ネットワークセキュリティ対策の第一法則「道（ネットワーク）を制す者が攻撃を制する」

今回のテーマである「道（ネットワーク）を制する者が、攻撃を制する」。まずはこの言葉の意味からお伝えします。

サイバー攻撃が組織内で拡大してしまうのは、攻撃者が特別に強力な力を持っているからではありません。単に攻撃者が「通れる道」が存在するからです。どんなに堅牢なシステムを導入していても、全ての通信ポートが開けっ放しであれば、攻撃を防ぎきることはできません。

ネットワークの本質とは、やみくもに通信を広げるのではなく、本当に通すべき通信だけを通すことにあります。この「アクセス制御」こそ、セキュリティ対策の中で最も誤解されがちでありながら、最も重要で効果的な防御レイヤーなのです。

基本は単純な話で、道を開ければ攻撃は広がり、道を閉じれば攻撃は止まります。だからこそ、ネットワークという「道」を適切に制御できる者こそが、サイバー攻撃を制することができるのです。

実際に起きたインシデント事例をいくつかご紹介しながら、ネットワーク防御の重要性を見ていきましょう。

事例1：大阪急性期・総合医療センターのランサムウェア事案（2022年）

この事案では、給食事業者のデータセンターに設置されていた保守用のVPN機器から攻撃者が侵入しました。そして、そのデータセンターと病院とを接続していた閉域網を通じて、病院内のサーバーが攻撃を受け、院内の多数の機器がランサムウェアに感染しました。

調査報告書で注目すべきは、侵害されたサーバーAから別のサーバーBへの通信経路です。フォレンジック調査の結果、サーバーAからサーバーBへ大量のRDP通信が行われていたことが判明しました。

◆フォレンジックとは

コンピュータやネットワーク機器に残されたログなどの電子的記録を収集・分析し、不正アクセスの原因や被害状況などを法的な証拠として明らかにする調査手法のことである。

◆RDPとは

「Remote Desktop Protocol」の略。Windowsに標準搭載されている、ネットワーク経由で他のコンピュータを遠隔操作するためのプロトコル（通信規約）である。正規の保守目的で広く利用されるが、攻撃者による侵入後の内部活動（ラテラルムーブメント）にも頻繁に悪用される。

このサーバー間にはファイアウォールが設置されていましたが、RDPの通信ポートは開いたままでした。「本当にこの通信は必要なのか」という確認がされないまま、長年放置されていたのです。
実は、この給食事業者からは他の事業者へも攻撃が試みられていましたが、他の事業者はRDPを閉じていたため被害を免れた、という事実も報告書には記されています。まさに「道の開け閉め」が明暗を分けた典型的な例です。

事例2：小島プレス工業のランサムウェア事案（2022年）

トヨタ自動車の系列部品メーカーである小島プレス工業で発生した事案の報告書にも、同様の構図が見られます。侵害経路は、子会社が特定の外部企業との接続に利用していたリモート保守機器の脆弱性でした。攻撃者はまず子会社のネットワークに侵入し、そこから接続経路を辿って親会社である小島プレス工業のネットワークへと侵入したのです。

この事例で印象的だったのは、インシデントを察知した小島プレス工業が即座に外部との接続を全て遮断した点です。これは、自社の被害拡大を防ぐと同時に、「自分たちが踏み台となって他社へ被害を広げないように」という配慮を優先した素晴らしい判断だったと言えます。

ここまで事例を見てきて皆様に気づいてほしいのは、どの脆弱性を悪用されたかという「侵入ポイント」よりも、そもそもどの組織も基本的なネットワーク防御を実践できていないという共通の課題がある、ということです。

従来のネットワークセキュリティのイメージを城に例えるなら、次のような状態です。

城門には警備員が立っているものの、城内はだだっ広い広場で監視もなく、誰でも自由に歩き回れる。おまけに、隣の城とは警備されていない秘密の通路で繋がっている――。

現実の城ではあり得ないことですが、サイバーの世界では、かつてはこの「境界線型防御」モデルでも大きな問題は起きませんでした。しかし、時代は大きく変わりました。

なぜ、もはや従来型の防御では通用しなくなったのか。それは、私たち「防御側」と「攻撃者側」の双方に大きな変化があったからです。

私たち（防御側）の変化：DXによる攻撃面の拡大

DXや働き方改革の推進により、リモートアクセスやクラウド活用が当たり前になりました。これは、ビジネスを成長させる上で不可欠ですが、同時に攻撃者が侵入できる「入口」を増やすことにも繋がります。

歴史に例えるなら、かつての城は防御力に優れた「山城」でした。しかし、城下町との連携や統治力を高めるため、城は次第にリスクの高い「平地」へと移っていきます。これが「平城」です。平地に城を築くなら、堀を深くし、城内の通路を複雑にするなど、平地のリスクに見合った新たな防御の仕組みが必要になります。

私たちも、DXにより平地に降りてきた今、ビジネスの利便性と両立する新たな防御の考え方を導入しなければならないのです。

攻撃者側の変化：攻撃の産業化と分業モデル

今や、インターネットに接続されたシステムや機器に弱点があれば、即座に、そして漏れなく発見される時代です。

情報通信研究機構（NICT）の観測によれば、皆さんの持つグローバルIPアドレスには、1分あたり平均4.6パケットもの探索通信が降り注いでいます。これは、いわば自動で脆弱性の“健康診断”をされているようなものです。

そして、見つかった弱点は闇市場で売買され、それを購入して攻撃を実行する者がいます。それが、RaaS（ランサムウェア・アズ・ア・サービス）と呼ばれる、高度に分業化された攻撃エコシステムです。

◆RaaSとは

「Ransomware as a Service」の略。ランサムウェアの開発者が、攻撃の実行者（アフィリエイト）に対してマルウェアやインフラをサービスとして提供し、得られた身代金の一部を報酬として受け取るビジネスモデルである。

このモデルでは、ランサムウェアを開発する専門家、システムの脆弱性を探して売る不正アクセス仲介人、そして実際に攻撃を実行するアフィリエイトが分業することで、効率的かつ大規模に攻撃を行えるようになっています。

こうしたRaaSの台頭により、弱点のあるシステムはもれなく発見され、もれなく攻撃を受ける時代になってしまったのです。

DXによって攻撃面は拡大し、サプライチェーンを通じて自社がコントロールできない外部組織からも侵入される可能性がある。そして、攻撃者は産業化し、弱点を必ず見つけ出してくる。

こうした現実を踏まえるならば、もはや侵入を100%防ぐことは不可能であり、私たちは入られることを前提とした防御に考え方を変えなければなりません。

目指すべき姿は、先ほどの平城のイメージです。

城門（境界線）を突破されたとしても、城内は区画化され、重要な施設ごとに追加の防御策が施されている。至る所に監視の目が光っており、不審な動きはすぐに検知できる。そして、隣の城（取引先や子会社）のことは、仲間であっても信用せず、厳格な関所を設ける。

このような、多層的な防御と監視の仕組みをネットワーク上に構築していく必要があります。

もし、こうした内部対策が不十分な状態でランサムウェアの侵入を許してしまったら、どうなるでしょうか。

インシデントを察知した時点では、いくつかのサーバーや端末で異常が発生している、という断片的な情報しかありません。どこから侵入されたのか、他に潜伏しているマルウェアはないのか、全く分からない状態です。

この状況で被害の拡大を防ぐために企業が取る手段は、ネットワークの完全な遮断、すなわち「封じ込め」です。2025年に大きなニュースとなったアサヒホールディングスの事案でも、データセンター丸ごとの隔離措置を講じたことが発表されています。

しかし封じ込めには「全てのシステムが停止する」という強烈な副作用が伴います。被害を受けていない健全なシステムであっても、動かすことができなくなるのです。そこから、一つひとつのシステムが本当に安全か、バックアップは使えるか、気の遠くなるような調査と復旧作業が始まります。

侵入経路が特定できなければ、重要なシステムがたとえ無傷だと分かっても、再びネットワークに接続することはできません。VPNのログは残っておらず、専用線には監視の仕組みすらない…というのが、多くの組織の現実ではないでしょうか。

では、こうした最悪の事態を避けるために、私たちは具体的に何をすべきなのでしょうか。キーワードは「ネットワークセグメンテーション」です。

これは、ネットワークを機能や重要度に応じて小さなセグメント（区画）に分割し、セグメント間の通信を厳しく制御する考え方です。

特に基幹システムのような重要なシステムは独立したセグメントに配置し、周りが被害を受けても単独で稼働し続けられるように設計することが理想です。

海外拠点やグループ会社、取引先からの通信は決して信用せず、業務上本当に必要な通信だけを許可リスト（アローリスト）方式で許可します。

この考え方をさらに推し進めたのが「マイクロセグメンテーション」です。これは、ネットワーク単位ではなくサーバーやアプリケーション単位で通信を制御する、より厳密な方法です。

物理的な機器で実現するのが難しければ、ホストベースファイアウォールやセキュリティエージェントをサーバーに導入することで実現することも可能です。

もちろん、こうしたネットワーク対策と並行して、脆弱性管理やID管理、多要素認証の導入といった基本的な対策を徹底することも極めて重要です。閉域網の中は安全だという「神話」は、もう過去のものです。

あらためて結論をお伝えします。攻撃が広がるのは、攻撃者が強いからではなく通れる道があるからです。アクセス制御は、セキュリティの中で最も重要で効果のある要素であり、道を開ければ攻撃は広がり、道を閉じれば攻撃は止まるというシンプルな第一法則をぜひ覚えておいてください。

「道＝ネットワークを制する者が、攻撃を制する」この言葉を、皆様のセキュリティ対策を見直すきっかけとしていただければ幸いです。ご清聴ありがとうございました。