VPNのセキュリティは万全ですか？

仮想プライベートネットワーク（VPN）のセキュリティは常に重要ですが、COVID-19のパンデミックが続く現在、その重要性は一層高まっています。リモートワークは急速に新たな常態となり、それに伴ってVPN機能への需要も急増しています。残念ながら、予想どおりVPNへの攻撃も同時に急増しています。事態の深刻さを示すように、3月には米国国土安全保障省のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が、エンタープライズVPNセキュリティに関するアラートAA20-073Aを発表しました。

基本的に、VPNは企業ネットワークの境界を拡張し、ユーザーがどこからでも社内アプリケーションにアクセスできるようにします。これにより、オンプレミスのインフラストラクチャは、実質的にユーザーデバイスから「1ホップ」（または1クリック）の距離になります。同様に、企業資産に対するセキュリティリスクも1ホップの距離まで近づきます。攻撃者は、境界セキュリティの高度な多層防御（プロキシ、WAF、侵入検知など）を突破する必要がなくなり、たった1つの脆弱性やVPNの安全でない実装によって、企業資産や個人情報が漏えいする可能性があります。

この記事では、VPNのセキュリティを評価するうえで重要となる主な領域について解説します。

エンドポイントのセキュリティ態勢

通常、ユーザーはデスクトップ、ノートPC、モバイル端末などのエンドポイントデバイスからSSL VPNトンネルを開始します。これらのエンドポイントは、攻撃ベクトルとして悪用しようとする悪意のある攻撃者にとって、侵入口であると同時に主要な標的にもなります。そのため、VPNトンネルを確立する前に、エンドポイントの安全性を必ず確認することが重要です。エンドポイントセキュリティとは、クライアントデバイスにネットワークへのリモートアクセス接続を許可する前に、そのデバイスがセキュリティリスクをもたらさないことを確認するための戦略的なアプローチです。たとえば、この戦略には、クライアントマシン証明書の体系的な検証、クライアントの種類やクライアントブラウザーのバージョンの確認、スパイウェア対策ソフトウェアおよびウイルス対策ソフトウェアのパッチ適用状況の確認、クライアントのファイアウォールルールの検査などが含まれる場合があります。

エンドポイントのセキュリティポスチャ評価は通常、VPNトンネルを確立する前のセッション開始時に実施されますが、ユーザーのVPNセッション中に定期的に実施することもできます。継続的なエンドポイントのセキュリティポスチャ評価では、最初のVPNトンネル確立後にエンドポイントが侵害されていないことを確認することで、その後のリスクを軽減します。

ユーザーの認証と認可

認証では、VPNトンネルを確立する前にユーザーの本人確認を行います。リモートワーカーの認証情報を検証することで、正規のユーザーのみが社内リソースやアプリケーションにアクセスできるようにします。

しかし、クレデンシャルスタッフィングやアカウント乗っ取り（ATO）の手法が増加する中、攻撃者が有効なユーザー認証情報を入手し、単要素認証を回避する可能性があります。そのため、VPNに多要素認証を導入することが不可欠です。

多要素認証（MFA）

MFAは、VPNトンネルを確立する前に、検証可能な認証要素を2つ以上ユーザーに要求することで、セキュリティを強化します。業界の推計によると、このアプローチにより、MFAはアカウント乗っ取り（ATO）攻撃の99.9%を効果的に阻止できます。一般的な認証要素は次のとおりです。

• ユーザーが知っている情報（パスワード、PIN、タッチパッドジェスチャーなど）
• ユーザーが所有しているもの（物理トークン、ソフトウェアトークン、証明書など）
• ユーザー自身の特性。指紋、網膜スキャン、顔認証、音声認証などの生体情報を指します

ユーザーの認証後、認可ポリシーによってユーザーの権限セットが評価され、内部リソースやアプリケーションへの特定のアクセスが許可されるとともに、適切な制限が適用されます。アクセスの許可には、ロールベースアクセス制御（RBAC）など、さまざまな権限モデルが使用されます。VPNトンネルの確立時にACLなどの追加のセキュリティ制御を実装することで、VPNユーザーに特定の権限や設定を適用できます。

データの機密性と完全性

企業データがVPNトンネルを介して共有ネットワークまたはパブリックネットワーク上を伝送される際、暗号化によってデータの機密性と完全性が確保されます。

機密データを漏えいさせるために、悪意のある攻撃者は、秘密鍵の窃取、暗号実装における既知の脆弱性の悪用、脆弱な暗号パラメータの解読を試みる可能性があります。

SSL VPNを構成する際は、鍵交換の管理と暗号スイートの強度を考慮する必要があります。TLS1.3より前のバージョンには、プロトコルの定義と実装に既知の欠陥があります。その他の攻撃手法には、クライアントによる再ネゴシエーションの悪用や、RC4ストリーム暗号、輸出グレード暗号などの脆弱な暗号プリミティブの使用が含まれます。

VPNに対するDDoS攻撃

従業員の大半または全員がリモートワーカーである場合、VPNサーバー（VPNコンセントレーターとも呼ばれます）の可用性も事業継続に不可欠となります。一方、VPNサーバーは、ランダムに分散された自動リクエストを大量に送り付けて過負荷状態にし、正規ユーザーがVPNを利用できないようにしようとする悪意ある攻撃者の主要な標的となる可能性があります。

SSL VPNには、IPアドレスまたはURLを使用してアクセスできます（Webブラウザからアクセスするか、VPNクライアントに設定します）。そのため、HTTPフラッド、SSLフラッド、SSL再ネゴシエーション、TCPブレンド攻撃など、Webサーバーを標的とするものと同じDDoS攻撃パターンの影響を受ける可能性があります。

したがって、VPNを介した事業継続性を確保するには、より広範なセキュリティ戦略の一環として、DDoS攻撃を検知して緩和できるようVPNを構成することが不可欠となる場合があります。

関連リソース：

• BIG-APMを使用したセキュアなVPNアクセス
• COVID-19時代の事業継続