VPN(Virtual Private Network)
VPN(Virtual Private Network)とは
VPN（仮想私設網：Virtual Private Network）とは、複数の拠点間で仮想の専用回線を構築することにより、暗号化されたセキュアな通信ができる環境のことを指します。パブリックネットワークの通信では、情報の窃取や改ざんの危険性あり、そのための対策の1つとして開発・普及しました。
VPNの概要
VPNとはVirtual Private Networkの略称で、「仮想プライベートネットワーク」のことを指します。VPNは、「トンネリング※1」、「暗号化」、「承認」の機能があり、安全にデータのやり取りができます。 VPNには大きく分けると、通信事業者の敷設した共用ネットワーク内を介する「IP-VPN（閉域VPN）」と、ユーザがVPN機器を設置してインターネット経由で暗号化通信行う「インターネットVPN」があります。本稿では、ユーザ側で機器の設置などが容易であり、比較的安価とされる「インターネットVPN」と、そのセキュリティについて記述します（以降、「インターネットVPN」のことを「VPN」と記述します）。
※1 トンネリング：外部の影響を受けないよう、2拠点間を結ぶ仮想回線を作ること
図1：VPNのイメージ図
VPN機器導入のメリットと注意点
＜メリット＞
VPNのメリットは、通信を暗号化することによる情報の窃取や改ざん、情報漏えいのリスクが低く、セキュアな通信ができることです。また、物理的な専用回線と比較すると、初期費用や運用コストも抑えられるというメリットがあります。このため、多くの組織でVPNが普及しています。2020年以降のコロナ禍におけるリモートワークの普及も、こうした状況を加速させています。
＜注意点＞
暗号化処理などで通信速度が遅くなる場合があり、利用状況や時間帯によっては速度低下が起こり得ます。その他、後述するサイバーセキュリティ上のリスクも存在します。
VPNを利用する際のセキュリティリスク
VPNのサイバーセキュリティ上のリスクとして、VPNの「認証」で使用するアカウント情報が漏えいしたり、VPN装置に「脆弱性」があったりすると、サイバー攻撃者が本社ネットワークに侵入できてしまうことがあげられます。
図2：VPNのセキュリティリスク
VPN機器へのサイバー攻撃では、認証に利用するVPNのアカウント情報やVPNの脆弱性が悪用されます。VPN機器は、インターネットと社内システムの境界線部分に設置されています。例えるならば、「家のドア」ともいえるでしょう。家の外の公道から、どのようなドアのメーカーや型式、鍵の種類などが分かるのと同じように、何の対策も行われていない場合、インターネット側（公道）からVPN機器のベンダー、ソフトウェアのバージョンなどが分かります。サイバー攻撃者は、インターネット側から閲覧可能なVPN機器の情報を調べて、攻撃可能な機器を選定していると推測できます（この他にも、アンダーグラウンドマーケット（闇市場）で脆弱な機器の情報を収集するという方法もあります）。
実際にトレンドマイクロのリサーチでも、VPN機器の脆弱性を悪用しようとする通信が定常的に確認されていることを確認しています※2。
VPNにおけるセキュリティ対策でカバーすべきポイントは、以下の4つです。
①VPN製品の脆弱性情報の把握と迅速な修正プログラム適用する（適用計画を立てる）
②VPN機器の前にIPS（侵入防御システム）を設置する等の脆弱性攻撃対策を行う
③VPNの認証情報の管理（アカウント情報）、多要素認証などを導入する
④通信の監視（ブルートフォースなどの攻撃監視）を行う
図3：VPNのセキュリティ対策でカバーすべきポイント
自社に情報がない場合でも、VPN機器を設置したシステム事業者やネットワークインテグレータがこうした情報を把握している可能性もあるため、一度確認することをお勧めします。
まとめ
VPNはリモート（遠隔）からのネットワークアクセスを安全に行えるようにする画期的な技術です。リモートワークがこれだけ普及しているのも、VPNの一つの功績と言えるでしょう。ただし、前述の通り、セキュリティツールであるVPNにもセキュリティリスクは存在します。したがって、本文に提示した①～④の対策を行い、セキュリティリスクを低減しましょう。
最後に、サイバーセキュリティは一点強化では終わりません。VPNは一つの侵入口にすぎないので、常に自社ネットワーク全体を見て対策を取ることが重要です。そのためのヒントをトレンドマイクロでは多数ご紹介しています。以下のリンクからご確認ください。
ウェビナーによる解説
XDRに関する業界における評価
The Forrester Wave™: Endpoint Detection And Response, Q2 2022レポートで、トレンドマイクロがEDRベンダー評価の「リーダー」に選出されました
この評価でリーダーとして評価されたのは3社のみであり、トレンドマイクロはそのうちの1社です。今回の評価では、調査機能、ATT&CKアライメント、拡張機能、イノベーションロードマップを含む9つの項目で最高スコアとなる5点満点を獲得しています。
※出典：The Forrester Wave™: Endpoint Detection And Response Providers, Q2 2022
Forrester New Wave™のリーダーに選出：Extended Detection and Response (XDR), Q4 2021
Trend Vision One は、Current Offeringのカテゴリで最高得点を獲得し、10の評価項目のうち7項目で最高スコアを獲得しました。
VPNについての関連情報
VPN機器はなぜ狙われる？ー必要なセキュリティ対策とは
VPN機器へのサイバー攻撃に起因する被害が続いています。ランサムウェア被害では、その多くがVPN機器が侵入の起点になっているとの調査もあります。これらの攻撃により、結果的に事業停止といった事態に追い込まれた組織もあり、注意が必要です。VPN機器のセキュリティ対策を解説します。
悪用された脆弱性上位をCISAが公表、テレワーク関連が顕著
2021年7月28日、米国土安全保障省傘下のCISAは、2020年と2021年に悪用された脆弱性の上位を詳述した報告書を公開しました。 報告書によると、攻撃者が狙う新しい標的は、2019年以降に公開されたテレワーク、VPN、そしてクラウドベースの技術に関連する脆弱性です。