ネットワークセキュリティとは何か、どのように強化するか

サイバーセキュリティ上の脅威は、かつてないほど大きくなっています。たとえば、2022年3月には世界で分散型サービス拒否（DDoS）攻撃がQoQ（四半期ベース）で 645%増加 し、ランサムウェアの増加は過去5年間を合計したのと同等 でした。2020年のSolarWindsハック のようなインシデントは、脅威がますます複雑化し、米国政府のようなトップレベルの組織にも侵入できるようになっていることを示しています。 . そして データ侵害 の平均コストは 435万ドル に達し、過去最高となりました。

脅威はますます巧妙化し、深刻度も増しているため、組織はネットワークセキュリティを継続的に強化する必要があります。最新のネットワークセキュリティ推奨事項を導入することで、ビジネスを守るために多くのサイバー脅威を未然に防ぐ、または迅速に検知できます。

このガイドでは、ネットワークを保護し、コンプライアンスを維持するための基本を、また遭遇しやすい最も一般的な脅威についても解説します。これにより、今日からネットワークのセキュリティ対策を始められます。

ネットワークセキュリティ：守るべきもの

ネットワークをどのように保護するかを判断する最初のステップは、守る必要があるものを理解することです。最も基本的な形では、ネットワークは情報を収集し送信できる接続されたデバイスで構成されます。コンピューターネットワークは、ハードウェア技術とソフトウェアコンポーネントの両方を用いて構築されます—そしてそれらすべてを保護する必要があります。これらのコンポーネントには、たとえば次のようなものがあります：

• 無線ルーター
• スイッチ
• アクセスポイント
• ケーブル
• オペレーティングシステム
• アプリケーション
• サブネットワーク。多くの場合、ネットワーク・セグメントとして知られています

ネットワークセキュリティを効果的に管理することは、簡単なことではありません。よくある問題をいくつか挙げます：

• 人的なミスによって生じるネットワークの脆弱性
• 反復的で時間のかかる作業が続き、ネットワーク管理者を燃え尽きさせてしまうことがあります
• 競合したり時代遅れになったりしたセキュリティポリシーによって、ネットワークが脅威にさらされる可能性があります
• 自動化できない手作業によるネットワーク設定変更により非効率が発生
• システムやプロセスを十分に理解できていない
• リスクを測定することが難しい
• 複雑なハイブリッドシステム

ネットワークのセキュリティ脆弱性と対処手順

物理的なセキュリティの強化には弱点がどこにあるかを把握する必要があるのと同様に、適切なネットワークセキュリティ管理では、IT チームがネットワークの脆弱性を評価し、何を強化すべきかを理解することが求められます。

ネットワークセキュリティの脆弱性とは、脅威アクターが悪用しそうな、IT インフラストラクチャのあらゆる構成要素を指します。たとえば、OS（オペレーティングシステム）、ハードウェア コンポーネント、コンピュータネットワーク、または関連するプロセスに存在する欠陥や弱点などです。ネットワークセキュリティの脆弱性は、主に次の 3 つの形態のいずれかになります。すなわち、ハードウェア、ソフトウェア、人（ヒューマン）です。一般的な脆弱性に対処する手順は、以下に詳しく説明します。

ハードウェアの脆弱性

• 物理的セキュリティを確保する。ネットワークのハードウェア要素（ルーター、スイッチ、デバイスなど）は、物理的なアクセスによって侵入される可能性があります。セキュリティカメラを設置し、ハードウェアを含む領域を施錠することで、不正アクセスを防止し、データセンターと従業員の個人用デバイスの両方を安全に保つことができます。
• 古いハードウェアを交換する。ハードウェアが古すぎてベンダーからのサポートが受けられなくなると、脅威に対する脆弱性がますます高まります。ハードウェアのライフサイクルを注意深く追跡し、インベントリを常に最新の状態に保ってください。

ソフトウェアの脆弱性

• OSとアプリケーションソフトウェアを最新の状態に保ちましょう。攻撃者は、古くなっていてパッチが適用されていないOSやアプリケーションソフトウェアを悪用しようと積極的に狙っています。脅威への露出を最小限に抑えるために、最新のソフトウェアソリューションを使用し、弱点を確実に解消するためにセキュリティ修正を速やかに適用してください。
• 設定が安全であることを確認してください。ソフトウェアには、ハッカーによく知られているデフォルトの設定が付属していることがよくあります。デフォルトのパスワードや設定は避け、各管理者アカウントの名前を変更して、極端に簡単にアクセスできないようにしましょう。
• 権限を制限します。 ありがちな問題として、ユーザーアカウントが自分の業務に関係のないデータ、あるいはそもそも担当範囲（等級）を超えたデータにアクセスできてしまっていることがあります。これにより、従業員——またはそのアカウントを侵害した攻撃者——がより多くの機会を得て被害を拡大できてしまいます。最小権限の原則を用い、各ユーザーが必要なデータにのみアクセスできるようにしてください。

人的な脆弱性

• すべての人を教育しましょう。 Verizon’s Data Breach Investigation Report では、デジタル脅威の 82% に「人の要素」が関わっていたと述べています。たとえばフィッシング攻撃は、メールの受信者を誘導して、詐欺目的の IP アドレスにつながるリンクをクリックさせたり、ランサムウェアをネットワークに侵入させる添付ファイルを開かせたりすることがあります。あらゆるレベルの人々に対して、よくあるハッカーの手口や、脅威を報告する方法について研修を提供してください。
• 内部者による脅威を監視しましょう。 残念ながら、脅威の主体の中には社内にいるものもあります。 内部者による脅威 には、不満を抱いたり、注意が足りなかったりする現在または過去の従業員が含まれます。疑わしい行動の兆候がないか慎重に監視し、旧しい認証情報が再利用されないように削除してください。

よくあるネットワーク攻撃の種類

脆弱性を特定して対応することに加えて、よくあるネットワーク攻撃を理解しておくことで、事前に備えられるようになります。最も一般的なネットワーク攻撃の種類は次のとおりです。

• Adware — Webページに広告を表示し、最も頻繁に閲覧されるサイトを追跡することで収益を得ようとするマルウェア
• スパイウェア — 機密データを狙うマルウェア
• ウイルス — 他のプログラムを改変して自身のコードを挿入することで自己複製するマルウェア。
• ランサムウェア — 被害者が身代金を支払うまで、ファイルやディレクトリへのアクセスをデータ暗号化によって妨げるマルウェア
• キーロガー — ユーザーのキーストロークを追跡して、パスワード、個人情報、その他の機密データを盗み取るマルウェア
• ワーム — ホストファイルを必要とせず、あるシステムから別のシステムへ自己複製するマルウェア
• トロイの木馬（Trojan） — ユーザーにインストールさせるために、無害そうなものに偽装されたマルウェア
• ルートキット — パスワードを盗み、コンピューターを遠隔操作するために、隠れたままで存在するスパイウェア。
• ロジックボム（Logic bomb） — 特定の条件が満たされるまで発動しない、システムに埋め込まれた悪意のあるコード
• ボットネット（Botnet） — ハッカーが制御する侵害されたコンピューターのネットワーク。DDoS 攻撃の実行、フィッシングキャンペーンの実施などに使われます
• 高度で持続的な脅威（Advanced persistent threat, APT） — ネットワークに侵入して長期間とどまり、上記に挙げた複数の攻撃を組み合わせて行われることが多い

このようなソフトウェア攻撃に加えて、ネットワーク セキュリティ チームは、無許可のストレージ メディア（ハードドライブ、フラッシュドライブなど）の設置といったハードウェア攻撃、BYOD（Bring-your-own-device）ポリシーのリスクや盗難されたデバイスについても把握する必要があります。もう一つのリスクはシャドーITです。つまり、チームが IT 部門によって管理・保護されていないハードウェア、ソフトウェア、または外部サービスを使用する場合を指します。

ネットワーク セキュリティと規制対応

多くの規制の義務では、組織がネットワーク セキュリティ対策（コントロール）を実装することを求めており、主要なサイバーセキュリティ フレームワークもネットワーク セキュリティを扱っています。これには、次のようなものが含まれます:

• Payment Card Industry Data Security Standard（PCI DSS）、要件 1 および 5
• International Organization of Standardization（ISO）27001。コントロール A.13.1.1〜3
• 健康保険の携行と責任に関する法律（HIPAA）セキュリティ・ルール、45 CFR 160 および 45 CFR 164 のサブパート A と C
• 一般データ保護規則 (GDPR）、完全性と機密性の原則
• 国立標準技術研究所（NIST）サイバーセキュリティ・フレームワーク

ネットワークを守るための5つの重要なステップ

ステップ1：自分のネットワークを把握しましょう。

ネットワークにアクセスするすべての資産の完全なインベントリを作成し、常に最新の状態に保ちます。インフラに物理的、仮想的、またはリモートで接続されているすべてのハードウェア資産を含めてください。たとえそれらが管理下にない場合でも対象にします。例には、ユーザーデバイス、サーバー、ノンコンピューティング機器やIoTデバイス、そして ネットワークデバイスなどがあります。

ステップ 2：脆弱性を特定し、対処（修正）します。

脅威アクターは、ネットワークの弱点を見つけて悪用することがよくあります。そのため、定期的にネットワークセキュリティの脆弱性評価を実施し、結果に基づいて対処（修正）を行うことが重要です。 CIS Control 7 は、ネットワークセキュリティを含む脆弱性管理プロセス全体について、役立つガイダンスを提供します。これらの手順には次が含まれます：

7.1 脆弱性管理プロセスを確立し、維持します。

7.2 対処（修正）プロセスを確立し、維持します。

7.3. オペレーティングシステムのパッチ管理を自動化して実行します。

7.4. アプリケーションのパッチ管理を自動化して実行します。

7.5. 社内の企業資産に対して、脆弱性スキャンを自動化して実行します。

7.6. 外部に公開されている企業資産に対して、脆弱性スキャンを自動化して実行します。

7.7. 検出された脆弱性を是正（修復）します。

ステップ 3：防御を強化し、脅威を監視しましょう。

デジタル資産を保護し、ネットワーク上の脅威を検知するには、複数の戦略を多層的に組み合わせる必要があります。詳細は ベストプラクティスのガイドで詳しく解説していますが、その一部は以下のとおりです：

• ネットワークアドレス変換（Network Address Translation：NAT）を使用しましょう。 NATは、プライベートな内部IPアドレスを公衆ネットワーク上でルーティング可能なアドレスに変換することで、単一のIPアドレスで複数のデバイスをWebに接続します。その結果、アクセスできる接点が減り、攻撃者が侵入している対象ホストを特定しにくくなります。存在する接点は、ファイアウォールでカバーできます。
• ファイアウォールを使用しましょう（個人用のものは無効にしないでください）。 会社全体のファイアウォールは外部からの攻撃に対する防御に役立ちますが、社内の脅威主体までは防げません。会社のニーズに合わせて標準的な個人用ファイアウォールを設定すると、社内からの攻撃に対する防御力を高められます。
• 仮想プライベートネットワーク（VPN）を使用しましょう。 VPNは、他の公衆ネットワークの間に存在する一種のデジタル・トンネルです。インターネットを介してLAN同士を接続し、導入には専用のハードウェアまたはソフトウェアが必要になります。PPTPやIPSecのようなトンネリングプロトコルを使用し、データを暗号化してセキュリティを高めるため、特に安全性が高い一方で、これらの要因によりほかのネットワーク環境よりも遅くなることがあります。
• 侵入検知システム（IDS）を使用します。IDSは通常の活動を監視し、異常を検知することで、チームがそれらを調査できるようにします。また、攻撃のシグネチャを一般的な脅威の挙動と比較することもできます。
• 集中ログの取得と、即時のログ分析を行います。疑わしいログインやイベントを記録しておけば、次に攻撃が起きたときに攻撃者をより的確に特定できるようになります。ただし、攻撃者は素早く適応すること、そして攻撃者もあなたの対応を記録していることを忘れないでください。
• すべてのドメインに対してWebドメインのホワイトリストを使用します。ブラックリストは未承認のサイトへのアクセスをユーザーに禁止しますが、ホワイトリストは承認済みのサイトのみを訪問できるようにします。したがって、ホワイトリストは攻撃者にとって選択肢を減らします。
• ワークステーションからインターネットにアクセスする際は、プロキシサーバーを使用します。すべての送信（アウトバウンド）トラフィックを、制御・監視できるサーバーにルーティングすることで、異常な挙動を防ぐのに役立ちます。認証プロキシサーバーを含めるようにネットワークを再設定するには、事前の作業が多少必要になる場合がありますが、その見返りとして、その後の運用負荷が小さいまま、より安全な送信トラフィックを得られます。
• 最小権限の原則を徹底します。各ユーザーのアクセスを、その役割に必要な最小限に制限することで、個人――またはそのアカウントを乗っ取った攻撃者――が、本来使用すべきでない情報を閲覧・改変・削除できないようにするのに役立ちます。
• ネットワークのセグメンテーションを実践してください。 スイッチ、ポート、VLAN ネットワークを使用してネットワークを機能ごとの単位に分割し、ファイアウォールを使って不正なアクセスを制限します。さらに、仮に1つのポイントが侵害されたとしても、攻撃者がネットワーク全体に侵入することを防げます。
• 一貫した共通の時刻ソースを維持してください。 リアルタイムのログ分析やインシデント後のフォレンジックは、ネットワーク全体のイベントを1つのタイムラインに相関付けることができるかどうかに依存します。そのため、すべての資産で時刻を連携させる必要があります。

ステップ4：ネットワーク攻撃への対応を自動化する。

ネットワークのメンテナンスは面倒で負担の大きいプロセスになりがちです。できるだけ多くの作業を自動化することで、効率を高め、すべての防御を最新の状態に保つことができます。特に自動化しやすいプロセスには、次のようなものがあります。

• IP アドレスのブロック。スパムや DDoS 攻撃への対策として有効ですが、IP アドレスはなりすまし（スプーフィング）される可能性があります。
• ルーターとファイアウォールを設定して RESET TCP パケットを対象にすることで攻撃者を妨害し、接続を遮断します。
• 侵入者を時間の経過とともに観察して追加情報を得る
• 見つけたマルウェアをリバースエンジニアリングして初期アクセスのポイントを特定する
• 悪意のあるソフトウェアがどのように展開されたのかを特定し、次回はそれを止められるようにする

プロセスを自動化することで、管理者が他の活動も把握できるようになり、別のタスクに集中するための時間も確保できます。

ステップ 5：ネットワークセキュリティは反復的なプロセスであることを忘れないでください。

ネットワークセキュリティは「一度やって終わり」ではありません。むしろ、ネットワークデバイスの継続的な監視 がセキュリティにとって不可欠です。特に、次の点を忘れずに：

• リスクを定期的に評価し、ペネトレーションテストを実施します。 リスク評価では弱点が特定され、ペネトレーションテストは、攻撃者が侵入できる可能性のある場所を示すためにセキュリティチームが行う模擬侵入です。両方を活用して攻撃対象領域を把握し、弱点を是正してください。
• 監査（点検）が必要なデバイスを決めます。 どれを監視するかは業界や IT インフラによって異なりますが、最も重要な資産を含むものやインターネットに接続されているものから始めるのがよいでしょう。
• 監査（点検）の頻度を決めます。 監査の頻度は業界、ネットワークの規模、その他の要因によって異なりますが、少なくとも月1回の監査を行うことで、デバイス設定の変更など、セキュリティを弱める可能性のあるネットワーク環境の変化を検知しやすくなります。

IT 環境は複雑であるため、監視プロセスを自動化することが重要です。たとえば、 Netwrix Change Tracker は次のことを行います:

• システムの整合性をリアルタイムで監視
• システムの整合性を損なう可能性のある異常を特定
• Cisco、Nortel、Juniper、Fortinet、Checkpoint の製品を含む、主要なクラウド プラットフォーム、コンテナ、仮想マシン、ネットワーク コンポーネント全体にわたる変更を監視することで死角を解消します

概要

ご覧のとおり、ネットワーク・セキュリティ管理は、多くの要素が絡み合う複雑なプロセスです。成功の鍵は、一般的な脅威を理解することに加え、ソフトウェア・ハードウェア・人による脆弱性を先回りして軽減すること、ネットワーク全体で不審な活動や変化を継続的に監視すること、そしてネットワーク・セキュリティを反復的（イテレーティブ）なプロセスとして運用することです。