第5章S=1:5
技術者向け
VPN 機器がログイン前に応答する部分、パッチ後も侵入者が残る理由、再起動で消えるログを扱い、自社の機器について答えるべき10の問いを置く。
要旨
VPN 機器を部品に分けて見る。ログイン前に応答するコード、パッチ後も残る侵入者のアクセス、再起動や更新で消えるログを1ページずつ扱う。末尾に、自社の機器について記録で答えるべき10の問いを置いた。
技術者向けの詳細
部位と担当ページ
錠、つまり認証と多要素認証は第3章と第6章で扱う。
- 認証前に開いている面: ログイン前にさらしている部分と、その棚卸しと削減。
- パッチで扉は閉まらない: パッチ後も侵入者のアクセスが残る5つの経路と、KEV に載ったときの作業順序。
- 再起動の前に証拠を残す: 機器のログの置き場所と、再起動、更新、初期化で消えるもの。
自社の機器について答えるべき10の問い
特定の担当者の記憶に頼る答えは、ないものとして数える。
| # | 問い | 十分な答え | 載せた理由 |
|---|---|---|---|
| 1 | 機器の責任者は誰か。契約上、誰がパッチを当てるか | 氏名と、ベンダーに脆弱性情報の連絡と修正適用を義務づける契約条項 | 大阪急性期・総合医療センターでは病院と事業者の責任分界が不明瞭だった（p.14）。半田病院には販売店から脆弱性情報が届いていなかった（技術編 p.15）。 |
| 2 | 稼働中のファームウェアの版と、適用した日はいつか | 正確な版番号と、ベンダーの PSIRT 情報との照合結果 | 警察庁の2025年の調査で、回答71件のうち40件の侵入口の機器に未適用のパッチがあった。 |
| 3 | この機種と版のサポートはいつ終わるか | 終了日と、それより前の更改予算 | CISA・FBI・英国 NCSC: 「Maintain an inventory of all edge devices and their respective support timelines.」 |
| 4 | 管理画面にインターネットから到達できるか | できない。別の管理用ネットワークからのみ到達できる | カナダ CCCS: 管理インターフェースは「should not be directly exposed to the Internet.」 |
| 5 | VPN 利用者と管理者の第2要素は何か | ID とパスワードだけのアカウントがない。管理者はフィッシング耐性のある多要素認証 | 警察庁の調査で、リモート接続の認証が ID とパスワードのみの組織は39.8%。Arctic Wolf はワンタイムパスワードを有効にしたアカウントへのログインも観測している。 |
| 6 | 機器内のローカルアカウントは何か。パスワードを最後に設定したのはいつか | 日付付きの一覧。旧機種から引き継いだものがない | SonicWall は2025年の被害の多くを、移行時に「carried over during the migration and not reset」だったローカルユーザーのパスワードに結び付けた。 |
| 7 | ログはどこに送られ、何日保存されるか | 機器の外の SIEM に送り、ゼロデイが公表されるまでの期間より長く保存する | 警察庁の2025年の集計で、ランサムウェア被害102件のうちログを全て保全できたのは25件。「保存期間経過」を挙げた回答が18件あった。 |
| 8 | 侵害の有無を最後に確認したのはいつか。何を使ったか | 日付、ツール名、機器自身の自己診断だけに頼らない確認 | CISA: 「Ivanti’s internal and previous external ICT failed to detect compromise.」 |
| 9 | この製品の直近の KEV 登録後、認証情報を再設定したか | した。日付があり、ローカルアカウント、LDAP 連携用アカウント、RADIUS の共有鍵、利用者まで含む | 8万7,000台分の情報流出について、Fortinet は「if the passwords were not reset, they remain vulnerable.」と警告した。 |
| 10 | ネットワーク単位の VPN 接続をやめる計画はあるか | 日付入りの計画。ZTNA のゲートウェイも境界機器として扱う | CCCS は境界機器への過度の依存から離れるよう勧めている。CVE-2025-0282 は Ivanti Neurons for ZTA のゲートウェイにも影響した。 |
出典: 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 調査報告書 (pp.11–12, 18–19, 36–41, 45–47; pp.11, 37, 45–46, 71)徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 技術編 (printed pp.9–11, 14–15; pp.10–14)警察庁 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編p139, p143, p148, p153)CISA・FBI・英国 NCSC Reducing the Attack Surface for End-of-Support Edge Devices (p.1; pp.1–2)カナダ サイバーセキュリティセンター Security considerations for edge devices (ITSM.80.101) (ITSM.80.101)警察庁 サイバー攻撃の被害に係る企業・団体を対象としたアンケート調査結果及び対策 (p.1)Arctic Wolf Smash and Grab: Aggressive Akira Campaign Targets SonicWall VPNs, Deploys Ransomware in an Hour or LessSonicWall Gen 7 and newer SonicWall Firewalls – SSLVPN Recent Threat Activity警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)CISA ほか（米国） Threat Actors Exploit Multiple Vulnerabilities in Ivanti Connect Secure and Policy Secure Gateways (AA24-060B)Fortinet PSIRT Malicious Actor Discloses FortiGate SSL-VPN Credentials