2026年6月5日

Palo Alto Networks ファイアウォールの運用ベストプラクティス｜管理画面の保護・ポリシー整理・更新とバックアップ

ネットワーク・接続

Palo Alto Networks の次世代ファイアウォール（PAN-OS）を安定して運用するには、「管理インターフェースを外部から触れない場所に置く」「PAN-OSとコンテンツを計画的に更新する」「App-IDとセキュリティプロファイルを前提にルールを整理し続ける」「設定のバックアップと変更記録を残す」「ログを外部に送り監視する」の5点を日常業務に組み込むことが中心になります。導入時の設定よりも、その後の更新・棚卸し・変更管理で差が出る機器です。この記事では、運用担当者が定期的に見直す項目と、その確認方法を説明します。

なお、PAN-OSの画面構成やメニュー名、関連サービスの名称はバージョンによって変わります。ここでは目的ごとに説明し、具体的な操作は利用中のバージョンの公式ドキュメントで確認する前提とします（2026年10月現在）。

管理インターフェースを守る

運用で最初に優先したいのが管理面の保護です。近年、PAN-OSの管理インターフェースやGlobalProtectに関わる深刻な脆弱性が公表されており、管理画面がインターネットから到達できる状態だった機器ほど影響を受けやすいことが知られています。

管理インターフェースは専用の管理ネットワークに置く: MGTポートを社内の管理用セグメントや踏み台経由でしか届かない場所に接続し、インターネットから直接到達できないようにします。
接続元を絞る: 管理インターフェースの設定で、アクセスを許可するIPアドレスを管理端末や踏み台に限定します。
データ用インターフェースで管理サービスを有効にしない: インターフェース管理プロファイルで、外部向け（untrust）インターフェースにHTTPS・SSH・pingなどの管理サービスを付けないようにします。どうしても必要な場合は、内部側のインターフェースに限り、接続元も制限します。
管理者アカウントを個人ごとに分ける: 共有アカウントを使わず、担当者ごとのアカウントと管理者ロールで権限を分けます。認証はSAMLやRADIUSなどの外部認証と多要素認証を組み合わせると、退職者のアカウント停止や操作の追跡がしやすくなります。

管理画面に到達できる範囲は、構成変更のたびにずれていきます。半年に一度程度、外部から管理ポートに届かないことを実際に確認しておくと安心です。

PAN-OSとコンテンツ更新を計画的に行う

Palo Alto の機器では、OS本体（PAN-OS）の更新と、App-IDや脅威シグネチャなどのコンテンツ更新を分けて考えます。

PAN-OSの更新

セキュリティアドバイザリを定期的に確認する: Palo Alto Networks のセキュリティアドバイザリのページで、利用中のバージョンと機能（GlobalProtect、管理インターフェースなど）が影響を受けるかを確認します。メール通知などを受け取れる設定にしておくと見落としが減ります。
推奨バージョンの考え方に従う: Palo Alto Networks は推奨するPAN-OSのバージョンに関する情報を公開しています。最新版にすぐ上げるのではなく、推奨されているメンテナンスリリースを基準に、リリースノートの既知の問題を確認してから選びます。
サポート終了日を把握する: 利用中のPAN-OSのバージョンと、ハードウェア自体のサポート終了日を一覧にしておきます。

コンテンツ更新

脅威シグネチャやアンチウイルス、WildFireの更新は、スケジュールを設定して自動で適用するのが一般的です。一方、アプリケーション（App-ID）のコンテンツ更新では、新しいApp-IDが追加されることで、これまで別のアプリケーションとして識別されていた通信の扱いが変わり、既存のルールに当たらなくなることがあります。更新内容に含まれる新しいApp-IDを確認する手順を決めておく、適用までに一定の時間を空ける設定を使う、といった運用で影響を抑えます。具体的な設定項目はバージョンによって異なります。

HA構成での更新

冗長構成（HA）では、片方ずつ更新して切り替えながら進めるのが基本です。手順の前に、HAの状態と同期状況を確認します。

show system info
show high-availability state
show jobs all

show system info でモデルとPAN-OSのバージョン、show high-availability state で各機器の役割と同期状態を確認できます。更新作業の前には、後述する設定のエクスポートも行っておきます。

セキュリティポリシーを継続して整理する

ポリシーは運用年数とともに増え、使われていないルールや広すぎるルールが残りがちです。定期的な棚卸しの観点は次のとおりです。

ポート番号ではなくApp-IDで書く: 「TCP/443を許可」ではなく、許可したいアプリケーションを指定し、サービスは application-default を基本にします。ポート番号ベースのルールが残っている場合は、Policy Optimizer などの機能で実際に流れているアプリケーションを確認して置き換えます。
許可ルールにセキュリティプロファイルを付ける: アンチウイルス、アンチスパイウェア、脆弱性防御、URLフィルタリング、ファイルブロッキング、WildFireなどのプロファイルを、プロファイルグループとしてまとめて許可ルールに適用します。プロファイルの付いていない許可ルールは、通信を通すだけの状態になります。
使われていないルールを見つける: ルールごとのヒットカウントを確認し、一定期間ヒットしていないルールを洗い出します。すぐに削除せず、無効化して様子を見る、説明欄に理由と期限を書く、といった段階を踏むと事故を防げます。
既定ルールのログを有効にする: ゾーン間の既定拒否ルール（interzone-default）は、標準ではログを残さない設定になっています。上書きしてログを有効にしておくと、遮断された通信の調査がしやすくなります。
ルールに説明とタグを付ける: 申請者、目的、期限を説明欄に入れておくと、棚卸しのときに判断できます。

意図したルールに当たるかは、CLIの test security-policy-match で確認できます。

test security-policy-match from trust to untrust source 10.0.0.10 destination 203.0.113.10 destination-port 443 protocol 6

変更前に想定する通信を試しておくと、ルールの順番による思わぬ一致を事前に見つけられます。

設定のバックアップと変更管理

PAN-OSでは、編集中の設定（候補設定）をコミットして初めて動作中の設定に反映されます。この仕組みを生かして、変更管理を次のように運用します。

コミット時に説明を入れる: 誰が何のために変更したかをコミットの説明に残します。設定の監査機能を使うと、コミット間の差分を確認できます。
変更前に差分を確認する: コミット前に、変更内容のプレビューで想定外の差分が含まれていないかを確認します。複数人が同時に編集する環境では、設定のロックや管理者ごとのコミットの扱いも決めておきます。
設定ファイルを定期的に外部へ保存する: 名前付きの設定スナップショットを保存し、エクスポートして機器の外に保管します。スケジュールでエクスポートする機能や、Panoramaでの一元管理も選択肢です。
切り戻し手順を用意する: 以前の設定を読み込んでコミットし直す手順を、作業手順書に含めておきます。

複数台を運用している場合は、Panorama でテンプレートとデバイスグループを使って共通設定をまとめると、機器ごとの設定のばらつきを抑えられます。

ログの転送と監視

機器内のログ領域は容量に限りがあるため、長期の保管や相関分析は外部で行います。

ログを外部に転送する: syslogサーバーやSIEM、Palo Alto Networks のクラウドのログサービスなどに、トラフィック・脅威・システム・設定のログを転送します。
システムログと設定ログも見る: 通信のログだけでなく、管理者のログイン、設定変更、HAの切り替え、ライセンスやコンテンツ更新の失敗なども監視の対象にします。
通知の対象を絞る: 重要度の高い脅威ログや、管理者ログインの失敗などに絞って通知すると、アラートが埋もれにくくなります。

ドロップの原因を調べるときは、グローバルカウンターも手がかりになります。

show counter global filter delta yes severity drop

定期的な点検の目安

日々の運用とは別に、次のような点検を月次や四半期で行うと、設定の劣化を防げます。

セキュリティアドバイザリと利用中のPAN-OSバージョンの照合
管理インターフェースへの到達範囲の確認
ヒットしていないルール、プロファイルの付いていない許可ルールの洗い出し
証明書（復号化やGlobalProtect、管理画面用）の有効期限
ライセンスとサポート契約の期限
設定バックアップが取得できているか、読み込める形式か

Palo Alto Networks はベストプラクティスの評価ツールや設定ガイドも提供していますが、提供形態は変わることがあるため、利用できるものを公式サイトで確認してください。

まとめ

管理インターフェースはインターネットから届かない場所に置き、接続元・管理サービス・アカウントを絞る
PAN-OSはセキュリティアドバイザリと推奨バージョンを基準に計画的に更新し、App-IDのコンテンツ更新は影響を確認する手順を決める
ルールはApp-IDとセキュリティプロファイルを前提にし、ヒットカウントで棚卸しを続ける
コミットの説明、設定のエクスポート、切り戻し手順で変更管理を回す
ログは外部に転送し、通信だけでなく管理操作やシステムの異常も監視する