VPN機器はなぜ毎年狙われるのか——3つの構造とその外し方

「更新は分かっているんですが、在宅の営業が全員つながらなくなるので、来月の落ち着いた時期に」——VPN機器の話になると、情シス担当者からほぼ必ずこの言葉が返ってきます。怠けているわけではありません。止めれば本当に困る人が大勢いて、そして「来月」は毎回そのときの都合で先へずれていきます。

そして翌年も、その翌年も、同じ会社の同じ機器が、同じ理由で狙われます。偶然ではありません。VPN機器——社外から社内のシステムに安全につなぐための、境界に置かれた通信機器——が繰り返し突破口になるのは、機器そのものが特別に弱いからではなく、この機器を取り巻く事情が、毎年同じ形の隙を生み出しているからです。

弱いのは製品ではなく、置かれ方のほうです。

攻撃者がまず穴を探し、開いている穴の持ち主を後から調べる——という話は、別の記事で触れました。この記事はその一歩先、数ある入口の中でなぜVPN機器がとりわけ狙われ続けるのか、その構造を3つに分けて、外し方まで書きます。3つはそれぞれ独立しているようでいて、どれも「便利であること」の裏返しとして生まれています。

理由①：社内全員の入口が、一台に集約されている

VPN機器は、その性質上どうしても目立つ場所に立たされます。社外から社内システムを使う人は、全員がこの一台を通ります。営業も、経理も、在宅勤務の日がある人も、出張中の役員も、経路は一本です。便利さの裏返しとして、この一台さえ突破すれば、社内のネットワークにそのまま入れるという構図ができあがります。

しかもこの機器は、閉じてしまうと役目を果たせません。

社外から接続できることが仕事そのものなので、常時インターネットに向けて開いている以外の状態が取れないのです。社内で使うファイルサーバーや会計システムとは、立ち位置が根本的に違います。それらは普段、社内のネットワークの内側に守られていますが、VPN機器だけは外の世界と直接向き合う場所に置かれています。そして、インターネットに向けて応答している以上、外からその機種とソフトウェアのバージョンを調べることができます。これは特別な技術ではありません。世界中の機器を機械的に調べて回る仕組みが既に広く使われていて、新しくつないだばかりの機器も早い段階で拾われます。機種とバージョンが分かれば、その組み合わせに弱点が公表されているかどうかまで、外から調べがつきます。守る側が「うちの機器の型番は社外秘です」と考えているあいだに、外側にはとっくに一覧ができている、ということです。

もう一つ、見落とされがちな点があります。VPN機器を通って社内に入った通信は、社内の他のパソコンから見れば「社外から来た怪しい通信」ではなく「正規のVPN経由で入ってきた、社内の一員の通信」です。境界を守る役目の機器そのものが突破されると、その内側にある社内の防御は、突破者を疑う理由を持ちません。一台の重みが、他の機器とは比べものになりません。

理由②：更新すると業務が止まるので、先送りされ続ける

ソフトウェアの弱点が公表されると、製造元は修正プログラムを配ります。理屈の上では、これを当てれば終わりです。ただ、VPN機器の更新は、他の機器の更新とは重みがまったく違います。作業の最中、あるいは直後の再起動で機器が一時的に使えなくなると、その瞬間、在宅勤務をしている人や出張中の人が全員、社内システムから切れます。

オフィスの中だけで完結する業務システムなら、深夜や休日に短時間止めても影響は限られます。ところが時差のある拠点があったり、休日に動く業務があったりすると、「止めてよい時間帯」そのものを見つけるのが難しくなる。しかも更新後に何か出れば、真っ先に「つながらない」という問い合わせが情シス担当者に殺到します。うまくいって当たり前、失敗すれば矢面に立つ。割の悪い作業に見えるのは無理もありません。

「後回し」は個人の怠慢ではなく、構造の結果

担当者が更新を先送りするのは、多くの場合、危険性を理解していないからではありません。「いつ止めるか」を決める権限が担当者になく、業務側の都合が優先され続けるからです。更新作業そのものは、多くの場合数十分、長くても数時間で終わります。作業時間の長さではなく、「止めてよい時間」を誰も差し出さないことが問題なのです。

だから外し方は一つしかありません。更新の計画を、担当者の裁量ではなく「止める時間の予約」として、業務側とあらかじめ合意しておくこと。「弱点が公表されてから何日以内に、深夜のこの時間帯で更新する」という線を経営として先に引いてしまえば、更新のたびに「今月は忙しいので」という交渉が発生しません。止める時間は、緊急対応ではなく定例の枠になります。

もう一つ、地味に効くのが「更新した後に、本当にバージョンが上がっているかを見に行く」という一手間です。作業を実施した記録は残っているのに、機器の表示を確認しに行くと反映されていなかった、一部の機能だけ古いままだった——これは現実に起こります。作業をしたかどうかではなく、上がった結果を目で見るところまでを、更新作業の完了条件にしてください。更新した本人が「たぶん大丈夫です」と報告し、それをそのまま信じて終わりにすると、反映漏れに気づく機会が消えます。実施者と確認者を分ける、少なくとも上長が画面を一緒に見る。その程度で十分です。

時間を確保しても確認を省けば反映漏れに気づけず、確認だけ厳しくしても時間が取れなければ更新そのものが実施されない。両方そろって、初めて運用として回り始めます。

理由③：保守が切れても、動いているので誰も触らない

VPN機器には、製造元がその機種を面倒見続ける期間、つまり保守期限があります。期限が過ぎると、たとえ新しい弱点が見つかっても、そもそも修正プログラムが配られなくなります。ここまでは仕組みの話として知っている方も多いはずです。

厄介なのは、その先です。期限が切れても、機器は普通に動き続けます。壊れたわけではないので、画面には何のエラーも出ません。社員は今日も問題なくVPNにつながります。壊れていないものを、わざわざ交換しようと考える人はいません。予算をつけて機器を入れ替える提案をするより、今のまま動かしておくほうが、社内的にははるかに通りやすい。こうして、保守の切れた機器が何年も現役で残ります。

気づく手段が社内に何も用意されていない、というケースも多いものです。導入したときの担当者が異動し、後任は「なぜか昔から動いているVPN機器」としか認識していない。誰も悪くないのに、誰も把握していない状態がそのまま続きます。

外し方は、台帳を持つことから始まる

高度な技術は要りません。社内で使っている機器の種類、導入時期、保守期限を一覧にした資産台帳を持つ、それだけです。台帳があれば、期限が近づいた機器を「気づいたら切れていた」ではなく、事前に交代の計画へ乗せられます。台帳の作り方や続け方は別の記事で詳しく扱っているので、ここでは出発点だけ押さえておいてください。

台帳は表計算の一枚で足ります。凝った管理の仕組みを先に探しはじめると、探しているあいだに一年が過ぎます。機器の名前、置き場所、導入した時期、保守の切れる時期、そして「誰が面倒を見るか」。この最後の列が空欄のまま残っている機器が、たいてい次に問題を起こします。

作るときは、VPN機器だけでなく、社外から見える機器を全部並べることをおすすめします。Webサイトを動かしているサーバー、監視カメラの録画装置、複合機。VPN機器の保守期限だけを気にしていた会社が、台帳を作った途端に「存在すら忘れていた古い機器」を掘り当てる、というのはよくある展開です。

突破されても、入口の監視には異常に見えない

VPN機器が突破された場合、その通信は「正しいIDとパスワードを使った、正規の認証を通った通信」として社内に入ってきます。不正アクセスを検知する仕組みの多くは、「認証に失敗した回数が多い」「見慣れない場所からのアクセスがある」といった異常なパターンを探します。ところが、盗まれた、あるいは使い回された認証情報をそのまま使われると、この仕組みからは正常なログインにしか見えません。

鍵を壊して窓から入られるのではなく、合鍵を使って正面玄関から入られる状態に近いものです。防犯カメラが玄関を映していても、鍵を持った人物が入ってくる分には警報は鳴りません。境界を守る仕組みが優秀であるほど、境界そのものを正規の形で通過されたときの弱さが際立ちます。この種の事故がいつも「気づくのが遅れた」という言葉で語られるのは、監視が怠慢だったからではなく、監視の対象が入口で止まっていたからです。

入られた後に何が起きるかも、想像よりずっと静かです。侵入した側は、まず社内のどこに何があるかを調べます。共有フォルダを開く、名簿を見る、別のサーバーに正規の手順でログインしてみる——どれも社員が日常的にやっている操作です。派手な破壊は、目的を果たした最後にしか起きません。「何も起きていないので問題ない」という報告が、安全の証明にならない理由がここにあります。

だからこそ、「入られていないこと」を前提にするのではなく、「入られた後に、社内の動きの中で気づけるか」という別の仕組みを、境界の守りとは独立に持つことになります。社内に入り込んだ後の不審な動きをあぶり出す考え方については、デセプション・セキュリティの取り組みで詳しく扱っています。境界が破られることを前提に置いた、もう一段階先の備えです。

経営として持っておきたい問いは、「VPN機器は更新されているか」だけではありません。「もし今夜、正規の認証情報を使って誰かが入ってきていたら、それに気づける仕組みがあるか」。前者は機器一台の管理で済みますが、後者は機器の外側、社内ネットワーク全体の設計に関わります。順番に片付けるものではなく、並行して進めるべき別の課題だと考えてください。

更新を止める時間として、業務側と先に合意する

多くの会社がつまずくのは、更新のたびに毎回ゼロから調整を始めてしまうところです。避けるには、年に数回、あらかじめ「更新のための停止時間帯」を業務側と決めてカレンダーに入れておくという運用が効きます。この枠は、弱点が実際に公表されたときに使ってもいいですし、何もなければ定期点検に充ててかまいません。

日付を選ぶのは、情シスではなく業務側の人にしてください。押し付けられた停止時間は当日になって覆りますが、自分で出した日は守られます。

効いているのは技術ではなく、経営が「この時間帯は止めてよい」と先に宣言しているという事実のほうです。担当者が個人の裁量で業務側と交渉する構図から、決まったルールに沿って粛々と実施する構図へ変わるだけで、更新の実施率は大きく動きます。

あわせて、VPN機器の認証にパスワードだけでなく、もう一段の確認を加えることも検討してください。使い回された、あるいは流出したパスワードだけで機器に入れてしまう状態では、機器そのものにどれだけ更新を当てても意味が薄くなります。パスワード以外の確認手段を組み合わせる仕組みについては、別の記事で詳しく取り上げています。突破されれば社内全体に直結する場所ほど、この一段を省略すべきではありません。

管理画面を隠し、外から穴を確かめる

VPN機器には、設定を変更するための管理画面が用意されています。これが社内からだけでなく、インターネットのどこからでも開ける状態になっている会社は珍しくありません。導入時の作業をしやすくするために開け、設定を戻し忘れている——ほとんどがこのパターンです。

管理画面をインターネットから見えないようにするだけで、外から機器の設定を直接狙われる経路が一つ消えます。社内からのみアクセスできるようにする、限られた場所からしか開けないように制限する。多くの機器に標準で用意されている設定です。まず、自社のVPN機器の管理画面が外から開けるかどうかを確かめてください。

ただし、社内の対策だけでは「本当に外から見えない状態になっているか」を確かめきれません。設定を変えたつもりで別の経路が残っていた、という事態は珍しくないためです。自社のネットワークを外側から実際に調べ、どこが開いたままかを洗い出す診断については、ペネトレーションテストのページで説明しています。社内の目線では気づけない抜け道を、攻撃者と同じ視点でたどる作業です。

入れ替えの判断基準を、あらかじめ持っておく

残るのは、いちばん判断の難しい問いです。「壊れていない機器を、いつ入れ替えるべきか」。台帳に保守期限が記録されていれば、期限が近づいた時点で判断すればよく、切れてから慌てて検討するものではありません。

そのうえで、前倒しすべきサインもあります。製造元からの案内が来なくなった、問い合わせ窓口の対応が明らかに手薄になった、更新プログラムの配布頻度が下がった——これらは保守期限そのものより早く現れる予兆です。また、在宅勤務の人数や、社外から接続する部門が導入当初より大きく増えているなら、機器の処理能力が当時の想定を超えていることもあります。この場合は保守期限に関係なく、容量の面から見直しが必要になります。

一覧にしておく理由は、担当者一人の感覚に頼らないためです。感覚に任せると、「まだ大丈夫だろう」という楽観のほうが、「そろそろ危ない」という警戒よりも通りやすくなります。基準を先に文字にしておけば、その場の空気に判断を持っていかれません。

入れ替えの機会は、台帳・止める時間の合意・もう一段の認証・管理画面の非公開を、まとめて点検する場にしてください。新しい機器を入れても、古い機器と同じ運用のまま使えば、同じ理由でまた狙われます。機器を替えることと、機器の扱い方を替えることは別の作業です。

参考になる公的資料

• 情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
• 経済産業省・情報処理推進機構（IPA）「サイバーセキュリティ経営ガイドライン」
• NISC（内閣サイバーセキュリティセンター）「サイバーセキュリティ関係法令Q&Aハンドブック」
• 警察庁「サイバー空間をめぐる脅威の情勢等」
• JPCERTコーディネーションセンター 注意喚起・技術情報