リモートワークのVPN攻撃とDDoS対策

サイバー攻撃への対策に関する次の記述を読んで，設問に答えよ。

H 社は，従業員 3,000 名の製造業であり，H 社製品の部品を製造する約 500 社と取引を行っている。取引先は，H 社に設置された取引先向け Web サーバに HTTPS でアクセスし，利用者 ID とパスワードでログインした後，H 社との取引業務を行っている。また，公開 Web サーバでは，H 社製品の紹介に加え，問合せや要望の受付を行っている。いずれの Web サーバが停止しても，業務に支障が出る。

H 社では，社内に設置している PC（以下，H-PC という）とは別に，一部の従業員に対して，VPN クライアントソフトウェアを導入したリモート接続用 PC（以下，リモート接続用 PC を R-PC という）を貸与し，リモートワークを実現している。R-PC と H 社との間の VPN 通信には，VPN ゲートウェイ（以下，VPN ゲートウェイを VPN-GW といい，H 社が使用している VPN-GW を VPN-H という）を使用している。

H 社のネットワークは，情報システム部の L 部長と T 主任を含む 6 名で運用している。H 社のネットワーク構成を図 1 に示す。

図1 H 社のネットワーク構成(一部簡略化: 機器と接続の一覧で再現)

略語: L2SW : レイヤー2スイッチ / UTM : 統合脅威管理 / メール : 電子メール

• インターネット: R-PC(複数台)が接続している。インターネットは UTM に接続している。
• H 社の構成:
  • UTM: インターネット,DMZ の L2SW,内部サーバセグメント,PC セグメントの L2SW と接続している。
  • DMZ: 取引先向け Web サーバ,公開 Web サーバ,DNS サーバ(注1),プロキシサーバ(注2),メールサーバ,VPN-H が DMZ の L2SW に接続している。DMZ の L2SW は UTM に接続している。
  • 内部サーバセグメント: UTM に接続している。
  • PC セグメント: L2SW に H-PC(複数台)が接続している。この L2SW は UTM に接続している。

注1) H 社ドメインの権威 DNS サーバと再帰的な名前解決を行うフルサービスリゾルバを兼ねる。 注2) H-PC からインターネットへの HTTP 及び HTTPS 通信を中継する。

UTM の機能概要及び設定を表 1 に，VPN-H の機能概要及び設定を表 2 に示す。

表 1 UTM の機能概要及び設定

表 2 VPN-H の機能概要及び設定（抜粋）

注1) VPN ダイアログに利用者 ID とパスワードを入力し，その認証が完了すると，セキュリティコード入力画面が表示され，SMS でセキュリティコードがスマートフォンに送信される。送信されたセキュリティコードを，セキュリティコード入力画面に入力することで認証される。

最近，同業他社でサイバー攻撃による被害が 2 件立て続けに発生したという報道があった。1 件は，VPN-GW が攻撃を受け，社内ネットワークに侵入されて情報漏えいが発生した事案である。もう 1 件は，DDoS 攻撃による被害が発生した事案である。

H 社でも同様な事案が発生する可能性について，L 部長と T 主任が調査することにした。

〔VPN-GW への攻撃に対する調査〕

T 主任は，VPN-GW への攻撃方法を次のようにまとめた。

方法 1 : VPN-GW の認証情報を推測し，社内ネットワークに侵入する。

方法 2 : VPN-GW の製品名や型番を調査した上で，社内ネットワークへの侵入が可能になる脆弱性を調べる。もし，脆弱性が存在すればその脆弱性を悪用し，社内ネットワークに侵入する。

T 主任は，方法 1 については，VPN-H の認証強化を検討することにした。また，方法 2 については，VPN-H の脆弱性対策と，VPN-H へのポートスキャンに対する応答を返さないようにする方法（以下，ステルス化という）を検討することにした。方法 1 と方法 2 について T 主任がまとめた対策案を表 3 に示す。

表 3 方法 1 と方法 2 について T 主任がまとめた対策案

〔DDoS 攻撃に対する調査〕

次に，T 主任は，DDoS に関連する攻撃について調査し，H 社で未対策のものを表 4 にまとめた。

表 4 H 社で未対策の DDoS に関連する攻撃

次は，表 4 についての T 主任と L 部長の会話である。

T 主任 : 項番 1，2，4 の DDoS 攻撃のサーバへの影響は，UTM の IPS 機能と WAF 機能で軽減することができます。

L 部長 : そうか。機能の設定に関する注意点はあるのかな。

T 主任 : 例えば，アノマリ型 IPS 機能で，トラフィック量について，しきい値が高すぎる場合にも，①しきい値が低すぎる場合にも弊害が発生するので，しきい値の設定には注意するようにします。また，項番 3 の対策として，現在の DNS サーバを廃止して，権威 DNS サーバの機能をもつサーバ（以下，DNS-K という）とフルサービスリゾルバの機能をもつサーバ（以下，DNS-F という）を社内に新設します。インターネットから社内への DNS 通信は【 b 】への通信だけを許可し，社内からインターネットへの DNS 通信は【 c 】からの通信だけを許可します。

〔対策 V-1 についての検討〕

次は，対策 V-1 についての L 部長と T 主任の会話である。

L 部長 : 対策 V-1 での注意点はあるのかな。

T 主任 : 最近は，多要素認証の利用が多くなってきたこともあり，多要素認証を狙った攻撃が発生しています。多要素認証を狙った攻撃例を表 5 に示します。

表 5 多要素認証を狙った攻撃例

L 部長 : 攻撃例 1 については，不正なリモート接続を阻止するために，メールで受信したメッセージ内の URL リンクを安易にクリックしないよう注意喚起する必要があるな。

T 主任 : はい。しかし，当社では，業務の手続の督促などで従業員に URL リンクが含まれるメールを送っているので，URL リンクのクリックを禁止することはできません。不審な URL かどうかを見極めさせることは難しいでしょう。そこで，②たとえ罠の Web サイトへの URL リンクをクリックしてしまっても，不正なリモート接続をされないように，従業員全員が理解できる内容を，注意喚起する必要があります。

〔対策 V-3 についての検討〕

次は，対策 V-3 についての L 部長と T 主任の会話である。

L 部長 : 対策 V-3 について説明してほしい。

T 主任 : VPN-H には，どのような通信要求に対しても応答しない "Deny-All" を設定した上で，あらかじめ設定されている順番にポートに通信要求した場合だけ所定のポートへの接続を許可するという設定（以下，設定 P という）があります。

L 部長 : 設定 P の注意点はあるのかな。

T 主任 : 設定されている順番を攻撃者が知らなくても，③攻撃者が何らかの方法でパケットを盗聴できた場合，設定 P を突破されてしまいます。

L 部長 : 設定 P とは別の方法はあるのかな。

T 主任 : VPN-H の機能にはありませんが，SPA（Single Packet Authorization）というプロトコルがあります。SPA の主な仕様を表 6 に示します。

表 6 SPA の主な仕様

T 主任 : SPA なら，④攻撃者が何らかの方法でパケットを盗聴できたとしても，突破はされません。

L 部長 : そうか。VPN 通信機能と同様の機能をもち，SPA を採用している製品があるかどうか，ベンダーに相談してみよう。

L 部長がベンダーに相談したところ，S 社が提供しているアプライアンス（以下，S-APPL という）の紹介があった。L 部長と T 主任は，S-APPL の導入検討を進めた。

〔S-APPL の導入検討〕

S-APPL は，VPN 通信機能，SPA パケットを検証する機能などをもつ。S-APPL と接続するためには，S-APPL のエージェントソフトウェア（以下，S ソフトという）を接続元の PC に導入し，接続元の PC ごとの ID と秘密情報を，S-APPL と接続元の PC それぞれに設定する必要がある。なお，秘密情報は，SPA パケットの HMAC ベースのワンタイムパスワードの生成などに使われる。S-APPL と S ソフトの主な機能を表 7 に示す。

表 7 S-APPL と S ソフトの主な機能

T 主任は，対策 V-1〜3 について，次のように考えた。

• 対策 V-1 については，表 7 項番 3 の機能で対応する。方式は，表 2（イ）の方式を採用する。
• 対策 V-2 については，S-APPL の脆弱性情報を収集し，脆弱性修正プログラムが公開されたら，それを適用する。
• 対策 V-3 については，表 7 項番 1 の機能で対応する。

T 主任は，対策 V-3 のための H 社のネットワーク構成の変更案を作成した。なお，変更する際は，次の対応が必要になる。

(1) VPN-H を S-APPL に置き換える。R-PC には，S ソフトを導入する。

(2) R-PC ごとの ID と秘密情報を，S-APPL と R-PC それぞれに設定する。

(3) VPN-H に付与していた IP アドレスを S-APPL に付与する。

(4) S-APPL の FQDN を DNS サーバに登録する。

T 主任は，S-APPL の導入によって VPN-GW への攻撃の対策が可能であることを L 部長に説明した。L 部長は，効果とリスクを検討した上で，S-APPL を導入することを決めた。

〔DDoS 攻撃に対する具体的対策の検討〕

T 主任は，表 4 の項番 3 以外に対する具体的対策の検討に着手した。

まず，通信回線については，DDoS 攻撃で大量のトラフィックが発生すると，使えなくなる。これについては，通信回線の帯域を大きくするという方法のほか，⑤外部のサービスを利用するという方法があることが分かった。

次に，サーバへの影響は，これまでに検討した UTM の IPS 機能と WAF 機能を有効化することで軽減できることが分かっている。加えて，取引先向け Web サーバについては，次の対応によって，⑥更に DDoS 攻撃の影響を軽減できることが分かった。

• 取引先には，H 社との取引専用の PC（以下，取引専用 PC という）を貸与する。取引専用 PC には，S ソフトを導入する。
• 取引専用 PC ごとの ID と秘密情報を，S-APPL と取引専用 PC それぞれに設定する。
• S-APPL に，取引専用 PC が VPN 確立後にアクセス可能なサーバとして，取引先向け Web サーバだけを設定する。
• UTM のファイアウォール機能で，インターネットから取引先向け Web サーバへの通信を拒否するように設定する。

その後，H 社では，S-APPL の導入，UTM の設定変更，DNS サーバの変更などを行い，新たな運用を開始した。