過去1年間にVPN関連のサイバー攻撃を経験した組織は半数以上

※本資料は、米カリフォルニア州にて2024年5月7日(現地時間)に発表したプレス リリースの日本語抄訳版です。

主な所見

• 回答者の91%がVPNに起因するセキュリティ インシデントを懸念。VPNのリスクに対する意識の高まりが顕在化
• VPNの脆弱性を悪用する主な脅威として挙げられたのはランサムウェア(42%)、マルウェア感染(35%)、DDoS攻撃(30%)
• VPN攻撃を受けた組織の大多数が脅威のラテラル ムーブメントを確認。侵害初期段階での封じ込めの失敗が致命的に

クラウド セキュリティ業界を牽引するZscaler, Inc. (NASDAQ: ZS)は本日、2024年版 Zscaler ThreatLabz VPNリスク レポートを発表しました。本レポートは、Cybersecurity Insidersがセキュリティ、IT、ネットワーク分野の専門家600人以上を対象に行った調査を基に作成されました。今回の調査結果から、56%の組織が過去1年間にVPNの脆弱性を悪用したサイバー攻撃を受けたことが明らかになり、従来の境界ベースの防御からより堅牢なゼロトラスト アーキテクチャーへの移行がこれまで以上に重要になっています。

以下の大手ベンダー2社のVPNで重大な脆弱性とそれを悪用した攻撃が確認されたことで、ゼロトラストへの移行はますます加速しています。

• Ivanti (CVE-2023-46805およびCVE-2024-21887) - リモート攻撃者が認証バイパスとリモート コマンド インジェクションを実行
• Palo Alto Networks OSの脆弱性(CVE-2024-3400) - 認証されていないユーザーがセキュリティ ベンダーのオペレーティング システムを悪用してネットワークに侵入。脆弱性スコアは最高値の10.0 

Ivantiのゼロデイ脆弱性を受けて、米国サイバーセキュリティ インフラストラクチャー セキュリティ庁(CISA)は緊急指令を発行し、影響を受けるVPNデバイスを直ちにネットワークから切り離すよう連邦政府機関に指示しました。  

VPNが抱えるセキュリティの課題  

VPNはこれまで、ネットワークにリモートでアクセスする手段として広く使用されてきました。しかし、ネットワークを標的とするサイバー脅威の規模や複雑さはさらに増大しており、セキュリティ部門にとって大きな懸念事項となっています。実際、調査対象者の91%がVPNはITインフラの脆弱な侵入口になることを懸念しています。最近のセキュリティ インシデントからも、旧型やパッチ未適用のVPNインフラへの依存がリスクを高めることは明らかです。

ゼットスケーラーのCISOであるディーペン・デサイ(Deepen Desai)は次のように述べています。「過去1年間、大企業や連邦政府機関に侵入する足掛かりとして、VPNのさまざまな脆弱性が悪用されました。VPNのようなインターネットに公開されたレガシー資産(アプライアンスや仮想)は、攻撃者が従来のフラットなネットワークを簡単に水平移動できるようにします。企業はこの事実を認識して、頻発するVPNを標的としたサイバー攻撃に備える必要があります。また、ゼロトラスト アーキテクチャーへの移行は必須です。移行することで、VPNやファイアウォールなどの旧式の技術の廃止、攻撃対象領域の大幅な削減、TLSインスペクションによる一貫したセキュリティ制御の施行、セグメンテーションとデセプションによる攻撃影響範囲の抑制などが実現し、深刻な被害をもたらすセキュリティ侵害を防止できます」

VPNの脆弱性を悪用する主な脅威  

調査対象者はVPNの脆弱性を悪用する主な脅威としてランサムウェア(42%)、マルウェア感染(35%)、DDoS攻撃(30%)を挙げており、さまざまなリスクを生み出す従来のVPNアーキテクチャーからゼロトラスト アーキテクチャーへの移行は喫緊の課題であることを浮き彫りにしています。また、今後12か月以内にゼロトラスト戦略を導入する予定の組織は78%となっており、さらに62%がVPNとゼロトラストは相反するものであり、クラウドベースのVPNであってもゼロトラスト アーキテクチャーではないと認識しています。

拡散の防止   

VPN攻撃を受けた組織の大多数が脅威アクターによるラテラル ムーブメントを確認しています。これは、侵害の初期段階で適切に封じ込めが実行されなかったためと考えられます。攻撃の影響範囲を最小限に抑え、VPNの脆弱性がもたらすリスクを軽減するには、ゼロトラスト アーキテクチャーが不可欠です。ゼロトラスト アーキテクチャーには、次のようなメリットがあります。

• アプリをインターネットから見えなくすることで攻撃対象領域を最小化し、攻撃者によるアプリの特定を阻止
• トラフィックとコンテンツに対してインライン検査を実施することで不正侵入を防止し、悪意のあるアクティビティーを検知してブロックすると同時に、不正アクセスやデータの持ち出しからリソースを保護
• ユーザーをセグメント化して、ネットワークではなくアプリに直接接続させることでラテラル ムーブメントを排除し、攻撃者の不正アクセスや水平方向への拡散を防止

VPNが組織にもたらすリスクの詳細については、「2024年版 Zscaler ThreatLabz VPNリスク レポート：Cybersecurity Insidersによる新たな洞察」でご確認ください：www.zscaler.jp/campaign/threatlabz-vpn-risk-report

調査方法    

本レポートではセキュリティ、IT、ネットワークの専門家600人以上を対象に調査が行われました。    

以上