VPN装置の更改とゼロトラスト型アクセスへの移行

Q社は，本社と2か所の工場をもつ産業機械部品メーカーであり，従業員の多くはテレワークを併用している。Q社の情報システム部（以下，情シスという）は，現在のSSL-VPN装置（以下，VPN装置という）の保守が来年3月に終了することから，ゼロトラストの考え方に基づくアクセス方式へ移行することにした。担当は情シスのKさんである。

〔現在の構成〕

表1　現在の主な機器（抜粋）

〔移行後の構成〕

Kさんは，SASEサービスであるZサービスと，IDaaSであるIサービスを採用する案を作成した。Zサービスの仕様（抜粋）を表2に示す。

表2　Zサービスの仕様（抜粋）

移行は2段階で行う。第1段階では，テレワーク中のPCをZサービスに切り替え，VPN装置を撤去する。本社と工場のPCは，第2段階でZサービスのSWG機能に切り替えるまで，プロキシサーバを使い続ける。コネクタはDMZに設置し，DNSサーバとして内部DNSサーバを指定する。

〔FWルールの見直し〕

Kさんは，第1段階の完了後（VPN装置の撤去後）に適用するFWのルール案を表3にまとめた。

表3　第1段階完了後のFWのルール案（抜粋）

注記1　FWはステートフルインスペクション型であり，許可した通信に対する応答の通信は自動的に許可される。

情シスのL課長は表3を確認し，"表3には不要なルールが一つある。残しておくと攻撃を受ける余地が広がる"と指摘した。

〔アクセスポリシーの試行〕

情シスは表4のアクセスポリシーで試行を行った。情シスの従業員は"情シス"と"全社員"の両方のグループに所属している。保守委託先の作業者は"保守委託先"グループに所属する。

表4　アクセスポリシー（試行時）

注記　全てのポリシーで，Iサービスでの多要素認証の成功を条件に含めている。

試行中のアクセスログの抜粋を図1に示す。

時刻   利用者ID  グループ        PC名     PCの状態(MDM/OS更新/EDR)  宛先    結果  適用ポリシー
09:02  u1021     全社員          PC-0412  登録/適用済み/稼働       seisan  許可  P-社員
09:15  u1088     全社員          PC-0533  登録/未適用/稼働         files   拒否  P-既定
09:22  u1130     全社員          PC-0587  登録/適用済み/停止       seisan  拒否  P-既定
09:31  u1100     全社員          HOME-77  未登録/適用済み/稼働     seisan  拒否  P-既定
09:40  v0003     保守委託先      VEN-01   未登録/適用済み/未導入   seisan  許可  P-保守
10:05  v0003     保守委託先      VEN-01   未登録/適用済み/未導入   files   拒否  P-既定
10:30  u0007     情シス,全社員   HOME-12  未登録/未適用/未導入     files   許可  【 b 】

図1　アクセスログ（抜粋）

注記　seisan は生産管理システム，files はファイルサーバを表す。HOME-77 と HOME-12 は私有PCである。

〔TLS検査の確認〕

試行中，テレワーク中のPCでは，Webブラウザによるインターネット上のWebサイトの閲覧は問題なく行えた。しかし，経費精算サービス（クラウドサービス）の専用アプリだけが接続に失敗した。そのエラーログを図2に示す。

ERROR connect api.keihi-svc.example:443
ERROR server certificate chain: CN=api.keihi-svc.example <- CN=Z Service Inspection CA
ERROR public key pin mismatch (expected: sha256/****) - connection aborted

図2　専用アプリのエラーログ（抜粋）

提供元によると，専用アプリは，接続先サーバの公開鍵がアプリに組み込まれた値と一致しない場合，接続を中止する実装（公開鍵ピンニング）であり，この動作は変更できないとの回答であった。Kさんは，【 c 】ことにした。