VPN侵入から自社を守る セキュリティの「段階的な強化」方法とは：無償トライアルでSASE導入の壁低く

テレワーク普及の裏でVPN機器の脆弱性を突いた攻撃が広がっている。SASEによる防御力強化は重要だが、導入の壁に直面する企業は多い。最小の負荷で段階移行する現実策とは。

PR／ITmedia

PR

　昨今の攻撃被害は、ウイルス感染や情報漏えいにとどまらず、事業継続を揺るがす経営リスクへと拡大している。中でもランサムウェア攻撃は深刻で、VPNへの侵入が発端となるケースもある。

　テレワークによってVPNは業務に欠かせないインフラとなっている。一方、VPNはインターネットから接続できる場合が多く、攻撃者の侵入口になりやすい。特に、VPN機器の未修正の脆弱（ぜいじゃく）性は大きなリスクとなる。

ランサムウェア対策の起点となるリモートアクセス防御

　攻撃者はVPNを踏み台に侵入を図る。侵入後は社内ネットワークで権限を拡大し、ファイルサーバや業務システムに横展開した上で、ランサムウェアの実行やデータの窃取に及ぶ。

　この課題の解決に有力な仕組みが、「SASE」（Secure Access Service Edge）だ。SASEはネットワークとセキュリティの機能を一体化してクラウドサービスとして提供する。主に拠点間ネットワークを制御するSD-WANと、クラウドのセキュリティサービスであるSSE（Security Service Edge）で構成されている。

　SASEの受け止め方には、大手企業と中堅・中小企業の間で大きな温度差がある。大手企業は、複数拠点、海外拠点、クラウド利用、リモートワークを前提に、ネットワークとセキュリティを統合的に見直す必要性が高まっている。そのため、SASEはそれを実現するための中核的な仕組みとして導入が進んでいる。

　中堅・中小企業は、SASEの必要性を認識しつつも導入に踏み切れないケースが多い。ネットワールドの白井健太朗氏は、「背景には予算の制約、専門人材の不足、製品選定の難しさ、導入後の運用負荷への不安があります」と述べる。同氏によると、SASEの導入に当たっては認証、端末管理、通信経路、クラウド利用、ログ監視などを含めてネットワークの全体設計を見直す必要があるため、導入のハードルが高い。

ネットワールドの白井健太朗氏（技術本部 セキュリティ基盤技術部 1課 システムエンジニア）

既存FortiGate環境を生かせるFortiSASEのメリット

　中堅・中小企業にとって、現実的な製品となり得るSASE／SSEが、Fortinetの「FortiSASE」だ。FortiSASEの特徴は、既存のセキュリティ基盤を生かした継続性と発展性にある。

　「FortiSASEは、広く導入されている次世代ファイアウォール機器『FortiGate』の機能を、そのままクラウドに展開するというコンセプトで設計されています。そのため、FortiGateを利用している企業であれば、既存FortiGateのポリシーやUTMの設計方針、運用ノウハウを転用できます」（白井氏）

　FortiSASEはFortiGateと似ているGUIを採用しているため、FortiGateユーザーであれば運用に必要な学習コストを抑えられる。SASE製品の中には、複数モジュールの組み合わせで構成されているものもある。その場合、SASEの運用には新たなスキルの習得に時間を要することが珍しくない。「FortiSASEなら、その苦労を最小限に抑えられます」と白井氏は語る。

FortiSASEへの移行イメージ（提供：ネットワールド）《クリックで拡大》

　白井氏は、次のこともFortiSASE導入のメリットとして挙げる。

　インターネット通信の保護。FortiGateだけでは十分に保護できなかったリモートユーザーのインターネット通信にも、FortiSASEを通じてセキュリティを適用できる。テレワークの普及に伴い、社外端末のインターネット接続も安全に管理したいというニーズに応えている。

　FortiClientの設定とバージョン管理の一元化。無償版FortiClientは、VPNクライアントの脆弱性対処やバージョンアップをユーザーが手動で実施するか、管理者が別システムで配布する必要があった。FortiSASEを利用すれば、FortiClientの設定配布とバージョン管理をまとめて実施できる。

　「確認項目としては、Active Directoryに登録されているユーザーかどうか、ウイルス対策ソフトウェアが有効か、脆弱性があるか、PCがどのドメインに参加しているかなどがあります。これによって、組織ポリシーに準拠した端末だけを接続させる、または通信を許可します」（白井氏）

　FortiSASE独自の設定や機能についてはスキルの習得が必要だ。そこで役立つのがFortinetの無償ハンズオントレーニング「Fast Track Workshop」だ。

　ネットワールドの会田亮平氏は、Fast Track Workshopの一環としてネットワールドが実施している「FortiSASEコース」の概要を、以下のように説明する。

　「FortiSASEのリモートユーザー向けインターネットアクセス機能と、社内リソースへのアクセス機能を中心に構成されています。FWaaS（Firewall as a Service）やUTMによる基本的なアクセス制御に加え、FortiSASEとオンプレミスFortiGateのSD-WAN統合、VPNを使わないアプリケーション単位のセキュアアクセスであるZTNA、端末の状態に応じてアクセスを制御するSecurity Posture Tagまで学べます」

ネットワールドの会田亮平氏（マーケティング本部 事業推進部 セキュリティ課）

　Fast Track Workshopの各コースの受講時間は最大4時間で、オンラインで参加可能だ。Webブラウザのみで実機の操作を体験できる。

無償の評価プログラムから始まる段階的なSASE導入

　Fast Track Workshopを通じてFortiSASEの概要や操作感を把握した後、実際の利用場面により近い形で検証したいと考える企業向けに、ネットワールドは無償の「FortiSASE評価プログラム」を用意している。

　「このプログラムは、FortiSASEポータルへの管理アクセス権と共に、オンプレミス側デバイスとして『FortiGate-91G』を最大2台貸し出します。お客さまに負担していただくのは、機器の返送費用のみです。FortiSASEの主要機能について最長1カ月、お客さまの環境でお試しいただけます」（会田氏）

　このプログラムで、以下の4つの機能を実機ベースで検証できる。

• リモートユーザーのエージェントレス構成によるインターネットアクセス
  • 端末に専用エージェントを導入しないブラウザベースのアクセスを対象とし、SWG（Secure Web Gateway）によるWebアクセス制御を評価。VPNクライアントの配布が難しいBYOD端末や一時利用端末でも利用しやすい点を確かめる。
• リモートユーザー（FortiClient）からのインターネットアクセス
  • FortiClientを利用したエージェントベースのインターネットアクセスを評価。FortiSASEのPoP（接続拠点）にIPsec-VPNで接続し、インターネット向けトラフィックを処理することでセキュリティポリシーの適用を確かめる。
• 小規模拠点に設置したFortiGate経由によるインターネットアクセス
  • 拠点側のFortiGateをLAN Extension／Secure Edgeとして構成。L2延伸でFortiSASEに接続することで、複雑な通信ポリシー／ルーティング設計が不要な拠点や1セグメントで運用している拠点にもセキュリティの適用を確かめる。
• リモートユーザーからの社内ネットワークへのアクセス
  • FortiGateとFortiSASEをSecure Private Access（SPA）で連携させることによって社内リソースへ安全に接続。さらにZTNAを利用することで、アプリケーション単位でアクセスの制御を確かめる。

　こうしたサポートからも、FortiSASEは中堅・中小企業が本格的なSASEやSSEに踏み出すための入り口になると言える。特にFortiGateを使っている企業にとって、既存資産を生かしながらリモートアクセスの安全性を高め、インターネットアクセス保護やZTNAへと段階的に機能を拡張できるのがポイントだ。

FortiSASE導入によるセキュリティ強化（提供：ネットワールド）《クリックで拡大》

　「今後も技術情報ブログ『ネットワールド らぼ』での情報発信やプリセールスサポート体制の強化に努めます」と白井氏は語る。セキュリティ対策を見直す企業を全方位で支える構えだ。

Amazonギフトカードが当たる！アンケート実施中

本記事に関連して「SASE導入」についてのアンケートを実施しています。回答された方の中から抽選で10名様に、Amazonギフトカード（Eメールタイプ）3000円分をプレゼントいたします。当選者には、アイティメディアIDにご登録のメールアドレス宛にギフトをお送りします。当選者発表はギフトの送付をもってご連絡とさせていただきます。ぜひ下記アンケートフォームよりご回答ください。

ログイン または 会員登録（無料）いただくとアンケートフォームが表示されます。オレンジ色の「アンケートに回答する」ボタンからアンケート回答をお願いいたします。