VPNはサイバー攻撃を助長しているのか？ ネットワーク機器の深刻なパラドックス：Cybersecurity Dive（2/2 ページ）

[Matt Kapko，Cybersecurity Dive]

今後もVPNがなくなることはない

　ゼロデイ攻撃や脆弱性の悪用を目的としてセキュリティ機器やサービスを標的とする脅威グループは、ネットワークセキュリティアーキテクチャに存在する弱点を熟知している。

　サイバーセキュリティ事業を営むMandiant Consultingのチャールズ・カーマカル氏（最高技術責任者）は、2024年に開催されたカンファレンス「RSA Conference」のメディアブリーフィングで「ファイアウォールやルーター、VPN、VMwareのハイパーバイザーは、通常EDRでは対処できない」と話す。

　カーマカル氏によると、EDRでは管理者がデバイスにログインし、OSのコマンドラインを確認したり、システム内のファイルを閲覧したりできないという。この欠点により、被害を受けた組織が、自社のデバイスに対する侵害やマルウェアの展開を発見することが極めて困難になるのだ。

　VPNやルーター、ファイアウォール向けのEDR製品は存在しない。ハンスロヴァン氏は「組み込み機器の上で何かを実行するのは極めて困難であり、リソースも限られている」と述べた。

　これらの軽量デバイスは、極めて効率的にデータを処理するために設計されており、この分野のベンダーは、自社のキットやシステムでサードパーティー製のソフトウェアを実行することを許可していない。

　Rapid7のSVP兼主任科学者であるラジ・サマニ氏は「これらのデバイスにエージェントをインストールするのは困難だ。開梱してインシデント対応もできない。それが標的にされる理由となっている」と語る。

　パロアルトネットワークスのセキュリティチームUnit42で、コンサルティングおよび脅威インテリジェンス担当上級副社長を務めるサム・ルービン氏は「組織のネットワークに足掛かりを得ようとする脅威グループは検出能力のないシステムで活動している。彼らはネットワークの隅に隠れていて、見えないところにいる」と指摘する。

　ファイアウォールやVPN、その他のネットワークエッジデバイスのソフトウェア欠陥を狙う攻撃は絶え間なく発生しており、今後も続くだろう。

　しかし、ファイアウォールやVPNがなくなることはない。Deloitteのグローバルサイバーリーダーであるエミリー・モスバーグ氏は「ファイアウォールやVPNはあまりにも定着している。企業ネットワークセキュリティの未解決の問題は、エッジデバイスとその監視やエンドポイント検出の欠如よりも深刻だ」と述べる。

　「ある意味、EDRの導入は対症療法であって、核心的な原因により重点を置いているわけではない」（ハンスロバン氏）

　ネットワーク境界のアーキテクチャとセキュリティプロセスの確立された枠組みは、防御者を常に不安な状態に追いやっている。脅威グループの創造性と持続性は、これらのシステムの穴を見つけ、その弱点を食い物にすることによって、被害者の環境をより深くコントロールしようとする。

　「アップデートされるかどうか、まだ製造中止になっていないかどうか、メーカーがまだ営業しているかどうかは別として、ハードウェアの問題はアップデートが非常に難しいことだ」とMicrosoftの脅威情報戦略担当ディレクターであるシェロッド・デグリッポ氏は語る。

　「私たちはこれに対するより良い解決策を見つけなければならない。ただし、残念ながら企業はこれらのデバイスのアップデートという難しい側面を掘り下げていかなければならないと思う」（デグリッポ氏）

（注1）Ivanti customers confront new zero-day with suspected nation-state nexus（Cybersecurity Dive）
（注2）CVE-2025-0282 Detail（NIST）
（注3）Ivanti Connect Secure attacks part of deliberate espionage operation（Cybersecurity Dive）
（注4）CVE-2023-46805（CVE）
（注5）CVE-2024-21887（CVE）
（注6）Barracuda zero-day vulnerability exploited for 7 months before detection（Cybersecurity Dive）
（注7）Cisco warns actively exploited CVE can lead to DoS attacks against VPN services（Cybersecurity Dive）
（注8）CitrixBleed worries mount as nation state, criminal groups launch exploits（Cybersecurity Dive）
（注9）Fortinet zero-day attack spree hits at least 50 customers（Cybersecurity Dive）
（注10）Ivanti pledges security overhaul after critical vulnerabilities targeted in lengthy exploit spree（Cybersecurity Dive）
（注11）5 Juniper CVEs actively exploited in the wild（Cybersecurity Dive）
（注12）Palo Alto Networks warns firewall exploits are spreading（Cybersecurity Dive）
（注13）SonicWall firewall CVE exploits linked to ransomware attacks（Cybersecurity Dive）
（注14）CitrixBleed worries mount as nation state, criminal groups launch exploits（Cybersecurity Dive）
（注15）Comcast’s Xfinity discloses massive data breach linked to CitrixBleed vulnerability（Cybersecurity Dive）
（注16）CISA warns chemical facilities of potential data theft（Cybersecurity Dive）
（注17）Remote-access tools the intrusion point to blame for most ransomware attacks（Cybersecurity Dive）
（注18）Known Exploited Vulnerabilities Catalog（CISA）

原文へのリンク