宮田健の「セキュリティの道も一歩から」（86）

クラウドサービスだってやられてしまう時代に、どう身を守るか？（1/2 ページ）

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。今回は、直近で明らかになったセキュリティに関する2つの事象について紹介します。

公開 2023年06月22日 09時00分

更新 2023年11月24日 15時28分

著者

宮田健

[TechFactory]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　引き続き、ランサムウェアと思われる被害が発生したという報告が、さまざまな業種／業態の企業から次々と挙げられています。かつてはEmotetの大規模な攻撃による、同時多発的な被害が観測されていましたが、2023年6月の攻撃には特に一貫性も見受けられず、なぜこの時期に多発したのかは今後の検証を待たねばならないと思っています。マルウェアの侵入を許し、何らかの被害が発生した可能性があるという段階で報告されることも多く、これを教訓とするならば「自社が既に攻撃を受けていると仮定したら？」といった考え方で、自社の状況を見直す必要があるのではないかと感じます。

　そして、このタイミングで気になる2つの事象がありました。皆さんの気を引き締めることに役立つはずの、少々怖い話かもしれません。

テレワーク時代の侵入手法にしっかり対処を

　1つ目は、皆さんの企業を守るはずのネットワーク機器における大きな問題です。ファイアウォール機能などを持つネットワーク機器を提供するフォーティネットの製品にて、引き続き脆弱性が明らかになっています。情報処理推進機構（IPA）は2023年6月13日、新たに明らかになった脆弱性に関して、注意喚起を行いました。

Fortinet 製 FortiOS および FortiProxy の脆弱性対策について（CVE-2023-27997） | 情報セキュリティ | IPA 独立行政法人情報処理推進機構

　まず、上記を読んでいただいて素早い行動を行ってほしいと思います。素早く、とした理由は、フォーティネットの製品であるからということではなく、下記のような一文が存在するためです。

　「本脆弱性を悪用された場合、認証されていない遠隔の第三者によって細工したリクエストを送信され、任意のコードまたはコマンドを実行される可能性があります」

　“認証されていない”リクエストとは、インターネットの向こう側から本脆弱性を突く、特定の通信を行うことだけで、攻撃が成立してしまうことを指します。誰か人間がアクションを起こしたり、フィッシングを仕掛ける必要も、パスワードを知っている必要もありません。ただ、インターネットにつながっていることが分かってしまえば、“任意のコードまたはコマンドを実行される”つまり、完全に乗っ取ることができるわけです。そのため、本脆弱性は非常に、非常に強力であり、すぐさまアップデートを行う必要があります。

　しかも、猶予はほぼありません。ネットワーク機器はインターネットにつながってこそのものであるため、外部から接続できる状況にあるはずです。いま、攻撃者はおそらくこの脆弱性を「マルウェア化」するとともに、対象となる機器がインターネットのどこにあるかを探そうとしているはずです。この「探す」に特化した攻撃者もいますので、既にあなたがフォーティネット製品を使っている場合、もはや「ターゲットになった」という前提の行動が必要です。

　暫定的な回避策として、「SSL-VPNを無効にする」ことでリスクの軽減が成されるとのことです。フォーティネットの製品を使っている組織はまず早急に対処を行いましょう。よく分からないという方も、ITベンダーに相談するなどいち早い対処をお願いします。

　最近、フォーティネット社の製品は非常に狙われやすくなっています。この件以外にも対処すべき脆弱性がたくさんありますので、しっかりとしたアップデートを行ってください。そして、既知の脆弱性がクリアになったとしても、引き続きVPNのID／パスワードが狙われています。多要素認証を併用するなど、外部と内部をつなぐ機器のセキュリティを基礎から固めるようにしましょう。

次ページへクラウドサービスも完璧なセキュリティを提供しているとは限らない

印刷する

宮田健の「セキュリティの道も一歩から」

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。でも堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学・ネタをお届けします。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

宮田健

＠IT記者を経て、現在はセキュリティに関するフリーライターとして活動する。エンタープライズ分野におけるセキュリティを追いかけつつ、普通の人にも興味を持ってもらえるためにはどうしたらいいか、日々模索を続けている。

クラウドサービスだってやられてしまう時代に、どう身を守るか？（1/2 ページ）

テレワーク時代の侵入手法にしっかり対処を

宮田健の「セキュリティの道も一歩から」

この記事の著者

新着ホワイトペーパー PR