ネットワークの基本
前回までに、「IAM」「端末」「アプリケーション」の対策を整理してきました。
ネットワークは、もはや社会インフラといっても過言ではないでしょう。
インターネットを含むあらゆるネットワークが無ければ、そもそもデータをどこにも送ることが出来ません。
ネットワークの停止。それは業務停止と直結します。
インターネット通信も含めると、社会におけるインフラとしての重要度は電気ガス水道と同レベルだと思います。
そんなネットワークにおけるセキュリティ対策を、今回も①防御 → ②検知 → ③対応 → ④復旧という軸で考えてみたいと思います。
①ネットワークにおける防御
ネットワークは利用者とシステムをつなぐ経路です。
データはネットワークを経由して送受信されるため、盗聴や不正アクセス、マルウェア感染の経路として悪用されることがあります。
ネットワークは通信するにあたって、以下の3点について防御します。
通信経路を守る
ネットワークへの接続を守る
Web・クラウド利用を守る
まずはそれぞれを確認してみます。
１．通信経路を守る
TLS/SSLによる通信暗号化
まずは通信そのものを保護します。
平文のまま通信をしてしまうと、ID/パスワードなども盗まれてしまうので、まずは通信内容を暗号化し、盗聴や改ざんを防止します。
ファイアウォール（Firewall）
次に通信の出入口を制御します。
通信ルールを定義し、許可された通信だけを通過させます。
これは「どの通信を通すか」の話となります。
ネットワーク分離
さらに通信できる範囲を限定します。
サーバーやシステムをネットワークごとに分離し、攻撃者が侵入しても横展開しにくい構成にします。
２．ネットワークへの接続を守る
VPN（Virtual Private Network）
利用者が安全に社内ネットワークなどへ接続する仕組みです。
外部から社内ネットワークへ接続する際に通信を暗号化し、安全なアクセス経路を提供します。
古来からVPN装置の脆弱性や初期パスワードを狙った攻撃が多くあるので、VPNを利用する場合は合わせてしっかりした運用も検討する必要があります。
３．インターネット・クラウド利用を守る
Secure Web Gateway（SWG）
利用者のインターネット利用を守る仕組みです。
Web通信を監視・制御し、不正サイトや危険なコンテンツへのアクセスを防止します。
クラウド・アクセス・セキュリティ・ブローカー（CASB）
次にクラウド利用を守ります。
SaaS利用状況を可視化し、利用者とクラウドサービス間の通信を監視・制御します。
組織が許可していないクラウドサービス（シャドウIT）の利用や、機密情報の不適切な持ち出しを防止します。
アイデンティティ認識型プロキシ（IAP / ZTNA）
利用者のIDや端末の状態を確認したうえで、アプリケーションへのアクセスを制御します。
VPNが「ネットワークへの接続」を許可するのに対し、IAP（ZTNA）は「特定のアプリケーションへのアクセス」を許可します。
SASE（サシー / サッシー：Secure Access Service Edge）やSSE（Security Service Edge）との関係性
TLS/SSL、ファイアウォール、ネットワーク分離、VPNは従来から利用されているネットワーク防御技術です。
一方で、SWG、CASB、IAP / ZTNAはゼロトラストの考え方を取り入れた比較的新しいネットワーク防御として普及しています。
SWG、CASB、IAP / ZTNAを統合した「SSE」が普及してきています。
「SSE」にWAN最適化技術であるSD-WAN（回線自動選択、通信を最適化、ネットワーク一元管理など）を加えたものが、「SASE」になります。
ローマ字ばかり出てきて分かりづらいと思いますが、以下で覚えておいてもらえばと思います。
SSE ： セキュリティだけ
SASE ： ネットワーク + セキュリティ
②ネットワークにおける検知
ネットワークでは、通常とは異なる通信を早期に発見することが重要です。
そのためには、以下の4つの観点で考えます。
既知の攻撃を検知する
未知の異常や振る舞いを検知する
不審な通信先やマルウェアとの通信を見つける
分析するための証跡を残す
１．IDS/IPS/IDP（侵入検知・侵入防止）
まずは既知の攻撃パターンや不審な通信を検知します。
IDS（Intrusion Detection System：侵入検知システム）：既知の攻撃パターンや不審な通信を検知します。
IPS（Intrusion Prevention System：侵入防止システム）：攻撃を検知するだけでなく、自動的に通信を遮断します。
IDP（Intrusion Detection and Prevention）：IDSとIPSを合わせた製品。
これらはポートスキャン、脆弱性攻撃の試行、不正アクセスの兆候、マルウェア通信の兆候などを検知してアラートを送信、自動的に通信の遮断を行います。
最近では、これらの機能を兼ね備えた次世代ファイアウォールで行う場合もあります。
２．NDR（Network Detection & Response）
既知の攻撃だけでなく、内部不正や未知の脅威を発見します。
イメージとしてはEDRのネットワーク版に近いものですが、EDRが端末上の振る舞いを監視するのに対し、NDRはネットワーク上の通信を監視します。
ネットワーク上のふるまいを監視し、ランサムウェアの通信、内部端末の異常通信、異常な通信量の増加による情報持ち出しの兆候などを検知します。
３．DNS監視
DNSは多くの通信で利用されるため、攻撃者が外部との通信を行う際にも利用されることが少なくありません。
DNSクエリを分析し、不正なドメインやマルウェアによる外部通信を検知します。
主には以下のような監視を実施します。
悪性ドメインへのアクセス
C&Cサーバー（Command and Control Server / 指令サーバ）との通信
DGAドメイン（Domain Generation Algorithm / ドメイン生成アルゴリズム）の利用
普段利用しない海外ドメインへの接続
攻撃の初期段階や情報持ち出しの兆候を発見するために有効です。
４．通信ログ監視
最後にネットワーク機器やセキュリティ製品のログを分析し、異常な通信を発見します。
主に、ログイン失敗の急増、特定IPからの大量アクセス、海外からの不審な接続、通信量の急増などを監視します。
これはインシデント発生時の調査にも活用されます。
③ネットワークにおける対応
異常な通信を検知した場合は、被害拡大を防ぐための対応を行います。
アプリと同じく検知した内容によって対応は変わりますが、被害を最小限に抑えるならシナリオ毎のインシデント対応マニュアルを作り対応するのが良いでしょう。
例：外部からの攻撃
とにかく攻撃元との通信を遮断し、被害拡大を防ぎます。
IPアドレスの遮断、ファイアウォールルールの追加、VPN接続の一時停止などが対象になります。
ここはスピード勝負になるので、どれだけ早く影響調査と承認プロセスを回せるかがカギとなります。
例：マルウェア感染の兆候
マルウェア感染の兆候が見られる端末・サーバーを隔離し、ほかのシステムへの影響を防ぎます。
これはネットワーク単体ではなく、ユーザーやシステム管理者との連携が必要になります。
影響調査が完了したら関係者へ連絡し、ネットワークから切り離し、通信制御ルールの追加などの対応を行います。
例：情報漏えいの兆候
昨今、もっとも多発しているセキュリティインシデントと言えるでしょう。
とにかく不正なデータ送信を停止し、影響範囲を調査します。
やることとしては、外部通信の遮断、アカウントの一時停止、証跡の保全などを行います。
こちらもネットワーク単体での対処とならないので、関係者と円滑なコミュケーションが取れるような運用体制やエスカレーションルールを検討しておくことが重要です。
④ネットワークにおける復旧
インシデント収束後は、正常な状態へ復旧し、再発防止を行います。
原因調査
インシデント発生後はログ解析を行い、攻撃経路の特定や侵害範囲の調査を行います。
マルウェアに侵害されていた場合、ログが改ざんされている可能性もあるため、ログの保全（完全性の担保）も重要です。
設定の見直し・再発防止
新たに同じ攻撃を受けないために設定の見直しを行います。
ファイアウォールルールの修正、VPN設定の見直し・アップデート、ネットワーク構成の改善、アクセス制御の強化などを行います。
通信の正常化
安全性を確認したうえで、停止していた通信やサービスを再開します。
通信経路の復旧、システム接続の再開、動作確認を実施し、再発の兆候を早期に発見できるよう監視を強化します。
運用ルールの見直し・教育
ネットワークはITシステムすべてのインフラなので、③対応でも書いたようにネットワーク単体で対応が完了しないことが多くあります。
検知→エスカレーション→関係者の集合→対応検討→対応承認→対応→結果報告までの流れに不具合があるようであれば、運用ルール見直しも重要な活動です。
また、端末起因のインシデントの場合、セキュリティ教育の実施も効果的な再発防止となります。
ネットワークセキュリティというと、ファイアウォールやVPNを思い浮かべる方も多いかもしれません。
しかし近年はゼロトラストの考え方が広がり、SWG・CASB・IAP（ZTNA）といった新しいアクセス制御の仕組みも重要になっています。
重要なのは特定の製品を導入することではなく、自社にとって重要な通信を把握し、防御・検知・対応・復旧のサイクルを回せる状態を作ることです。
また、本記事で紹介した対策をすべて導入する必要はありません。
組織の規模や扱う情報の重要度に応じて、自社に必要な対策から段階的に整備していくことも重要です。
