無線LANの偽AP・EAP-TLSとファイル持出し対策

M社は，L社の子会社であり，アパレル業を手掛ける従業員100名の会社である。M社のオフィスビルは，人通りの多い都内の大通りに面している。

昨年，M社の従業員が，社内ファイルサーバに保存していた秘密情報の商品デザインファイルをUSBメモリに保存し，競合他社に持ち込むという事件が発生した。この事件を契機として，L社からの指導でセキュリティ対策の見直しを進めている。既に次の三つの見直しを行った。

• USBメモリへのファイル保存を防ぐために，従業員に貸与するノートPC（以下，業務PCという）に情報漏えい対策ソフトを導入し，次のように設定した。
  • (1) USBメモリなどの外部記憶媒体の接続を禁止する。
  • (2) ソフトウェアのインストールを除いて，ローカルディスクへのファイルの保存を禁止する。
  • (3) 会社が許可していないWebメールサービス及びクラウドストレージサービスへの通信を遮断する。
  • (4) 会社が許可していないソフトウェアのインストールを禁止する。
  • (5) 電子メール送信時のファイルの添付を禁止する。
• 業務用のファイルの保存場所を以前から利用していたクラウドストレージサービス（以下，Bサービスという）の1か所にまとめ，設定を見直した。
• 社内ファイルサーバを廃止した。

M社のオフィスビルには，執務室と会議室がある。執務室では従業員用無線LANが利用可能であり，会議室では，従業員用無線LANと来客用無線LANの両方が利用可能である。会議室にはプロジェクターが設置されており，来客が持ち込むPC，タブレット及びスマートフォン（以下，これらを併せて来客持込端末という）又は業務PCを来客用無線LANに接続することで利用可能である。

M社のネットワーク構成を図1に，その構成要素の概要を表1に，M社のセキュリティルールを表2に示す。

（図1 M社のネットワーク構成）は次のとおり機器と接続の一覧に簡略化して示す。

インターネット側

• Bサービスはインターネットに接続されている。
• インターネットはFWのインタフェースWAN-IF1に接続されている。

M社内の機器と接続

FW：ファイアウォール　L2SW：レイヤー2スイッチ　AP：無線LANアクセスポイント

注記1　IF1，WAN-IF1はFWのインタフェースを示す。 注記2　P9〜P13及びP20〜P24はL2SWのポートを示す。 注記3　L2SWはVLAN機能をもっており，各ポートには接続されている機器のネットワークに対応したVLAN IDが割り当てられている。P9とP24ではタグVLANが有効化されており，そのほかのポートでは無効化されている。有効化されている場合，複数のVLAN IDが割当て可能である。無効化されている場合，一つのVLAN IDだけが割当て可能である。

表1　構成要素の概要（抜粋）

注¹⁾　グローバルIPアドレスを示す。

表2　M社のセキュリティルール（抜粋）

FWのVLANインタフェース設定を表3に，FWのフィルタリング設定を表4に，AP-5の設定を表5に示す。

表3　FWのVLANインタフェース設定

注¹⁾　物理インタフェースでのタグVLANの設定を示す。有効の場合，複数のVLAN IDが割当て可能である。無効の場合，一つのVLAN IDだけが割当て可能である。（IF1の3行は，項番1〜3に共通のタグVLAN「有効」）

表4　FWのフィルタリング設定

注記　項番が小さいルールから順に，最初に合致したルールが適用される。 注¹⁾　現在の設定では有効の場合，送信元IPアドレスがa1.b1.c1.d1に変換される。

表5　AP-5の設定（抜粋）

〔Bサービスからのファイルの持出しについてのセキュリティ対策の確認〕

これまで行った対策の見直しに引き続き，Bサービスからのファイルの持出しのセキュリティ対策について，十分か否かの確認を行うことになった。そこで，情報システム部のYさんが，L社の情報処理安全確保支援士（登録セキスペ）であるS氏の支援を受けながら，確認することになった。2人は，社外の攻撃者による持出しと従業員による持出しのそれぞれについて，セキュリティ対策を確認することにした。

〔社外の攻撃者によるファイルの持出しについてのセキュリティ対策の確認〕

次は，社外の攻撃者によるBサービスからのファイルの持出しについての，YさんとS氏の会話である。

Yさん：来客用無線LANを利用したことのある来客者が，攻撃者としてM社の近くから来客用無線LANに接続し，Bサービスにアクセスするということが考えられないでしょうか。

S氏　：それは考えられます。しかし，Bサービスにログインするには【 a 】と【 b 】が必要です。

Yさん：来客用無線LANのAPと同じ設定の偽のAP（以下，偽APという），及びBサービスと同じURLの偽のサイト（以下，偽サイトという）を用意し，DNSの設定を細工して，【 a 】と【 b 】を盗む方法はどうでしょうか。攻撃者が偽APをM社の近くに用意した場合に，M社の従業員が業務PCを偽APに誤って接続してBサービスにアクセスしようとすると，偽サイトにアクセスすることになり，ログインしてしまうことがあるかもしれません。

S氏　：従業員がHTTPSで偽サイトにアクセスしようとすると，安全な接続ではないという旨のエラーメッセージとともに，偽サイトに使用されたサーバ証明書に応じて，図2に示すエラーメッセージの詳細の一つ以上がWebブラウザに表示されます。従業員は正規のサイトでないことに気付けるので，ログインしてしまうことはないと考えられます。

図2　エラーメッセージの詳細（抜粋）
・【 c 】。
・【 d 】。
・このサーバ証明書は，失効している。
・このサーバ証明書は，有効期限が切れている。

Yさん：なるほど，理解しました。しかし，偽APに接続した状態で，従業員がWebブラウザにBサービスのURLを入力する際に，誤って“http://”と入力してBサービスにアクセスしようとした場合，エラーメッセージが表示されないのではないでしょうか。

S氏　：大丈夫です。HSTSを有効にしてあるので，その場合でも，①先ほどと同じエラーメッセージが表示されます。

〔従業員によるファイルの持出しについてのセキュリティ対策の確認〕

次は，従業員によるBサービスからのファイルの持出しについての，S氏とYさんとの会話である。

S氏　：ファイル共有機能では，上長はちゃんと宛先のメールアドレスとファイルを確認してから承認を行っていますか。

Yさん：確認できていない上長もいるようです。

S氏　：そうすると，従業員は，②ファイル共有機能を悪用すれば，M社外からBサービスにあるファイルをダウンロード可能ですね。

Yさん：確かにそうです。

S氏　：ところで，会議室には個人所有PCは持ち込めるのでしょうか。

Yさん：会議室への持込みは禁止していないので，持ち込めます。

S氏　：そうだとすると，次の方法1と方法2のいずれかの方法を使って，Bサービスからファイルの持出しが可能ですね。

方法1：個人所有PCの無線LANインタフェースの【 e 】を業務PCの無線LANインタフェースの【 e 】に変更した上で，個人所有PCを従業員用無線LANに接続し，Bサービスからファイルをダウンロードし，個人所有PCごと持ち出す。

方法2：個人所有PCを来客用無線LANに接続し，Bサービスからファイルをダウンロードし，個人所有PCごと持ち出す。

〔方法1と方法2についての対策の検討〕

方法1への対策については，従業員用無線LANの認証方式としてEAP-TLSを選択し，③認証サーバを用意することにした。

次は，必要となるクライアント証明書についてのS氏とYさんの会話である。

S氏　：クライアント証明書とそれに対応する【 f 】は，どのようにしますか。

Yさん：クライアント証明書は，CAサーバを新設して発行することにし，従業員が自身の業務PCにインストールするのではなく，ディレクトリサーバの機能で業務PCに格納します。【 f 】は【 g 】しておくために業務PCのTPMに格納し，保護します。

S氏　：④その格納方法であれば問題ないと思います。

方法2への対策については，次の二つの案を検討した。

• ⑤FWのNATの設定を変更する。
• 無線LANサービスであるDサービスを利用する。

検討の結果，Dサービスを次のとおり利用することにした。

• 会議室に，Dサービスから貸与された無線LANルータ（以下，Dルータという）を設置する。
• Dルータでは，DHCPサーバ機能及びDNSキャッシュサーバ機能を有効にする。
• 来客持込端末は，M社のネットワークを経由せずに，Dルータに搭載されているSIMを用いてDサービスを利用し，インターネットに接続する。

今まで必要だった，来客持込端末からDHCPサーバと【 h 】サーバへの通信は，不要になる。さらに，表5について不要になった設定を削除するとともに，⑥表3及び表4についても，不要になった設定を全て削除する。また，プロジェクターについては，来客用無線LANを利用せず，HDMIケーブルで接続する方法に変更する。

YさんとS氏は，ほかにも必要な対策を検討し，これらの対策と併せて実施した。