サードパーティ製ファイアウォール:2025年に本当に必要なのは誰か

商用ファイアウォールの宣伝は「Windowsは無防備な状態で届く」という前提で語られるが、その前提は10年以上前から誤りだ。2025年の正直な問いはもっと絞られる。アプリ単位の送信制御が、絶え間ない確認ダイアログと引き換えにするほど本当に必要だろうか?

Windowsが最初から無料で備えているもの

インストール直後のWindows Defender ファイアウォールは、ドメイン・プライベート・パブリックのすべてのネットワークプロファイルで一方的な受信接続を遮断し、ネットワークを移動すると規則を自動で切り替える。ステートフルで、静かで、ユーザーを中断させないせいでまったく評価されない。NATを行う家庭用ルーターの内側では、この機構だけで典型的なデスクトップPCへの受信攻撃はほぼ無意味化される。

既定でやってくれないのは送信トラフィックの制限だ。拒否する規則を自分で書かない限り、送信接続はすべて許可される。機能自体はある。高度なコンソールであるwf.mscはWindowsに完全に組み込まれ、アプリ・ポート・方向ごとの規則を扱える。だが既定は許容型で、この隙間こそがサードパーティ製ファイアウォールのビジネスモデルのすべてだ。

受信フィルター:3つのネットワークプロファイルすべてで既定で有効
ステートフル検査とプロファイルの自動切り替え
送信規則:完全にサポートされるが既定は許可
wf.msc――高度なファイアウォールコンソール、最初からインストール済み
PowerShell:New-NetFirewallRule でスクリプト化可能な規則
確認ダイアログも、サブスクリプションも、サードパーティのカーネルドライバーも不要

サードパーティ製が追加するもの ―― と、その代償

本物の追加価値は、人の顔をした送信ポリシーだ。未知の実行ファイルごとの警告、クラウド判定の照会、地理的フィルタリング、新しいアプリが外へ通信した際の通知。ソフトウェアの監査をする人、ラボで信頼できないバイナリを実行する人、送信フィルタリングのコンプライアンス要件を満たす必要がある人にとって、この制御は正当だ ―― そしてWindowsは同等のフロントエンドを提供しない。スイートによってはVPN風のネットワークビューもあり、これも正直な追加機能だ。

代償は意思決定の疲労と運用リスクだ。送信接続のたびに尋ねてくるファイアウォールは、1週間でユーザーにすべてへ「許可」を押す癖をつける ―― 契約書の細則を読み飛ばす悪癖のセキュリティ版だ ―― そしてスイート自体はカーネルレベルのフィルタードライバーとして動き、Windows Updateやベンダー製ソフトウェアと衝突することもあり、最悪の場合ブルースクリーンの一因になる。その上にサブスクリプションが乗ると、価値の問いはさらに鋭くなる。

ほとんどの人が見落とす中間の道

送信ポリシーなしとフル装備のサードパーティスイートの中間に、外科手術的な選択肢がある。自分で書いた規則で、特定アプリひとつの送信アクセスを遮断するのだ。wf.mscで「送信の規則」→「新しい規則」→「プログラム」で実行ファイルを指定し、「接続をブロックする」―― 以上。以後の確認ダイアログは一切なく、規則はアップデートを生き延びる。PowerShellならNew-NetFirewallRuleの1行で同じことができる。

2025年、大多数の人への正直な勧告は地味だ。Defender ファイアウォールはオンのまま、ルーターは自分とインターネットの間に置き、信頼できない特定アプリにはピンポイントの送信規則を追加する。サードパーティ製ファイアウォールに手を伸ばすのは、監査・コンプライアンス・信頼できないソフトウェアという具体的理由があるときだけにすべきで、ベンダーがWindowsは丸腰だと匂わせたからではない。