どのVPNを選び、どうやってセキュリティを強化するか、米NSAとCISAがガイダンスを公開：VPNはサイバー攻撃の入り口

米国の国家安全保障局（NSA）と国土安全保障省サイバーセキュリティインフラセキュリティ庁（CISA）が発表したリモートアクセスVPN製品に関するガイダンスについて、ESETが重要なポイントを解説した。

[＠IT]

　セキュリティ企業ESETは2021年9月29日（スロバキア時間）、リモートアクセスVPN製品の選択とセキュリティ強化のためのガイダンスを公式ブログで紹介した。このガイダンスは、米国の国家安全保障局（NSA）と国土安全保障省サイバーセキュリティインフラセキュリティ庁（CISA）が2021年9月28日に発表したものだ。

脆弱なVPNサーバが攻撃の足掛かりに

　脆弱（ぜいじゃく）なVPNサーバは攻撃者にとって魅力的な標的になる。ユーザーのシステムやネットワークに侵入する格好の機会を提供するからだ。

　NSAはプレスリリースで次のように述べている。「国家主導のさまざまなAPT（Advanced Persistent Threat）攻撃グループは、脆弱なVPNデバイスにアクセスするためにCVE（Common Vulnerabilities and Exposures）を悪用する。認証情報の窃盗やリモートコード実行、暗号化トラフィックの暗号の脆弱化、暗号化トラフィックセッションのハイジャック、デバイスからの機密データの読み取りを可能にするのは、こうしたCVEの悪用だ」

　NSAが指摘するように、システムへの足掛かりを得た攻撃者は、組織のネットワークにあらゆる大混乱を引き起こす恐れがある。

VPNをどのような基準で選ぶべきか

　「Selecting and Hardening Remote Access VPN Solutions」と題されたNSAとCISAによるガイダンスは、組織や企業が、システムへの入り口となるリモートアクセスVPNを選ぶ際に従うべき推奨事項を提示している。