ネットワークの事例

ネットワークの事例は「経路のどこか」を答えます

前回のアクセス管理は、人と権限のずれを見る問題でした。ネットワークの事例は、情報がどの経路を通り、その経路のどこに穴があるかを見る問題です。事例文には必ず、社内、社外、その境界という3つの場所が出てきます。読みながら、この情報は今どこにいるのかを追ってください。

登場する装置と役割は多くありません。まず整理しておきます。

右端の列が事例問題の勝負どころです。装置は何を守るかより、何を守らないかで選択肢が切れます。

事例を1つ読んでみます

住宅設備を扱う青葉工業では、社員の在宅勤務が増えたため、自宅から社内の設計データサーバへ接続できるようにVPNを導入しました。接続には社員番号とパスワードを使います。自宅で使う端末は各自の私物を認めており、社内で配布しているウイルス対策ソフトの導入は任意としました。社外に公開しているWebサイトはDMZに置き、社内網との間はファイアウォールで区切っています。ある日、社員の1人の自宅端末がマルウェアに感染し、その端末からVPN経由で設計データが外部へ送信されていたことが分かりました。

VPNは通信を暗号化するので、途中の経路での盗聴は防げています。実際、盗まれたのは経路の途中ではありません。感染した端末が、正規の資格情報で正規のトンネルを通って、正規に読める設計データを取り出しました。つまり守るべきだったのは経路ではなく、経路の入口に立つ端末のほうです。

対策を当てはめて切ります

• VPNの暗号方式をより強いものに変える。経路は元から守れているので効きません
• ファイアウォールの規則を見直す。DMZと社内網の区切りは今回の侵入経路ではありません
• 接続する端末を会社が管理する端末に限り、ウイルス対策ソフトの導入と最新化を接続の条件とする。原因に直接効きます
• 社外公開Webサイトの前にWAFを置く。今回はWebアプリへの攻撃ではないので効きません

3つめのように、条件を満たした端末だけを社内網へ入れる考え方を検疫ネットワークと言います。事例文に私物端末や導入は任意という記述が出てきたら、答えはこの方向だと見当を付けてよいです。

無線と公衆回線の事例

もう1つの頻出は、社外の無線LANを使う場面です。喫茶店の公衆無線を使ってメールを送ったという記述が出たら、通信が暗号化されているかどうかが焦点になります。この場合はVPNや暗号化された通信が正しい対策になります。同じVPNでも、先ほどの事例では効かず、こちらでは効きます。装置の名前で反射的に選ばず、何が起きたのかと突き合わせてください。

社内の無線LANでは、暗号化方式が古いものになっていないか、接続用の鍵が全社員で共有されていないかが問われます。鍵を共有していると、退職者もつなげてしまうという点で、前回のアクセス管理の話とつながります。