不安全で脆弱なオープンポートが重大なセキュリティリスクをもたらす仕組み

侵入者が施設に侵入しようとするとき、まず“隙”を探します。オープンポートは、ハッカーや脅威アクターがデジタルネットワークへアクセスするために探す入口の一つです。そのオープンポートは、ファイアウォール、サーバー、またはネットワークに接続されたあらゆるコンピューティング機器上に存在する可能性があります。施錠されていないドアが1枚でもあれば、あなたのプライバシーが危険にさらされ、物理的な建物への立ち入りが許可されてしまうのと同様に、オープンポートが1つでもあると、ハッカーがあなたのシステムに侵入するための突破口になり、彼らの悪意ある意図にさらされることになります。

以下では、最も脆弱なポートと、それらを防ぐための重要なセキュリティ戦略を紹介します。

オープンポートの脆弱性の概要

ネットワーク内で開いているポートは脆弱性です。これは、許可されていないアクセスがファイアウォールやその他のセキュリティ対策を回避してネットワークに侵入するための潜在的な侵入口となります。侵入されると、攻撃者は望む攻撃を仕掛けたり、偵察を行って組織をより詳しく把握し、どのように悪用できるかを学んだりできます。オープンポートは大きな セキュリティリスク をもたらすため、セキュリティ管理において最優先事項にすべきです。

オープンポートを保護することの重要性

攻撃に対する脆弱性を減らすには、攻撃対象領域（attack surface）を減らす必要があります。これは、システム内で開いているポートの数を減らすことで実現できます。たとえば、外部からの Remote Desktop Protocol (RDP, port 3389) 接続を許可すると、正当なユーザーが社外から企業ネットワークにアクセスできるようになります。とはいえ、脅威アクターにとっては、開放された RDP ポートを探して積極的に悪用するための機会にもなります。

ポートとは何ですか？

定義と目的

ポートは、特定のサービスやアプリケーションに対するネットワーク通信を受け入れる「仮想の入口」として捉えることができます。各ポートはほかと区別するために、固有の番号によって識別されます。これらのポートは、割り当てられた管理者が管理でき、特定の種類の通信を許可または遮断するために、ポートを開閉します。たとえば、Web の通信はポート 80 と 443 に依存しています。外部ユーザー向けに Web アプリケーションをホストしているサーバーがある場合、そのユーザーにアクセス権を付与するために、これらのポートを開ける必要があります。使用していないポートはすべて閉じるべきです。

ポートの種類：TCP と UDP

ポート番号と組み合わせて最も一般的に使われる転送（トランスポート）プロトコルは、Transmission Control Protocol（TCP）とUser Datagram Protocol（UDP）です。ソフトウェアやサービスはTCPまたはUDPを使用するように設計され、指定されたポート番号が割り当てられます。

• TCP は、再送信とエラー回復が組み込まれたコネクション指向のプロトコルです。TCP は通常、より信頼性の高いプロトコルです。
• UDP  は、コネクションレスのプロトコルで、メッセージのエラーを回復または訂正しません。「best effort（最善の努力）」プロトコルとして知られています。

ポートの状態

TCP と UDP のポートは、必要に応じて次の 3 つの状態のいずれかになります:

• オープン — ポートが接続要求に応答します。
• クローズド — ポートに到達できず、対応するサービスが実行されていないことを示します。
• フィルタリング — ファイアウォールがトラフィックを監視し、特定ポートへの接続要求をブロックします。

開放ポートに関連するセキュリティリスク

脅威の主体は、開放ポートを使って攻撃を実行し、脆弱性を悪用します。以下では、悪意のある攻撃者が悪用することの多い一般的なエクスプロイトや攻撃をいくつか紹介し、その後、開放ポートの脆弱性を通じて行われた有名な攻撃を2件詳しく説明します。

よくあるエクスプロイトと攻撃

• 開かれた RDP 接続 は、サーバーにアクセスしたり、ランサムウェアのペイロードを配信したりするために、クレデンシャル・スタッフィング攻撃を開始するのに悪用できます。
• サービス拒否（DoS）攻撃 は、さまざまなマシンから多数の接続要求を送り、特定のサービスを妨害します。典型的な例としては、Web サーバーのWebポートを狙い、帯域幅とリソースを消費させることで、正規のユーザーがサービスにアクセスできないようにすることが挙げられます。
• Web サービスポート は、アプリケーション自身の脆弱性を悪用するために、SQL インジェクションやクロスサイト・リクエスト・フォージェリなどの攻撃を仕掛ける入口として、一般的に使用されます。
• 中間者攻撃（Man-in-the-middle attacks） は、よく知られたポートの暗号化されていないデータ通信に入り込んで、機密情報を収集するために使われることがあります。例として、データ通信を再ルーティングして電子メールの通信を傍受するケースが挙げられます。

事例研究：WannaCry、RDP Pipe Plumbing

有名な攻撃の1つが、WannaCry Ransomware attack 2017年に開始されたものでした。この攻撃は世界規模で実行され、150か国にまたがって30万台以上のコンピューターに影響を与えました。攻撃は、445ポートのSMBプロトコルにある脆弱性を悪用していました。攻撃者が組織に侵入すると、そのファイルを暗号化し、身代金の支払いを要求しました。

RDP Pipe Plumbing は、Remote Desktop Protocol における Windows の名前付きパイプ（Windows-named pipes）を悪用する脆弱性です。攻撃者は、RDP の 3389 ポートを狙って、正規のものと同じ名前の偽のパイプサーバー・インスタンスを作成します。そして、その偽のパイプを用いて、RDP クライアントとサーバー間の通信を傍受します。この中間者攻撃（man-in-the-middle）により、クリップボードの内容やファイル転送などの機微なデータへの不正アクセスが可能になります。

脆弱なポートとそのリスク

以下は、オープンポートの脆弱性の一覧です。どれが悪用されやすいかを学ぶためにお読みください。

ポート 21 の脆弱性（FTP）

ファイル転送プロトコル（File Transfer Protocol、FTP）はポート 21 が割り当てられています。FTP により、ユーザーはサーバーとの間で暗号化されていない通信によってファイルを送受信できます。FTP は時代遅れで安全でないと考えられており、特に機密データを含むいかなるファイル転送にも使用すべきではありません。FTP は、以下のいずれかの方法で容易に悪用され得るためです：

• パスワードの総当たり攻撃
• 匿名認証（FTP ポートに対して、ユーザー名とパスワードに「anonymous」を指定してログインできる場合があります）
• クロスサイトスクリプティング
• ディレクトリトラバーサル攻撃
• 中間者攻撃（Man-in-the-middle）

ポート22の脆弱性（SSH）

ポート22は Secure Shell 接続に一般的に使用されます。接続が暗号化されるため、Telnetよりも推奨されています。リモート管理によく使われるポート22は、安全なリモートアクセス を確保するためのTCPポートです。セキュリティが強化されているにもかかわらず、いくつかの基本的な脆弱性が依然としてあります：

• 漏えいした SSH キー。SSHキーが適切に保護されていない場合、攻撃者がアクセスして必要なパスワードなしで侵入できてしまいます。
• 認証情報の総当たり攻撃（Brute-forcing）。開いている SSH ポートは見つけやすいため、攻撃者がユーザー名とパスワードの組み合わせを推測できます。

ポート 23 の脆弱性（Telnet）

Telnet はポート 23 を使用する TCP プロトコルです。スイッチ、ルーター、サーバーなどのコマンドラインインターフェイスを備えたリモート機器に接続します。FTP と同様に、Telnet は暗号化されておらず、古く、セキュリティ上も不安全と考えられています。Telnet は SSH に置き換えられました。代表的な脆弱性には次のようなものがあります：

• 認証情報の総当たり攻撃。攻撃者は、開いているポートの脆弱性を悪用して、露出しているサービスに対して繰り返しログイン試行を行い、認証情報を推測して不正アクセスを得ようとします。
• なりすまし（スプーフィング）と認証情報の盗聴（スニッフィング）。開放されたポートは、攻撃者に対してサービスを露出させる可能性があります。攻撃者はそれを悪用して通信中に合法的な主体になりすまし、認証情報を傍受して盗み取ることがよくあります。

ポート 25 の脆弱性（SMTP）

ポート 25 は、電子メールの送受信に Simple Mail Transfer Protocol (SMTP) で使用されています。SMTP は、サイバーセキュリティが大きな懸念ではなかった時期に開発されたため、第三者のセキュリティソリューションがなくても簡単に悪用され得ます。適切な設定と保護がない場合、この TCP ポートは次のような脅威に対して脆弱です:

• なりすまし（Spoofing）。攻撃者はメールヘッダーを偽造して、メッセージが信頼できる送信元から送られてきたように見せかけることができます。
• スパム送信。保護されていない SMTP サーバーは悪用され、大量の迷惑メール（未承諾メール）を送信するために利用されることがあります。その結果、システムが圧倒されて動かなくなったり、マルウェアが拡散されたりすることがよくあります。
• 中間者攻撃（Man-in-the-middle）。特に、メールそのものが平文で送信される場合に起こりやすくなります。

ポート 53 の脆弱性

ポート 53 は Domain Name System（DNS）に使用されており、facebook.com や linkedin.com のような人間が読めるドメイン名を IP アドレスに変換します。DNS はインターネット通信に不可欠で、クエリと転送のそれぞれに UDP と TCP の両方を使用して動作します。このポートは特に Distributed Denial of Service（DDoS）攻撃に対して脆弱で、攻撃者が大量の要求で DNS サーバーを圧倒し、サービスが中断される可能性があります。

• DDoS 攻撃。これは、攻撃者が大量のパケットをサーバーに送りつけて処理を圧倒し、サービスの中断を引き起こそうとする一般的な攻撃です。この攻撃にはいくつかの種類があり、dDoS（distributed denial of service）や DNS アンプ（amplification）攻撃などがあります。

ポート 137 および 139（NetBIOS over TCP）と 445（SMB）の脆弱性

ポート 137 および 139（NetBIOS over TCP）と 445（SMB）は、Windows 環境でのファイル共有やネットワーク通信によく関連しています。とはいえ、これらは複数のセキュリティ脅威に対して脆弱であることも知られています：

• EternalBlue エクスプロイト。この攻撃は、古いバージョンの Microsoft コンピューターに存在する SMBv1 の脆弱性を悪用します。2017 年に世界規模で発生した WannaCry ランサムウェア攻撃をきっかけに、広く知られるようになりました。
• NTLM ハッシュのキャプチャ。攻撃者は NTLM ハッシュを傍受してキャプチャし、それを使用して正当なユーザーとして認証できます。
• SMB ログイン認証情報の総当たり攻撃。攻撃者は、正しい認証情報が見つかるまで、さまざまなユーザー名とパスワードの組み合わせを系統的に試すことで、アクセスを得ようとする場合があります。

ポート 80、443、8080、8443 の脆弱性（HTTP および HTTPS）

Web ページを閲覧したことがある人は誰でも、Web ブラウザーで HTTP または HTTPS のプロトコルを使用しています。前述のとおり、Web ポートは、多くの種類の攻撃において攻撃者からよく狙われます。たとえば：

• クロスサイトスクリプティング。 攻撃者は、Cookie、トークン、またはデータを盗むために、Web ページやアプリケーションに悪意のあるスクリプトを注入します。
• SQL インジェクション。攻撃者は入力フィールドに悪意のある SQL コードを挿入し、データベースを操作します。
• クロスサイト リクエスト フォージェリ。攻撃者は、ユーザーのWebブラウザーとWebアプリケーションの間にある信頼関係を悪用して、ユーザーが知らない、または同意していない状態でWebサイト上の操作を行うように欺きます。
• DDoS 攻撃

ポート 1433、1434、3306 の脆弱性（データベースで使用）

これらは SQL Server と MySQL のデフォルトのポートです。これらは、次を含むさまざまな悪意のある行為を実行するために使用されます：

• マルウェアの配布。攻撃者はオープンポートを使用してネットワークに侵入し、システムを侵害したり、データを盗んだり、インフラを損傷したりする可能性のある悪意のあるソフトウェアを配布します。
• DDoS のシナリオ。 オープンポートの脆弱性が悪用され、分散型サービス拒否（Distributed Denial of Service（DDoS））攻撃で大量のトラフィックによりサービスを圧倒し、システムを使用不能にします。
• 悪用可能なデフォルト設定を持つ保護されていないデータベースを見つける。オープンポートによって、弱い設定またはデフォルト設定のデータベースが公開される可能性があり、攻撃者はそれを効率的に悪用して不正アクセスを取得し、機密情報を操作または窃取できます。

ポート 3389 の脆弱性（Remote Desktop）

• リモート デスクトップ プロトコル（Remote Desktop Protocol）の脆弱性により、RDP はブルートフォース攻撃や中間者攻撃にさらされます。

• BlueKeep の脆弱性（CVE-2019-0708）は、Windows 7 や Windows Server 2008 などの古い Microsoft オペレーティングシステムに見つかる RDP の脆弱性です。BlueKeep は、ユーザーの介入なしに組織内へマルウェアを拡散するために悪用できます。

開放ポートを保護する手順

暗号化されていないポートより、暗号化されたポートを優先する

IP ベースの環境で使用される通常のサービスの多くは、従来の平文（元の）プロトコルに対する暗号化バージョンを現在では備えています。情報がケーブルを通じて送信される際にデータ漏えいを防ぐため、暗号化バージョンへ切り替えるのが良い実践です。

定期的なパッチ適用とアップデート

パッチ適用により、システムとファイアウォールを最新の状態に保てます。ベンダーは定期的にパッチをリリースし、サイバー犯罪者があなたのシステムやデータに対する完全なアクセスを獲得するために悪用し得る、製品内の脆弱性や欠陥を修正します。

ポートスキャンツール

ポートも定期的にスキャンして確認する必要があります。主な方法は3つあります：

• コマンドラインツール。 ポートを手作業でスキャンして確認する時間がある場合は、コマンドラインツールを使って開いているポートを特定し、スキャンしてください。例として Netstat や Network Mapper などがあり、Windows や Linux を含むさまざまなOSにインストールできます。
• ポートスキャナー。 より速い結果が必要なら、ポートスキャナーの使用を検討してください。コンピュータプログラムが、ポートが開いているか、閉じているか、またはフィルタされているかを確認します。手順は簡単です。スキャナーは、特定のポートに接続するためのネットワーク要求を送信し、応答を取得します。
• 脆弱性スキャンツール。 脆弱性スキャンツールは、サーバー、デスクトップ、ネットワーク機器などの IT 資産を識別して棚卸しし、セキュリティ上の弱点を検出する自動化アプリケーションです。設定ミスや欠陥のあるプログラミングによって生じる既知の脆弱性をスキャンします。これらのスキャン結果は、組織のリスク水準に関する貴重な洞察を提供し、効果的な緩和（対応）戦略の推奨に活用できます。

サービス設定の変更を監視する

サーバー、ファイアウォール、スイッチ、ルーター、およびその他のネットワーク機器に対して行われた設定変更を常に把握しておくことは重要です。これらの変更によって脆弱性が生じる可能性があるためです。このような変更は、偶発的に発生することもあれば、意図的に行われることもあります。Netwrix Change Trackerを使用することで、不正な変更やその他の疑わしいアクティビティを追跡し、システムを強化できます。特に、以下の機能を提供します。

• 設定変更に関する実用的なアラート
• すべての変更を自動的に記録、分析、検証、確認する
• リアルタイムの変更監視
• 継続的なアプリケーション脆弱性の監視

侵入検知・防止システム（IDPおよびIPS）の使用

IDS はネットワークトラフィックを監視して、不審な活動の兆候や既知の脅威を検出します。一方 IPS はさらに一歩進んで、検出した脅威をブロックします。どちらも、SQL インジェクション、DDoS 攻撃、その他のサイバー脅威など、開放ポートを狙う一般的なエクスプロイトを防ぐことができます。

SSH キーの導入

SSH キーは、ブルートフォース攻撃、フィッシング、そして人的ミスに対する脆弱性が低くなります。これらの暗号化されたキーにより、ユーザーがパスワードを覚えて入力する必要がなくなるため、開放されたポートを通じた不正アクセスの可能性が低減されます。SSH キーには 2 種類あります:

• ユーザーを識別してアクセスを許可するプライベートキー（またはIDキー）
• 誰がシステムにアクセスできるかを決める公開キー（または認可キー）

ペネトレーションテストと脆弱性評価の実施

ペネトレーションテストと脆弱性評価は、それぞれ異なるアプローチを用いますが、IT インフラ内の脆弱性を見つけるために活用すべきです。ペネトレーションテスト（ペンテスト）は、セキュリティの専門家が、コンピューターシステムまたはネットワークに対してサイバー攻撃をシミュレートし、脆弱性を特定して悪用するために実施します。これは、攻撃がどのようにしてあなたのネットワークへ能動的に侵入する可能性があるかを示します。一方、脆弱性評価は、既知の脆弱性を識別し、優先順位を付ける自動スキャンです。これらを組み合わせることで、ポートに関する脆弱性を包括的に要約できます。

ポートセキュリティのベストプラクティス

• 外部の攻撃対象領域を評価します。 攻撃者が悪用できる可能性のあるオープンポートを特定し、適切に保護することで、ネットワークが外部の脅威にどの程度さらされているかを定期的に評価してください。すべてのオープンポートが必要であることを確認します。廃止（deprecated）されたアプリケーションやサービスに関連するポートは、直ちに閉じてください。
• 新たなリスクに対する継続的な監視。 継続的かつ 幅広い監視 を実施して、オープンポートに関連する新しい脆弱性や脅威を検出します。必要に応じて、迅速に対応し、被害の軽減（ミティゲーション）を行ってください。
• オープンポートのパフォーマンスを評価（ランク付け）します。 すべてのオープンポートについて、セキュリティと機能を定期的に見直し、評価してください。オープンポートが指定された内部ターゲットに適切にマッピングされていること、また該当するすべてのリソースに最小権限が適用されていることを確認します。
• 一貫したパッチスケジュールを守ります。 定期的なパッチ適用は、大きなセキュリティ上の効果につながります。セキュリティ関連のすべてのパッチが、リリース直後に展開されるようにしてください。
• 設定ミスがあり、未パッチで、脆弱なサービス。 未パッチまたは誤って設定されたシステムは、侵害されたシステムにつながる可能性があります。すべての設定がベストプラクティスのセキュリティ手法に従っていることを確認してください。構成変更が発生したときにネットワークサポート担当者へ通知するための監視システムを導入してください。

結論

開放ポートは両刃の剣のようなものです。一方では、Webページ、アプリケーション、サービスを有効にするために、ビジネス運用に不可欠です。 他方では、脅威アクターが侵入してネットワークを悪用するための機会にもなります。 そのため、開放ポートの管理と監視はネットワークセキュリティにおける重要な側面であり、決して過小評価できません。組織には、すべての開放ポートを確保するための手順を示すポリシーと、すべてのシステムおよびソフトウェアを定期的に更新することを徹底するための方針を用意しておくべきです。Telnet や FTP などの安全でないポートは廃止し、最新のセキュア技術を活用する現代的なソリューションに置き換えてください。定期的な評価を実施して、すべての開放ポートが必要であることを確認し、設定がベストプラクティスに従っていることを確実にしてください。技術の進化に伴って、ポート要件も変化することを忘れないでください。適切な戦略と重点をもって取り組めば、開放ポートはビジネスをより大きなリスクにさらす脆弱性ではなく、動作する資産として維持できます。