ネットワークデバイスの監視がネットワークセキュリティに不可欠な理由

安全なネットワーク インフラは組織にとって不可欠であり、そのためには、ルーター、スイッチ、そしてその他の ネットワーク デバイス で何が起きているのかを常に把握しておく必要があります。たとえば、設定の無許可な変更、疑わしいログオンの試み、スキャン型の脅威など、周辺（パリミター）セキュリティへの脅威を迅速に検知し、調査できることが求められます。例えば、ネットワーク デバイス の設定における不適切な変更を適時に検知できない場合、攻撃者がネットワークに侵入し、さらにはそれを支配する可能性が高まります。

このブログ記事では、ネットワーク機器の監査で解決に役立つ上位4つの課題を紹介し、ネットワーク機器を効果的に監査するために始める際の3ステップ手順を提供します。

ネットワーク機器におけるセキュリティ課題トップ4

課題 #1：設定ミスのある機器

不適切な設定変更は、ネットワーク機器に関連する重要な脅威の一つです。たった1回の不適切な変更でも、境界防御のセキュリティを弱め、規制監査の場で懸念を招くだけでなく、高額な障害を引き起こして事業を止めてしまう可能性さえあります。たとえば、設定ミスのあるファイアウォールは攻撃者にネットワークへの容易なアクセスを許してしまい、組織に長期的な損害をもたらす恐れがあります。

ネットワーク デバイスの監査（auditing）とアラート機能を組み合わせることで、必要な洞察と制御を得られます。監査により、設定の不適切な変更を素早く見つけて、「誰が何を変更したか」を把握できるため、ユーザーの説明責任が高まり、潜在的なセキュリティ インシデントが深刻なトラブルになる前に検知するのに役立ちます。

問題 #2：不正なログオン

ネットワーク デバイスへのログオン試行のほとんどは、ネットワーク管理者による正当な操作です。しかし、その中にはそうでないものもあります。疑わしいログオン試行をすぐに検知できないと、攻撃者があなたのネットワークに侵入するための不正行為を試みる際に、組織が脆弱な状態になります。したがって、IT 担当者がセキュリティ侵害を防ぐために行動できるように、たとえば、休日や業務時間外に管理者がデバイスにアクセスした場合、ログオンに失敗した場合、アクセス権限が変更された場合といった異常なイベントについて、直ちに通知（アラート）を受ける必要があります。

ネットワーク デバイスの監視 とアラートを導入しておくことも、コンプライアンス監査において欠かせません。そのため、特権ユーザーとデバイス上での活動を綿密に監視していること（例：誰がログオンしているか、どのくらいの頻度でログオンしているか）を示す証拠を提示できます。

問題 #3：VPN ログオン

多くの組織がリモート接続のセキュリティを向上させるために仮想プライベートネットワーク（virtual private network（VPN））アクセスを導入していますが、見落としてはいけない関連リスクが数多くあります。実際には、VPN は100%安全ではなく、どの VPN 接続もリスクを伴います。理想的には、VPN 経由でネットワーク資源へアクセスする権限は適切な承認の後にのみ付与され、ユーザーは仕事を行うのに必要な資産だけにアクセスできるようにします。しかし現実には、VPN 接続は通常、組織内の誰でも承認なしで利用できてしまいます。

そのため、脅威を見抜ける必要があります。たとえば、公衆 Wi‑Fi 経由で接続しているユーザー（誰かが認証情報を盗む可能性があるため）や、普段は VPN を使わないユーザーが突然使い始めるケース（ユーザーが端末を紛失し、別の誰かがその端末を使ってログインしようとしているサインである可能性があります）などです。ネットワーク機器を注意深く監視し、VPN の各ログオン試行を記録しておくことで、誰がネットワーク機器へのアクセスを試みたのか、各認証試行が行われた送信元 IP アドレスは何か、そして失敗した各 VPN ログオンの原因は何かを素早く把握できます。

課題 #4：スキャン（偵察）による脅威

ネットワークスキャンは必ずしも敵対的なプロセスではありませんが、ハッカーは攻撃を実行するために、ネットワークの構造や挙動を把握する目的でよくそれを利用します。スキャンによる脅威についてネットワーク機器を監視していないと、データ侵害が発生し、機密データが侵害されるまで、不適切な活動を見逃してしまう可能性があります。

ネットワーク機器の監視とアラートにより、どのホストやサブネットがスキャンされたのか、スキャンはどの IP アドレスから開始されたのか、スキャン試行が何回行われたのかといった問いに答えながら、スキャンによる脅威に対してネットワークを先手で防御できます。

事例研究：D-Link ネットワーク機器のセキュリティ上の欠陥により、ユーザーが攻撃にさらされる

経験は、多くのセキュリティインシデントがネットワーク機器への攻撃から始まることを示しています。そのため、これらの機器に存在するいかなる脆弱性も、組織のシステムとデータにとって大きなリスクとなります。例として、D-Link デバイスにおける重大なセキュリティ上の欠陥 が挙げられます。この欠陥は、2016 年にセキュリティスタートアップ企業 Senrio の研究者によって発見されました。研究者らは、Wi-Fi 対応カメラである D-Link DCS-930L におけるスタックオーバーフロー問題により、Web ベースの管理インターフェースの管理者パスワードを静かに（気づかれずに）変更できることが分かったと報告しています。この脆弱性は、攻撃者が管理者パスワードを書き換え、デバイスにマルウェアをインストールするために悪用された可能性があります。報告を受けて D-Link は、当該脆弱性を修正するために DCS-930L 向けのファームウェア更新をリリースすると約束し、さらに他のモデルへの影響のテストを開始しました。

D-Link が自社のデバイスで重大な脆弱性を自力で見つけられなかったのは、これが最後ではありませんでした。2018 年に、ポーランドのシレジア工科大学（Silesian University of Technology）の研究者が 報告しました 同社の小規模／在宅オフィス向け「DWR」シリーズに含まれる 8 つの D-Link ルーターモデルが、完全な乗っ取り（takeover）に対して脆弱であることを。今回は D-link が、影響を受ける 8 台のうち 2 台だけをパッチする予定であり、残りは今後サポートされないと述べました。

ネットワーク機器の監査を始める

適切なネットワーク インフラ監視を始めるために、基本的な3つのステップがあります。これらは一般的な推奨事項であり、組織のニーズに合わせて調整する必要があります。ネットワーク デバイスを最も効果的に監査するには、IT環境とビジネスプロセスをよく理解しておくことが重要です。

• 定期的にリスクを評価し、ペネトレーション テストを実施してください。

自社のアタック サーフェス（攻撃対象領域）を理解し、リスクにつながり得る脆弱性を検出する必要があります。定期的なリスク評価はここで大いに役立ちますが、理想的には、ハッカーが発見して悪用する前にネットワーク デバイスの欠陥を特定するために、定期的なペネトレーション テストも実施してください。

• 監査が必要なデバイスを特定してください。

監査が必要なネットワーク デバイスの決定版リストはありません。これは、ビジネスの実情、業種、そしてネットワークの規模やアーキテクチャによって異なります。組織における最も重要な資産を担っているデバイスに加えて、インターネットに接続されているすべてのデバイスを監視することを強くおすすめします。

• 監査（監査記録）の実施頻度を決定します。

よくある質問の1つは、ネットワーク機器をどれくらいの頻度で監査（監査記録）する必要があるかという点です。ネットワーク機器の監査について、特定の期間を定めているコンプライアンス標準はありません。また実務では、業務の性質やネットワーク基盤の複雑さによって決まることが示されています。一般的なガイドラインとしては、ネットワーク機器の全体状態を毎月確認し、機器の設定変更のようにネットワーク環境に脅威となり得る不審な活動について、すぐにアラートを受け取れるようにすることです。