    アプリケーションコントロール機能は現在、限定ベータ版として提供されています。この機能を有効化するには、担当のビジネスマネージャーにお問い合わせください。

    組み込みアプリケーションシグネチャライブラリの表示

    Cloud Firewall は、ビジネストランザクション、セールスとマーケティング、教育、マルチメディアコンテンツなどのカテゴリをカバーする組み込みアプリケーションシグネチャライブラリを提供します。各アプリケーションにはリスクレベルが割り当てられています。ライブラリを表示するには、次の手順を実行します。

    1. Cloud Firewall コンソールにログインします。

    2. 左側メニューで、Prevention Configuration > アクセス制御 > Application Control を選択します。

    3. Application Feature Library タブで、サポートされているアプリケーションの一覧を確認します。Application Name、Application ID、または Category で検索できます。

    4. Application Feature Library タブの右側で、シグネチャライブラリルールの更新履歴を確認できます。

    カスタムテンプレートの作成

    アクセス制御ポリシーにアプリケーションコントロールルールを適用するには、最初にカスタムルールテンプレートを作成します。次の手順を実行します。

    1. 左側メニューで、Prevention Configuration > アクセス制御 > Application Control を選択します。

    2. Custom Template タブで Create Template をクリックし、次のパラメーターを設定します。

      パラメーター

      説明

      [基本情報]

      識別しやすいように、分かりやすいテンプレート名と説明を設定します。

      [Built-in Application Classification]

      各アプリケーションカテゴリのアクションを指定します。次のアクションをサポートしています。

      • [観察]：デフォルトのアクションです。リクエストは許可され、ログ監査 のイベントログに記録されます。

      • [リリース]：リクエストは許可されますが、イベントログには記録されません。

      • [拒否]：リクエストはブロックされ、イベントログに記録されます。

      カテゴリ内のすべてのアプリケーションに対して、アクションを一括設定できます。

      [Custom Rules]

      アプリケーションルールの優先度を調整するには、Add Custom Rule をクリックして、きめ細かい制御シナリオ向けにカスタムルールを設定します。

      • ルールステータス：トグルを有効にすると、カスタムルールが有効になります。

      • 優先度の設定：1 つのテンプレート内に複数のルールを設定できます。優先度の値は、同一テンプレート内で一意である必要があります。値が小さいほど優先度が高くなります。

      • アクション設定：1 つのルールに複数のアプリケーションを関連付けることができます。使用可能なアクションは、[観察]、[リリース]、または [拒否] です。

      • 競合時の処理：同一アプリケーションに対しては、カスタムルールで設定したアクションが、[Built-in Application Classification] で設定したアクションよりも優先されます。

      [Unknown Application Action]

      不明なアプリケーションからのトラフィックに対するデフォルトのアクションを定義します。

      [Template Switch]

      テンプレートを有効または無効にします。設定はテンプレートが有効な場合にのみ反映されます。

    設定の推奨事項

    • 広範な制御シナリオ：制御対象が明確でない場合は、[Built-in Application Classification] のみを設定し、アクションを [観察] にすることを推奨します。業務を一定期間運用した後、ログ監査 の トラフィックログ ページでアプリケーション識別結果を確認します。その後、業務要件に基づいてテンプレートのアクションを調整します。

    • 精密な制御シナリオ：特定のアプリケーションを制御する必要がある場合は、カスタムルールが [Built-in Application Classification] よりも優先されるため、[Custom Rules] を設定することを推奨します。

    アプリケーション識別メカニズムとアクション決定ルール

    • アプリケーション識別メカニズム：Cloud Firewall は、1 つのリクエストに対して複数のアプリケーションを識別する場合があります。HTTP アプリケーションプロトコル ( TLS 検査 を設定した後の HTTPS を含む) の場合、識別結果は持続的接続におけるリクエストに応じて動的に更新されます。システムは最新の識別結果のみを抽出し、中間状態は保持しません。HTTP 以外のアプリケーションプロトコルの場合、システムは接続の確立時に 1 回だけ識別を行い、その後は更新しません。

    • アクション決定ルール：識別されたアプリケーションのアクションを決定する際、システムは最初に優先度に基づいてカスタムルールを照合します。一致するカスタムルールがない場合、システムは [Built-in Application Classification] を重みに基づいて照合します。

    • 例：あるリクエストが「GitHub-base」と「GitHub Download」の両方として識別されたとします。カスタムルールを設定していない場合、[Built-in Application Classification] における「GitHub Download」の重みが「GitHub-base」よりも高いため、システムは「GitHub Download」に設定されたアクションを実行します。

    次のステップ

    テンプレートを作成すると、インターネット境界 アウトバウンド トラフィックのアクセス制御ポリシーでそのテンプレートを参照できます。詳細については、「インターネットファイアウォールのアクセス制御ポリシー」をご参照ください。

    テンプレートの管理

    Custom Template タブで、既存テンプレートに対して次の操作を実行できます。

    • テンプレートの有効化または無効化：Template Switch 列のスイッチを切り替えて、テンプレートを有効または無効にします。

    • テンプレートの編集：Actions 列の Edit をクリックし、テンプレート設定を変更します。

    • テンプレートの削除：Actions 列の Delete をクリックします。カスタムルールを含むテンプレート、またはアクセス制御ポリシーから参照されているテンプレートは削除できません。

    付録：サポートされているアプリケーションカテゴリ

    カテゴリ

    説明

    代表的なアプリケーション

    Office Collaboration

    日常的なオフィス業務やチームコラボレーションのシナリオを対象とし、ドキュメント処理、社内コミュニケーション、会議コラボレーション、チームの生産性向上ツールに関連するトラフィックを識別できます。このカテゴリは、組織内で頻繁に使用されるオフィスプラットフォームやコラボレーションツールの管理に適しています。

    Microsoft 365、Google Workspace、WPS Office、DingTalk、WeCom、Feishu (Lark)、Microsoft Teams、Slack、Zoom、Tencent Meeting

    Instant Messaging

    個人または一般向けに使用されるリアルタイムメッセージングアプリケーションを対象とし、チャット、音声、画像、ファイル共有、グループコミュニケーションに関連するトラフィックを把握できます。このカテゴリは、個人向けコミュニケーションツールと、企業管理下の社内コミュニケーションプラットフォームを区別する用途で一般的に使用されます。

    WeChat、QQ、Telegram、WhatsApp、Signal、LINE、Viber、Snapchat

    VoIP

    IP ベースの音声通話およびビデオ通話サービスを対象とし、インターネット電話、企業向け音声システム、リアルタイム音声/ビデオ通信のトラフィックを識別できます。このカテゴリは、音声通信品質の確保、またはリアルタイム通話アプリケーションのアクセス管理に適しています。

    Cisco Unified Communications、Avaya、3CX、RingCentral、Skype、FaceTime、WebRTC

    Email

    メールの送受信、メールボックスへのアクセス、メールシステム管理のアプリケーションを対象とし、企業メール、個人メール、メールクライアント、Web メールのトラフィックを識別できます。このカテゴリは、メールアクセス制御、監査、データ持ち出し対策に適しています。

    Outlook、Foxmail、Thunderbird、Gmail、QQ Mail、NetEase Mail (163)、Tencent Enterprise Email、Microsoft Exchange

    File & Content Management

    ファイルの保存、同期、共有、コンテンツ公開、ナレッジ管理のアプリケーションを対象とし、ファイルのアップロード/ダウンロード、外部リンク共有、チームのナレッジベース、コンテンツ管理に関連するトラフィックを識別できます。このカテゴリは、ファイル転送、コンテンツ資産、外部共有のガバナンスに適しています。

    Baidu NetDisk、Dropbox、OneDrive、Nutstore、WeTransfer、SharePoint、Confluence、WordPress、Drupal

    Enterprise Core Systems

    企業運営を支える中核業務システムを対象とし、財務、顧客管理、ワークフロー、サプライチェーン、資産管理、統合管理のアプリケーションに関連するトラフィックを識別できます。このカテゴリは、企業の重要な業務システムを保護し、コアプロセスの継続性を確保する用途に適しています。

    SAP、Oracle EBS、Kingdee、Yonyou、Salesforce、Microsoft Dynamics 365、FXIAOKE

    Human Resources

    採用、HR 管理、勤怠、給与、評価、研修などの人事シナリオを対象とし、従業員ライフサイクル管理に関連するトラフィックを識別できます。このカテゴリは、従業員データのアクセス管理や HR システム利用の管理に適しています。

    Workday、Beisen Cloud、Kingdee HR、SAP HCM、Zhaopin、BOSS Zhipin、LinkedIn Recruiter、Liepin

    Sales & Marketing

    マーケティング施策、広告、顧客へのアプローチ、カスタマーサポート、販売転換に関するアプリケーションを対象とし、企業の顧客獲得および顧客運用に関連するトラフィックを識別できます。このカテゴリは、マーケティングツール、カスタマーサービスシステム、広告プラットフォームへのアクセス管理に適しています。

    HubSpot、Marketo、Zendesk、QICHI KEFU (Sobot)、Google Ads、Baidu Promotion、Ocean Engine、email marketing platforms

    Business Transactions

    商品、サービス、資金、金融資産の取引に関連するアプリケーションを対象とし、EC ショッピング、企業調達、決済、銀行、証券、保険、資産運用のトラフィックを識別できます。このカテゴリは、取引系アプリケーションへのアクセス管理や、資金に関わる業務の保護に適しています。

    Taobao、JD.com、Pinduoduo、Amazon、Alibaba 1688、Alipay、WeChat Pay、Tonghuashun、East Money

    Data Analytics

    データのクエリ、レポート、可視化分析、ビジネスインサイトのアプリケーションを対象とし、データ分析プラットフォーム、BI ツール、ユーザー行動分析サービスのトラフィックを識別できます。このカテゴリは、データアクセス管理、分析ツール利用の管理、業務データフローの管理に適しています。

    Tableau、Power BI、FanRuan、Google Analytics、Sensors Data、GrowingIO、Snowflake、MaxCompute

    IT Infrastructure

    業務システム運用を支える基盤となる IT およびネットワーク機能を対象とし、クラウドプラットフォーム、CDN、DNS、負荷分散、仮想化、コンテナ、基礎ネットワークサービスのトラフィックを識別できます。このカテゴリは、インフラの安定性確保や、基礎リソースへのアクセス管理に適しています。

    AWS、Alibaba Cloud、Tencent Cloud、VMware vSphere、Kubernetes、OpenStack、CDN、DNS、DHCP、NTP、BGP、OSPF

    IT Operations Management

    システム監視、アラート、ログ、構成、パッチ適用、自動運用、IT サービス管理のアプリケーションを対象とし、運用管理プラットフォームやオブザーバビリティツールのトラフィックを識別できます。このカテゴリは、運用ツールの可用性確保や、運用アクセス権限の管理に適しています。

    Zabbix、Prometheus、Grafana、Nagios、Ansible、Puppet、Windows Update、WSUS、ServiceNow

    Development & Design

    ソフトウェア開発、テスト、コードコラボレーション、エンジニアリング設計、クリエイティブデザインのアプリケーションを対象とし、R&D の生産性向上、デザインコラボレーション、エンジニアリング制作ツールのトラフィックを識別できます。このカテゴリは、R&D 環境、コード資産、デザインツールへのアクセス管理に適しています。

    GitHub、GitLab、Jenkins、VS Code、IntelliJ IDEA、AutoCAD、SolidWorks、Adobe Creative Cloud、Figma

    Storage & Hosts

    データベース、ホスト、オブジェクトストレージ、ホスティング環境のサービスを対象とし、データ永続化、コンピューティングワークロード、ホスト環境に関連するトラフィックを識別できます。このカテゴリは、データ基盤リソースの保護や、ホスティングサービスへのアクセス管理に適しています。

    MySQL、Oracle、PostgreSQL、MongoDB、Redis、Navicat、AWS EC2、Alibaba Cloud ECS、Tencent Cloud CVM、Object Storage Service

    Security Services

    ID 認証、アクセス制御、脅威検知、セキュリティ保護、データ保護のアプリケーションを対象とし、企業のセキュリティ機能やセキュリティ管理プラットフォームのトラフィックを識別できます。このカテゴリは、セキュリティサービスの可用性確保や、重要なセキュリティ制御へのアクセス管理に適しています。

    CrowdStrike、Symantec、Huorong、Active Directory、Okta、SAML、DLP systems、Bastion Host、WAF

    ネットワークペネトレーション

    リモート接続、プロキシ転送、トンネル伝送のアプリケーションを対象とし、アクセス経路を変更したりネットワーク境界をまたいだりする可能性があるトラフィックを識別できます。このカテゴリは、リモートアクセス、プロキシサービス、トンネル系アプリケーションのきめ細かい管理に適しています。

    SSL VPN、IPsec VPN、RDP、TeamViewer、Sunlogin、ToDesk、OpenVPN、WireGuard、Squid、Shadowsocks

    Social Media

    ソーシャルネットワーク、コンテンツコミュニティ、フォーラム、Q&A、インタラクティブプラットフォームを対象とし、ユーザーコンテンツの投稿、コメントでのやり取り、フォロー/購読、コミュニティ参加のトラフィックを識別できます。このカテゴリは、従業員のソーシャルメディアアクセス管理や、対外的なコンテンツ公開シナリオに適しています。

    Weibo、Zhihu、Xiaohongshu (RED)、Douban、Facebook、X (Twitter)、LinkedIn、Instagram、Reddit、CSDN

    Multimedia Content

    動画、音声、ライブ配信、画像、ゲームなどのデジタルエンターテインメントのアプリケーションを対象とし、娯楽、ストリーミング再生、ゲームプラットフォームのトラフィックを識別できます。このカテゴリは、帯域のガバナンス、娯楽アプリケーションのアクセス管理、コンテンツ消費の分析に適しています。

    iQIYI、Tencent Video、Youku、Douyin (TikTok)、Kuaishou、Bilibili、Spotify、NetEase Cloud Music、Steam、Honor of Kings、Twitch

    Education & Learning

    オンラインコース、ライブ授業、学習管理、試験評価、企業研修のアプリケーションを対象とし、学習研修や知識共有に関連するトラフィックを識別できます。このカテゴリは、教育リソースへのアクセス確保や、従業員の研修プラットフォーム利用の管理に適しています。

    Coursera、edX、China University MOOC、Tencent Classroom、NetEase Cloud Classroom、Udemy、GeekTime

    Industry-Specific

    特定の業界における生産、運用、提供、または規制プロセスを支えるアプリケーションを対象とし、医療、製造、物流、エネルギー、小売、コネクテッドカー、政府分野の業界特化システムのトラフィックを識別できます。このカテゴリは、業界の中核アプリケーションや、垂直型業務システムへのアクセス管理に適しています。

    MES、APS、Retail POS、HIS、EMR、PACS、Modbus、OPC-UA、SCADA、DCS

    General Internet

    一般公開されている情報へのアクセス、検索、ポータル、ナビゲーション、一般的なオンラインツールを対象とし、日常的なインターネット情報サービスのトラフィックを識別できます。このカテゴリは、基本的なインターネットアクセス管理や、一般的な Web サイトトラフィック分析に適しています。

    Baidu、Google、Bing、Sina、NetEase Portal、Baidu Maps、Amap (Gaode)、Youdao Translate、government portals

    Artificial Intelligence

    AI モデル、アルゴリズム、インテリジェント生成機能を中心とするアプリケーションおよびプラットフォームを対象とし、AI チャット、AI ライティング、画像生成、コード支援、モデル提供、AI API のトラフィックを識別できます。このカテゴリは、生成AI の利用管理、AI プラットフォームへのアクセス管理、インテリジェントアプリケーションのデータフロー管理に適しています。

    ChatGPT、Claude、Gemini、DeepSeek、ERNIE Bot、Tongyi Qianwen (Qwen)、Midjourney、GitHub Copilot、Hugging Face、Alibaba Cloud Bailian、Vertex AI