OSI参照モデルとは？WAFとファイアウォールの役割分担を7層でわかりやすく解説

OSI参照モデルとは、コンピュータ同士の通信機能を7つの階層（レイヤー）に分けて整理した、国際的な共通の枠組みです。現在のインターネットはTCP/IPを基盤としており、OSI参照モデルの7層構造がそのまま実装されているわけではありません。一方、セキュリティ製品の役割を説明する際には、「L3」「L4」「L7」のようにOSI参照モデルの層番号が広く使われています。この7層構造を理解すると、ファイアウォール・IDS/IPS・WAFが通信のどの情報を参照しているのかを、「層」という共通の基準で整理できます。

本記事では、前半で7層それぞれの役割を一次情報にもとづいて解説し、後半でWAF（Web Application Firewall）やファイアウォールの役割分担を説明します。

OSI参照モデルとは

OSI参照モデルの「OSI」は、Open Systems Interconnection（開放型システム間相互接続）の略称です。国際標準化機構（ISO）と国際電気標準会議（IEC）が策定した規格「ISO/IEC 7498-1」が原典にあたり、同じ内容が国際電気通信連合の勧告「ITU-T X.200」としても公開されています。

策定の背景には、メーカーごとに独自の通信方式が使われていたという事情があります。A社のコンピュータとB社のネットワーク機器をうまく接続できないといった問題を解消するため、通信機能を階層に分け、各層の役割を国際的に標準化したものがOSI参照モデルです。JPNICの解説（2009年）によれば、標準化に向けた委員会がISOに設置されたのは1977年3月でした。

「参照モデル」とは、特定の製品やソフトウェアの実装方法を定めたものではありません。
ITU-T X.200では、このモデルの目的を「システム間相互接続のための標準策定を調整する共通の基盤を提供すること」としています。OSI参照モデルは、コンピュータ間の通信機能を階層ごとに整理し、相互接続に関する標準を検討するための共通の枠組みです。

なお、OSI参照モデルと、現在インターネットで広く使われているTCP/IPは、それぞれ別の経緯で発展してきたものです。両者の階層は比較して説明されることがありますが、厳密に対応するものではありません。この点は、このあとの「OSI参照モデルとTCP/IPモデルの違い」であらためて扱います。

OSI参照モデルの7層構造

各層の詳細に入る前に、まずは全体像を確認します。

層	名称	役割
第7層	アプリケーション層	アプリケーションが利用する通信機能（HTTP、SMTP、DNSなど）
第6層	プレゼンテーション層	データ形式の変換・暗号化・圧縮
第5層	セッション層	通信の開始・維持・終了の管理
第4層	トランスポート層	エンドツーエンドのデータ転送・通信制御
第3層	ネットワーク層	IPアドレスによる経路選択（ルーティング）
第2層	データリンク層	同一リンク上でのフレーム転送・通信制御
第1層	物理層	ケーブル・電気信号などの物理的な伝送

層の区分と名称は、ITU-T X.200（ISO/IEC 7498-1と同一テキスト）にもとづいています。

情報処理技術者試験では「OSI基本参照モデル」という名称が使われています。IPAの基本情報技術者試験シラバス（Ver.9.2）でも、「ISOが策定した7層からなるネットワークアーキテクチャ」として出題範囲に含まれています。

一般に、第5層から第7層は利用者側の処理を担う「ユーザー支援層」、第1層から第3層は通信の土台をつくる「ネットワーク支援層」に分類されます。第4層のトランスポート層は、その橋渡し役にあたります。

上位の層ほど人間やアプリケーションに近い処理を、下位の層ほど物理的な伝送に近い処理を担当する構造です。

資格試験対策では、第7層から第1層の頭文字を並べた「アプセトネデブ」（アプリケーション・プレゼンテーション・セッション・トランスポート・ネットワーク・データリンク・物理）という語呂合わせが紹介されることがあります。

7層それぞれの役割

ここからは、各層の役割を第1層から順に、代表的な機器やプロトコルとあわせて解説します。資格試験でも、物理層から順に積み上げる形で出題されることが多い分野です。

第1層 物理層

物理層は、ケーブルや電気信号、光信号などを使ってデータを物理的に伝送する層です。0と1のビット列を電気信号や光信号に変換し、送信します。

代表的なものはLANケーブルやハブです。この層には、データの内容や宛先を判断する仕組みはなく、信号をそのまま伝送します。

第2層 データリンク層

データリンク層は、同一の通信媒体やネットワーク区間に接続された機器同士で、データをやり取りするための層です。

代表例であるEthernetでは、MACアドレスをもとにフレームを送受信します。Wi-Fi（IEEE 802.11）などの無線LANにも、データリンク層に相当する仕組みがあります。代表的な機器はスイッチ（レイヤー2スイッチ）です。

第3層 ネットワーク層

ネットワーク層は、異なるネットワークをまたいでデータを届けるための層です。IPアドレスをもとに、宛先までの経路を選択する「ルーティング」を担います。

代表的な機器はルーターです。インターネット上でデータが目的地まで届くのは、この層の働きによるものです。

第4層 トランスポート層

トランスポート層は、通信する両端（エンドツーエンド）の間でデータ転送を制御する層です。

代表的なプロトコルには、コネクション型で再送や順序制御などを行う「TCP」と、コネクションレス型でこれらの制御を行わない「UDP」があります。UDPは制御の仕組みが少ないため、低遅延や処理負荷の軽さが求められる用途でも使われます。

それぞれポート番号によって、通信先のアプリケーションを識別します。一部のロードバランサは、この層の情報をもとに通信を振り分けます。

第5層 セッション層

セッション層は、通信の「開始」「維持」「終了」を管理する層です。一連の通信を「セッション」として管理し、通信が途中で途切れた場合の再接続や、複数のやり取りの整理を担当します。

個々の通信を別々に扱うのではなく、一連のやり取りをセッションという単位でまとめて管理する層です。

第6層 プレゼンテーション層

プレゼンテーション層は、データの表現形式を変換する層です。

文字コードや画像形式の違いを吸収するほか、データの暗号化や圧縮を行い、送信側と受信側で異なる形式のデータを正しくやり取りできるようにします。送り手と受け手の間でデータの形式を整える役割を担います。

第7層 アプリケーション層

アプリケーション層は、アプリケーションがネットワークを通じてサービスを利用・提供するための機能を担う層です。

Webサイトの閲覧に使われる「HTTP/HTTPS」、メール送受信に使われる「SMTP」、名前解決に使われる「DNS」など、アプリケーションの通信を支えるプロトコルがこの層に含まれます。

第7層を対象とするセキュリティ製品については、後半で詳しく解説します。

TCP/IPで使われる代表的なプロトコルの多くは、IETF（Internet Engineering Task Force）が公開するRFC文書で仕様が規定されています。IPv4はRFC 791、UDPはRFC 768、HTTPはRFC 9110が該当します。一方、EthernetやWi-Fi（IEEE 802.11）はIEEEが策定した規格です。

TCPについては長らくRFC 793が原典として知られてきましたが、現在はRFC 9293（2022年8月）に置き換えられています。RFC 9293では、TCPを「インターネットのプロトコルスタックにおける重要なトランスポート層プロトコル」と位置づけています。

OSI参照モデルとTCP/IPモデルの違い

実務でネットワークを扱う際によく使われるのが「TCP/IPモデル」です。これはインターネットの実装で採用されている4階層のモデルで、RFC 1122では、アプリケーション層・トランスポート層・インターネット層・リンク層の4層に整理されています。

OSI参照モデルとの対応は、一般に次のように説明されます。

OSI参照モデル	TCP/IPモデル
第7層 アプリケーション層／第6層 プレゼンテーション層／第5層 セッション層	アプリケーション層
第4層 トランスポート層	トランスポート層
第3層 ネットワーク層	インターネット層
第2層 データリンク層／第1層 物理層	ネットワークインターフェース層（リンク層）

ただし、両者が厳密に1対1で対応しているわけではありません。

RFC 1122が明記しているのは、「インターネットのアプリケーション層は、OSI参照モデルの上位2層、すなわちプレゼンテーション層とアプリケーション層の機能を統合したものである」という点までで、セッション層の扱いには触れていません。

前掲のJPNICの解説でも、「インターネットは必ずしもOSI参照モデルに従っているわけではありません」と説明されています。試験対策では上の対応表を基準にしつつ、モデル間の対応は理解を助けるための目安として捉えるとよいでしょう。

資格試験ではOSI参照モデルの7層区分で問われることが多い一方、実務では「L3スイッチ」「L4ロードバランサ」のように、OSI参照モデルの層番号を使ってTCP/IPの技術を表すことがあります。

前半のポイント

• OSI参照モデルは、通信機能を7つの層に分けて整理した国際的な共通の枠組みです。原典はISO/IEC 7498-1（ITU-T X.200と同一テキスト）
• 上位の層ほど人間やアプリケーションに近い処理を、下位の層ほど物理的な伝送に近い処理を担う
• 各層には代表的なプロトコルと機器が対応する（第3層＝IP・ルーター、第4層＝TCP/UDP、第7層＝HTTP/HTTPSなど）
• 実装で使われるTCP/IPモデルは4層構成で、OSI参照モデルとは厳密に1対1で対応しない

ここまでが7層構造の基礎です。ここからは、この知識とセキュリティ製品の関係を解説します。

OSI参照モデルで整理するセキュリティ製品の役割

WAFやファイアウォールの製品資料では、「L7対応」「レイヤー3/4で制御」といった表記が使われます。これは、製品が通信のどの層を監視・制御するかを表したものです。

米国のNIST（国立標準技術研究所）は、ファイアウォールのガイドライン「SP 800-41 Rev.1」（2009年）で、基本的なファイアウォールは1つ、または少数の層、多くの場合は下位層で動作し、より高度な製品は、アプリケーション層を含むTCP/IPの4層を検査すると整理しています。

どの層まで検査するかによって、製品の役割は異なります。上位の層になるほど通信内容を詳しく解析する必要があるため、製品ごとに役割や検知できる攻撃も変わります。

ファイアウォール・IDS/IPS・WAFが見る通信の層

まずは、3つの製品が主に参照する層と、判断に使用する情報を整理します。

製品	主に見ている層	判断の材料
従来型のファイアウォール	主に第3層・第4層	IPアドレス、ポート番号など
アプリケーション層まで検査するファイアウォール	第3層〜第7層相当（製品による）	IPアドレス、ポート番号、アプリケーションの種別、通信内容など
IDS/IPS	製品・シグネチャにより異なる	通信情報や通信パターン、シグネチャなど
WAF	主に第7層	HTTP/HTTPSのリクエスト・レスポンス

従来型のファイアウォール（主に第3層・第4層）

従来型のパケットフィルタリング型ファイアウォールやステートフルインスペクション型ファイアウォールは、主にIPアドレスやポート番号などをもとに通信を許可・拒否します。

一方、現在はアプリケーション層まで通信内容を検査するファイアウォールもあります。そのため、「ファイアウォールは第3層・第4層だけを扱い、通信内容を検査しない」と、すべての製品を一括りにすることはできません。

IPAの『Web Application Firewall 読本』（改訂第2版、2011年）では、ファイアウォールを「通信における送信元情報と送信先情報（IPアドレスやポート番号等）を基にアクセスを制限するソフトウェア、またはハードウェア」と説明しています。また、「FWでウェブアプリケーションの脆弱性を悪用する攻撃を防ぐことはできません」としています。

従来型のファイアウォールが主に制御するのは、「どこから、どこへ、どのポートを使った通信か」という情報です。パケットフィルタリング型では、通信内容そのものを詳しく検査しません。NIST SP 800-41 Rev.1でも、基本的なパケットフィルタリング機能はネットワーク層で動作すると整理されています。

IDS/IPS（第3層〜第7層・製品により範囲が異なる）

IDS（不正侵入検知システム）・IPS（不正侵入防止システム）は、Webに限らず、幅広い機器やプロトコルの通信を検査する製品です。

IPAの読本では、IPSを「ウェブサイト運営者が設定する検出パターンに基づいて、様々な種類の機器への通信を検査するソフトウェア、またはハードウェア」と説明しています。

IDS/IPSは、担当する層を単一の番号で示しにくい製品です。Web以外も検査対象に含まれ、通信の外側の情報から通信内容のパターンまで、製品や適用するシグネチャによって検査範囲が変わるためです。

第3層から第7層にまたがり、設定によって検査の深さが変わる製品と考えると、実態に近いでしょう。

WAF（第7層）

WAF（Web Application Firewall）は、IPAの読本では「ウェブアプリケーションの脆弱性を悪用した攻撃などからウェブアプリケーションを保護するソフトウェア、またはハードウェア」と定義されています。

SQLインジェクションやクロスサイトスクリプティング（XSS）といった攻撃が代表的な検知対象で、OWASPも、WAFのルールが一般にこうした攻撃を対象とすると説明しています。

WAFが第7層を検査する製品であることは、次の2点から確認できます。

• IPAが2019年に公開した『Web Application Firewallの導入に向けた検討項目』が「一般的なWAFでは、攻撃の監視対象としているプロトコルはHTTPとHTTPSのみであり、それ以外のプロトコルに対しては監視対象としていません」と明記している
• そのHTTPが、RFC 9110でアプリケーションレベルのプロトコルと定義されている

つまりWAFは、主にHTTP/HTTPSのリクエストやレスポンスを解析し、Webアプリケーションを狙う攻撃を検知・遮断します。

IPAの同資料では、WAFはSSHを使ったサーバへの不正アクセスや、FTPによる不正なファイルアップロードを検知できないとも説明されています。一般的なWAFの監視対象は、HTTP/HTTPS通信です。

検査方法にも特徴があります。WAFは保護対象をWebアプリケーションに絞っているため、既知の攻撃パターンを拒否する「ブラックリスト」に加え、正常な通信を定義する「ホワイトリスト」による検査も可能です。

IDS/IPSが広い範囲を監視するのに対し、WAFは対象を絞り、通信内容をより詳しく検査します。

当社が提供するクラウドサービス型WAF「PrimeWAF」も、第7層を担当する製品です。

DDoS攻撃への対応範囲

OSI参照モデルの層を使うと、DDoS攻撃への対応範囲も整理できます。

CISA（米国サイバーセキュリティ・インフラストラクチャセキュリティ庁）がFBI・MS-ISACと共同で公開したDDoS対策ガイド（2024年3月）は、DDoS攻撃を大きく3つに分類しています。

大量の通信によって帯域やシステム資源を消費させる「ボリューム型」、OSI参照モデルの第3層・第4層を狙う「プロトコル型」、第7層を狙う「アプリケーション型」です。

WAFが監視するのはHTTP/HTTPS通信であるため、帯域をあふれさせるタイプのDDoS攻撃にWAF単体で対応するのは困難です。

ただし、WAFより手前に別の機器を置けば解決するとは限りません。帯域をあふれさせる攻撃では、通信を受け止める機器の処理能力を超えた時点で、その機器と背後にあるサーバが応答できなくなります。

ファイアウォールやIPSを手前に置き、不正な通信を除去する設定にしていても、機器の処理能力を超える規模の攻撃には対応できません。

同ガイドでも、こうした攻撃への対策として、ISPや専門事業者が提供するDDoS対策サービスの活用を挙げています。自社の回線帯域を超える大規模なボリューム型攻撃は、自社環境内の製品だけでは対応できません。そのため、ISPや専門事業者のサービスを利用し、通信が自社回線に到達する前の段階で軽減する対策が必要です。

なぜ1つの製品で全部を守れないのか

WAFが主に第7層のHTTP/HTTPS通信を対象としていることから、対応範囲が狭いと感じる方もいるかもしれません。しかし、これは製品の弱点ではなく、設計上の役割分担です。

大量の通信を処理することと、一つひとつの通信内容を詳しく解析することには、一般に処理負荷の面でトレードオフがあります。

また、製品によって保護する対象や検査の目的も異なります。そのため、1つの製品ですべての攻撃に対応できるわけではなく、複数の対策を組み合わせることが重要です。

複数の防御策を組み合わせる考え方を「多層防御（defense in depth）」と呼びます。

NISTの用語集は、多層防御を「攻撃経路に異なる種類のセキュリティ技術を重ねることで、ある技術が見逃した攻撃を別の技術が捕らえられるようにする方法論」と説明しています。

IPAも、1つの対策が破られても次の対策によって攻撃を抑止し、重要部へ侵入される前に検知・対応できるようにする、リスクベースの総合的なアプローチとして多層防御を解説しています。前章で説明したDDoS攻撃への対応も、多層防御の一例です。

なお、多層防御の「層」は、OSI参照モデルの7層と必ずしも一致しません。

たとえば、ネットワークを経由する通信はファイアウォールやWAFで保護し、サーバのOSやアプリケーションはEDR/XDRなどの製品で保護する構成も多層防御に含まれます。

一方、EDR/XDRをOSI参照モデルの特定の層に当てはめるのは難しく、通信の階層構造だけでは整理できません。本記事で紹介した「通信の層に応じて製品を配置する」という方法は、多層防御を実現する方法の一つです。

まとめ｜層で見るセキュリティ製品の役割分担

OSI参照モデルは、通信機能を7つの層に分けて整理した国際的な共通の枠組みです。第1層の物理層から第7層のアプリケーション層まで、それぞれ異なる役割を担っています。

OSI参照モデルの層で整理すると、従来型のファイアウォールは主に第3層・第4層の情報を参照しますが、アプリケーション層まで検査する製品もあります。IDS/IPSの検査範囲は製品やシグネチャによって異なり、WAFは主に第7層に相当するHTTP/HTTPS通信を検査します。

WAFは保護対象をWebアプリケーションに絞った製品であり、すべての攻撃に単独で対応するものではありません。ほかのセキュリティ対策と組み合わせることで、多層防御の一部を担います。

本記事では、OSI参照モデルの層と、セキュリティ製品の役割との関係を整理しました。必要な対策や製品の組み合わせは、システム環境や保護する対象によって異なります。自社に適したセキュリティ対策でお悩みの場合は、お気軽にご相談ください。

WAFそのものの仕組みや、ファイアウォールとの違い、選定時に見るべきポイントについては、WAFとは？仕組み・必要性・導入方法までわかりやすく解説で詳しく解説しています。クラウド型のWAFに絞って知りたい方は、クラウドWAFとは？入門編として製品と仕組みを理解してみようもあわせてご覧ください。