VPNが抱える課題やゼロトラストについて徹底解説！

「VPN」は「Virtual Private Network」の略語で、日本語に直すと「仮想専門線」という意味です。カプセル化と呼ばれる処理を行う事で、仮想的なトンネルを形成して通信する仕組みのことです。

万一悪意を持った人が情報を盗み見ようしても、外からでは簡単に情報が分からないように暗号化を行う事で、通信のセキュリティ面を担保しています。

リモートワークが普及していく中で、VPNを利用することによりセキュリティ面を担保しながら様々な場所から、プライバシーや企業の機密情報などに安心してアクセスしながら働けるという事で注目されてきました。

上述したようにメリットが多そうなVPNですが、現在は「脱VPN」という流れが進んでいます。その大きな理由の一つに、キャパシティの問題がありました。

これまでは、ごく一部の社員や、条件が限られた人向けにVPNが準備されていましたが、新型コロナウイルスの影響により、急に社員全員がリモートワークになったというケースも見られるようになりました。

残念ながらVPNサーバーには、一度にアクセスできるデバイス数に制限があり、設備投資が間に合わない事例が頻繁に聞かれる事態となりました。その結果、キャパシティを越えてしまい、「アクセスできない」「接続が遅い」などの声がきかれました。
このような状況から見直しが行われ、現在では脱VPNが求められるようになったのです。

こちらの章ではVPNが抱える具体的な課題について3点紹介します。

① セキュリティの脆弱性

VPNの課題の一つとして、セキュリティリスクがあげられます。2021年には、VPN装置を感染経路にした多くのランサムウェア攻撃が発生しました。その中には、大手企業も含まれています。

VPNのセキュリティは、ユーザーIDとパスワードによる認証が多く、いまやそれは決して高いレベルのセキュリティとは言えません。ユーザーIDとパスワードが流出することで、企業の機密情報等が漏洩する等の大惨事を招いてしまうこともあります。

② キャパシティの限界

2点目は、キャパシティの限界があげられます。近年の「働き方改革」や「新型コロナウイルス」の影響により多くの企業で、リモートワークが推奨されています。

その中で、VPNサーバーには同時にアクセスできるデバイスの数などに制限があることから、多くの人が同時にアクセスすると、通信が遅くなる場合があります。

③ 製品によってはコストが高い

VPNには、使用用途や搭載されている機能によってコストも多種多様です。
多機能だからといって良いというわけではありません。使用しない機能ばかり搭載されているVPN装置を選ぶと、コストが高くなり、ビジネスの財政状況を圧迫する可能性があります。

自社に必要な機能を具体的に洗い出し、必要なネットワークを構築する等の検討が必要です。

ここでは、実際に発生したVPNの脆弱性をついた事件を2つ紹介します。過去の事例を基に、是非セキュリティ対策に役立ててください。

① 石油パイプラインに対するサイバー攻撃

1つ目に紹介する事例は、2020年に発生した石油パイプラインに対するサイバー攻撃です。メディアでも大きく報道されましたが、旧型のVPNは現在のVPNよりセキュリティが弱く、パスワード認証のみでした。そこで、攻撃者はその脆弱性を狙って不正アクセスをしたのです。

犯人は不正アクセスでネットワーク内に入り、ランサムウェアに感染させ、パイプラインを操業停止に追い込み、440万ドルもの身代金を要求しました。

② 大手VPNサーバーを狙った事例

2つ目に紹介する事例は、2019年に起きた大手VPNサーバーを狙った事件です。この事件では、VPNサーバー内で欠陥が見つかったため、修正パッチが提供されました。

しかし、修正パッチを利用しないままVPNを使っていた企業も存在しており、そのような企業のIPアドレス情報が闇サイトで取引されました。

これにより、複数のヨーロッパの製造業がランサムウェアの被害にあいました。

上述したように、課題が見受けられるVPNですが、その代わりとして現在注目されているのが、ゼロトラストに移行することです。ここでは、そのメリットを4点詳しく解説していきます。

① 外部からの攻撃リスクを軽減

ゼロトラストでは、社内ネットワーク、社外ネットワークといった内外の概念がなく、基本的にベンダーが提供するアクセスポイントに繋げることで各サービスを利用します。そのため、外部から見ると社内ネットワークの入り口が全く見えない状態となります。つまり、VPN接続と比べて、外部から攻撃されるリスクを圧倒的に軽減することができます。

② マルウェアが拡散するリスクを抑制する

ゼロトラストは基本的にアプリケーションレベルでのアクセスを行います。そのため、ランサムウェアなどがネットワーク全体に拡散することを防ぐことができます。

一方で、VPNではネットワークレベルでアクセスを行うため、万が一１つのアプリケーションがランサムウェアに感染しただけで、ネットワーク全体に広まってしまう可能性があるのです。

③ 盤石な認証システム

ゼロトラストでは、多要素認証を含む認証・許可のポリシーをアプリケーションレベルで実行します。さらに、一元管理することができるため、利便性も高く、管理者の負担も減ります。

一方、VPNはパスワード認証だけのものが大半です。パスワード認証は決してセキュリティ性が高いとは言えず、特定されやすいパスワードを設定している場合は特に不正アクセスを起こす火種になりえます。

④ 遅延リスクの防止

VPNの大半は社内ネットワークを経由することが多くみられます。その為、外部サービスなどクラウド上に保存されているリソースも社内ネットワークを使ってアクセスしています。多くの社員がVPNからアクセスする為、トラフィックが一点に集まり、通信の遅延が発生しやすい状況に陥りやすくなります。

一方でゼロトラストに基づくZTNAでは、社内ネットワークを経由せず、直接リソースにアクセスできるため、トラフィックの集中や遅延などを予め防ぐことができます。

まとめ

本記事では、VPNの課題や抱えるリスク、その代替として広まりつつあるゼロトラストという考えについて紹介してきました。VPNはセキュリティやキャパシティで課題を抱えており、事例で紹介したように、重大な問題を引き起こしかねません。

ZTNAなどゼロトラストの考え方に基づくソリューションを導入して、盤石なセキュリティ対策を行ってみてはいかがでしょうか。