2018.03.26 (Mon)

多発するサイバー攻撃から身を守る（第18回）

IP-VPNで不正アクセス対策の土台を固めよう！

posted by 佐京正則

　複数の拠点間でファイルサーバーを利用するとき、必須となるのが認証や暗号化の仕組みです。これらは、内外からの不正アクセス対策として重要で、セキュリティ・インシデントを未然に防ぐための防御壁となります。しかし土台となるネットワークに問題があると、肝心のセキュリティ対策が水泡に帰すことも珍しくありません。本記事は、不正アクセス対策の土台となるVPNの重要性について解説します。

便利なファイルサーバーがリスクの温床に

　企業内LANが当たり前になり、業務用書類の保管場所としてファイルサーバーを利用している企業は珍しくないでしょう。USBメモリのような記録媒体というモノを介さずにデータを移動でき、メール添付のような容量制限もありません。設備もサーバーを1台構築するだけで導入可能というコスト的なメリットもあります。

　フロアが離れている部門間や、物理的に距離の離れた拠点間で大きなデータをやり取りする場合にとりわけ便利です。

　しかし、実際のビジネスシーンにおいて「ファイルサーバーからデータが消失した」「第三者が改ざんした」という例は枚挙にいとまがありません。

　仮に、本来はファイルサーバー上への保管を禁じているはずのデータ（機密事項やパスワードなど）が置かれていたらどうでしょうか。これらが盗まれる・閲覧されると、情報漏えいや自社ウェブサイトの不正改ざんなど、重要なセキュリティ・インシデントに繋がります。

　さらに「データに対する関心の低さ」も問題になりがちです。NECが2015年に発表した調査結果によれば、ファイルサーバーに保管されているファイルの68％が90日以上未参照、さらに76％は1年以上更新がないまま放置されているそうです。つまり、大半のデータは無関心のまま放置されており、不正アクセスがあったとしても気づきにくい状態にあるのです。

　手軽さや便利さゆえに「無法地帯」になりがちなファイルサーバーにこそ、強固なセキュリティ対策が必要だといえるでしょう。

不正アクセスを専用線で回避

　では、ファイルサーバーへの不正アクセスにどう対応すべきなのでしょうか。一般的な対策としては、ファイアウォールや認証サーバーの設置、ディレクトリごとのアクセス権限の設定などが挙げられます。また、「改ざん検知ツール」を導入し、ファイルへの不正アクセスをリアルタイムに検知するという方法も有効です。

　しかし、これらはあくまでもデータが1つの場所に留まっている場合に威力を発揮する仕組みといえます。前述したような、拠点をまたいだデータの受け渡しがある場合は、「回線のセキュリティ」が重要です。拠点間を繋ぐ回線は、インターネットを経由していることがあります。そして、インターネットを経由してやり取りされるデータにはつねに「漏えいのリスク」があるのです。

　もちろん、漏えいのリスクを減らすために完全にクローズドな専用線を設けることもあるでしょう。しかし専用線は、柔軟性にやや難があります。たとえば専用線は、メインとなる拠点（本社）と第2拠点（支社・営業所など）といった2者だけをつなぐことで第3者の侵入を防ぎます。しかし、本社と複数の支社といった3者以上をつなぐ、または本社を介さずに支社同士でデータをやり取りするような網の目状のネットワークを構築するには、主にコスト面で不向きです。そこで、専用線に匹敵する強固なセキュリティとインターネットの柔軟性を併せ持った「IP-VPN」の出番となります。

専用回線ではなくIP-VPNを自社ネットワークに

　IP-VPNは、いわば「網目状の専用線」と考えて良いでしょう。通信事業者が独自に保有するクローズドネットワーク（閉域網）を利用し、拠点同士を網目のように結ぶ方式です。

　IP-VPNは、通信速度が安定し、漏えいなどのセキュリティリスクが低下するというメリットを持っています。加えて、拠点の新規開設が容易で、ネットワークに参加しやすいこともプラス材料です。たとえば事業の拡大に伴って新規に支社や営業所を開設したときも、比較的簡単にネットワークへの参加が実現できます。

　つまり、本社から支社へ、支社から営業所へ、さらに営業所から支社へといった具合に、サブ拠点同士でもデータの受け渡しを行う際にIP-VPNが威力を発揮するというわけです。

　また、IP-VPNはBCP（事業継続計画）の観点からもメリットがあります。仮に何らかの理由（自然災害やテロなど）でメイン拠点（本社）に障害が発生すると、専用回線はネットワークの中心部が失われ、ネットワーク網が分断される可能性があります。対して網目状のIP-VPNは、メイン拠点を迂回して他拠点同士の通信が行えます。このようにIP-VPNは、セキュリティ対策及びBCPの両面で優れた仕組みなのです。

　ファイルサーバーは、データの一時保管庫としての手軽さや、ネットワークの中継地点として使用できるというメリットがあります。しかし、それらが原因で管理が疎かになったり、場当たり的なネットワーク運用に終始したりすると、セキュリティ・インシデントを発生させてしまうリスクを孕んでいるのです。ファイルサーバーのメリットを活かしつつリスクを減らすには、可用性と堅牢性を兼ね備えたIP-VPNが適しているといえるでしょう。

※掲載している情報は、記事執筆時点（2018年3月10日）のものです。