ネットワークの脆弱性101：種類と防止方法

要約

ファイアウォールの設定ミス、管理されていないIoTデバイス、古いソフトウェア、不正なWi-Fiネットワークなど、ネットワークの脆弱性は、IT環境における弱点です。攻撃者はこの弱点を悪用してデータを盗んだり、業務を妨害したりします。最も一般的な6種類の脆弱性を理解し、インシデント発生時に取るべき適切な（そして不適切な）手順を把握しておくことは、防御の最前線として不可欠です。こうした脅威に先んじるためには、定期的なペネトレーションテストが最も信頼できる方法です。

ネットワークの脆弱性とは何ですか？

ネットワークの脆弱性とは、誰かがアクセスしたり、データを盗んだり、その他の損害を与えたりする可能性のある、ITプロセスにおける欠陥または弱点のことです。

ネットワークセキュリティには、いくつかの種類の脆弱性があります。それらのいくつかは、おそらくよくご存じでしょう。他はあなたを驚かせるかもしれません。

一般的なネットワークの脆弱性のリストを紹介し、脆弱性の結果を経験していると思われる場合に実行すべき手順をいくつかご紹介します。

ネットワークセキュリティにおける最も一般的な脆弱性の種類は何ですか？

脆弱性を鎧の隙間と考えてください。すぐに特定できるほど大きいものもあれば、数週間、数か月、または数年気づかないものもあります。

セキュリティ環境を調査して潜在的な問題を探す際には、一般的なネットワークの脆弱性をまとめたこのリストを参考にしてください。

管理されていないデバイスは、どのようにしてネットワークの脆弱性を生み出すのでしょうか？

ハッカーは、特にデバイスが承認または適切に管理されていない場合、ネットワークに接続されているものを悪用する可能性があります。

セキュリティ状況には、おそらく次のものが含まれます。

• 接続されたスマートフォン
• コンピューター
• ルーター
• サーバー

ユーザーはこれらのデバイスを強力なパスワードで保護しているでしょうか？無人のときにロックされていますか？ITチームはそれらすべてを把握しているでしょうか。それとも従業員は自分の携帯電話やコンピューターを使用しているのでしょうか？

ファイアウォールの設定ミスは、どのようにネットワークを危険にさらすのでしょうか？

オープンなウェブとサーバーの間に、ファイアウォールで保護レイヤーを設けることができます。しかし、そのツールを盲信しないでください。設定を誤ると、ハッカーがすべてのトラフィックを見たり、乗っ取ったりする可能性があります。

2019年にCapital One Financialで起きたのが、まさにその一例です。ハッカーは、この金融機関のファイアウォールが適切に設定されていないことを発見し、同社が問題に気付く前に1億600万人分の個人情報を盗み出しました。

なぜIoT（モノのインターネット）デバイスはネットワークセキュリティのリスクとなるのですか？

モノのインターネット（IoT）とは、キーボードやマウスを持っていなくても、インターネットに接続されているデバイスのことです。ドアベルから冷蔵庫、エクササイズマシンまで、あらゆるものがIoTの一部であり、それらすべてが侵害の原因となる可能性があります。

IoTデバイスには、変更が難しいプリセットのセキュリティ対策が付属していることが多く、アイテムには更新できないファームウェアが含まれている場合があります。接続時間が長くなるほど、ハッキングが容易になります。

例えば、2017年には、インターネットに接続された水槽の温度計を介して、ハッカーがカジノのデータベースにアクセスするという事件がありました。

マルウェアはネットワークセキュリティにどのような脅威をもたらしますか？

悪意のあるコンピュータープログラムがサーバー上で実行され、意図しないことを実行します。マルウェアは企業にとって大きな脅威であり、多くの形態をとる可能性があります。

たとえば、スケアウェアは、ファイルをダウンロードしたり、ボタンをクリックしたりする必要があると被害者を説得して、クリックを誘います。そして、ランサムウェア攻撃が続き、被害者はファイルへのアクセスを取り戻すために料金を支払わなければなりません。

ソーシャルエンジニアリングによってマルウェアはどのように拡散しますか？

マルウェアの中には、ソーシャルエンジニアリングによって展開されるものがあります。ハッカーは、被害者の名前など、知っている情報や、被害者が求めるであろう情報などを利用して、クリックを誘います。スピアフィッシング攻撃はこのような仕組みで、ハッカーはアウトリーチを開始する前に被害者を調査します。

古いオペレーティングシステムやソフトウェアは、どのようにして脆弱性を生み出すのでしょうか？

コンピューターや電話などの接続されたデバイスは、バックグラウンドで実行される高度なプログラムに依存しています。開発者は、新たな脅威が発生するたびにコードを更新します。しかし、従業員がソフトウェアを更新しなければ、その保護機能はデバイスに適用されません。また、セットアップ時にオペレーティングシステムが適切に設定されていない場合、さらに多くの問題が発生する可能性があります。

ソフトウェアにパッチが適用されないとどうなりますか？

例えば、2021年にある通信会社が古いファイル共有プログラムに起因するセキュリティ侵害を経験しました。その企業の顧客、サプライヤー、パートナーは皆、このセキュリティ侵害による影響を受けました。

攻撃者はどのようにワイヤレスアクセスポイントを悪用するのでしょうか？

適切に管理されたWi-Fiシステムがあれば、従業員は建物やキャンパスのどこからでもアクセスできるようになります。Evil Twin攻撃では、ハッカーは正規のWi-Fiシステムを模倣した、本物そっくりの偽のシステムを作成します。従業員は、自分がハッカーとやり取りしていることに気づかずにログインしています。

ネットワークの脆弱性に対処していますか？

Hitchyのパフォーマンス、予期しないアクション、または顧客からの奇妙なメモは、ハッカーがシステム内の脆弱性を悪用したことを示している可能性があります。次に何をすべきでしょうか？

これらは、すべきでないことです。

ネットワークの脆弱性をプロアクティブに防止するには、どうすればよいでしょうか。

脆弱性に基づく攻撃に耐えないようにするための最良の方法は、システムを定期的にテストすることです。ペネトレーションテストの仕組みの詳細については、私たちのブログをご覧ください。

よくある質問（FAQ）

ネットワークの脆弱性とは何ですか？

ネットワークの脆弱性とは、IT環境に存在する欠陥や弱点のことです。たとえば、設定ミスのあるファイアウォール、パッチが適用されていないオペレーティングシステム、セキュリティが確保されていないIoTデバイスなどがこれにあたり、悪意のある攻撃者に悪用されると、不正アクセス、データ盗難、業務の中断といった被害につながる可能性があります。

IoTデバイスは、組織にどのようなセキュリティリスクをもたらしますか？

IoTデバイスは、多くの場合、変更が困難なセキュリティ設定がプリセットされた状態で出荷され、更新できないファームウェアが動作していることがあります。こうしたデバイスが適切な監視なしでネットワークに接続されたままでいる時間が長くなるほど、攻撃者にとって格好の侵入口となります。2017年に発生したカジノの侵害事件では、インターネットに接続された水槽の温度計が侵入経路となりましたが、これはその好例です。

ネットワーク侵害が疑われる場合に避けるべき行動とは？

侵害が疑われる場合は、影響を受けたマシンを切断したり、再起動したり、攻撃者に報復を試みたりしないでください。こうしたアクションは、ITチームが脅威をリアルタイムで監視する妨げとなり、重要なフォレンジックデータが失われる原因となる可能性があります。

マルウェアはソーシャルエンジニアリングをどのように利用してネットワークに侵入するのですか？

攻撃者は、標的の個人情報や予測されるニーズを利用してマルウェアキャンペーンを巧妙に仕掛け、悪意のあるリンクをクリックさせたり、有害なファイルをダウンロードさせたりします。その一例がスピアフィッシングです。ハッカーが攻撃を仕掛ける前に標的を事前に調査し、正規の連絡に見せかけて接触してきます。

ネットワークセキュリティにおいて、ソフトウェアとオペレーティングシステムを最新の状態に保つことがなぜ重要なのでしょうか？

開発者は、新たに発見された脅威に対処するため、継続的にアップデートをリリースしています。従業員がこうした更新を遅らせたり、スキップしたりすると、デバイスは既知の脆弱性に晒されたままになります。例えば、2021年に発生したある通信会社の侵害は、古いファイル共有プログラムが原因で発生したことが突き止められ、最終的にその会社の顧客、サプライヤー、パートナーに影響が及びました。

ネットワークの脆弱性に対する最善のプロアクティブな対策とは何ですか？

定期的なペネトレーションテストは、攻撃者に悪用される前に弱点を特定し、対処するための最も効果的な方法の1つです。実際の攻撃シナリオをシミュレーションすることで、組織は防御のギャップを発見し、インシデントが発生する前に是正措置を講じることができます。

参考文献

Capital One、ファイアウォールの設定ミスにより大規模なデータ漏洩が発生。(2019年7月)Long Island Business News.

水槽がいかにしてカジノのハッキングを助けたか。（2017年7月、ワシントン・ポスト紙

設定ミスとサプライチェーンの脆弱性の増加。（2021年2月、Hackerone。

システムが侵害されているかどうかを知る方法。テネシー大学。