警察庁の「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」は、ランサムウェアの被害組織へのアンケートで、侵入経路はVPN機器が約5割を占めると報告しています。近年は、インターネットに露出した箇所から遠隔操作でネットワークの内部に侵入する手口が多くを占めるとも書かれています。入口は毎日のように狙われており、すべてを守り切る前提では計画が立ちません。
この記事の要点
- ランサムウェアの侵入経路はVPN機器が約5割。インターネットに露出した入口が狙われている
- 経営ガイドラインは、守るべき情報を特定し、どこに保存され、どこで扱われているかを把握することを求めている
- 侵入された後に広がらないよう、利用者ごとにつながる先を絞ると、守る範囲を区切れる
侵入の後に何が起きるか
警察庁の資料は、ランサムウェア攻撃の代表的な流れを次のように説明しています。攻撃者は未修正の脆弱性や漏えいした認証情報を悪用して侵入し、より広い領域にアクセスするために管理者権限の奪取やセキュリティの無効化を試みながら、重要データやバックアップを物色します。データを盗み出した後に暗号化し、最後にログや使ったツールの痕跡を消します。
被害の大きさを決めるのは、侵入されたかどうかより、侵入された後にどこまで広がったかです。
守る順番を決める
経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver3.0」は、指示4の対策例で、経営戦略の観点から守るべき情報を特定し、それがどこに保存され、どこで扱われているかを把握することを挙げています。厳しめの対策を一律に定めると、通常の業務に支障をきたすおそれがある、とも書いています。
- 止まると事業が止まるもの: 受注、生産、出荷、決済など、止まった日数がそのまま損失になる業務のシステム
- 漏れると取り返せないもの: 顧客情報、営業秘密、取引先から預かった情報
- 復旧の拠り所になるもの: バックアップ、認証の基盤、管理者のアカウント
3つ目は見落とされがちですが、攻撃者が侵入後に真っ先に探すものです。バックアップと管理者のアカウントが守られていれば、他が被害を受けても復旧の道が残ります。
ゼロトラストの出発点
NISTのSP 800-207「Zero Trust Architecture」は、ゼロトラストを、ネットワーク上の場所や資産の所有を理由に、資産や利用者アカウントへ暗黙の信頼を与えない考え方として説明し、ネットワークの区画ではなく、資産、サービス、業務の流れ、アカウントといった資源を守ることに焦点を置くとしています。社内のネットワークにつながったから全部見える、という状態をやめ、利用者ごとにつながる先を絞ることが出発点になります。
入口を公開せず、つながる先を絞る
当社のForceLinkは、自社で設計・開発したセキュアリモートアクセスです。オフィスにForceLink BOXを置き、社員に招待コードを配って、自宅や外出先から社内へつなぎます。管理画面はインターネットに公開せず、接続は鍵ベースです。接続できる社内PC・サーバー・NASは、ユーザーごとにForceLink BOX側で制御します。大規模なSASE製品のすべての機能は持たない、拠点や中小規模のオフィス向けの製品です。VPN機器の更改を考えている拠点で、入口を減らし、侵入された場合の広がりを区切る選択肢になります。
参考資料
入口を減らし、つながる先を絞る
拠点のVPN機器の更改や、リモートアクセスの入口を減らす方法についてご相談ください。
製品の詳細はForceLinkのサイトでご覧いただけます。
まずは相談する相談無料・