【ITニュース解説】Surge in networks scans targeting Cisco ASA devices raise concerns

インターネットに接続された特定のネットワーク機器を標的とした、大規模な調査活動が観測され、セキュリティ専門家の間で懸念が広がっている。標的となっているのは、シスコシステムズ社が開発した「Cisco ASA」と呼ばれるセキュリティ製品である。この動きは、まだ公に知られていない未知の弱点、いわゆる「ゼロデイ脆弱性」を利用したサイバー攻撃の前兆である可能性が指摘されている。

まず、Cisco ASAがどのような役割を担う機器なのかを理解する必要がある。Cisco ASAは、企業などの組織が外部のインターネットから自社のネットワークを保護するために導入するセキュリティアプライアンスの一種である。主な機能として「ファイアウォール」と「VPN」の二つが挙げられる。ファイアウォールは、日本語で「防火壁」と訳される通り、外部からの不正な通信やサイバー攻撃を防ぐ壁としての役割を持つ。あらかじめ定められたルールに基づき、安全な通信だけを通過させ、危険な通信を遮断することで、社内ネットワークの安全を維持する。一方、VPN（Virtual Private Network）は、インターネット上に仮想的な専用線を構築し、通信内容を暗号化することで安全な通信経路を確保する技術である。特に、従業員が自宅や外出先から社内ネットワークにアクセスするテレワーク環境において、情報の盗聴や改ざんを防ぐために不可欠な機能となっている。このように、Cisco ASAは企業のネットワークセキュリティの根幹を支える重要な機器であり、万が一ここに問題が発生すれば、組織全体に深刻な影響を及ぼす可能性があるため、攻撃者の格好の標的となりやすい。

現在、問題となっているのは、このCisco ASAデバイスを対象とした大規模な「ネットワークスキャン」である。ネットワークスキャンとは、特定のIPアドレス範囲に対して機械的に信号を送り、どのような機器が稼働しているか、どのようなサービスが動いているか、そしてどのような弱点を持っているかを調査する行為を指す。攻撃者は、本格的な攻撃を開始する前に、このスキャンによって攻撃可能な対象をリストアップする。今回観測されているスキャンでは、Cisco ASAデバイスが持つ特定のWebインターフェースのパス、具体的には「/CSCOSSLC/config-auth」というURLに対してアクセスを試みるリクエストが、世界中の多数のIPアドレスから送信されていることが確認されている。これは、特定の機能や設定に関連する部分に、何らかの弱点が存在するかどうかを探るための偵察活動であると推測される。

このスキャン活動が特に深刻な懸念を呼んでいる理由は、まだメーカーであるシスコ社自身も認識しておらず、修正プログラムも提供されていない「ゼロデイ脆弱性」の悪用準備である可能性が高いからだ。通常、ソフトウェアに脆弱性が発見されると、開発元が修正プログラム、通称「パッチ」を公開し、利用者はそれを適用することで安全を確保する。しかし、ゼロデイ脆弱性の場合、攻撃者だけがその存在を知っており、修正プログラムが存在しない「無防備な期間」に攻撃が行われる。これを「ゼロデイ攻撃」と呼び、防御が極めて困難であるため、非常に大きな脅威とされる。攻撃者は、ゼロデイ脆弱性を見つけ出すと、パッチが公開されて世間に知れ渡る前に、スキャン活動によって脆弱なデバイスを洗い出し、攻撃対象のリストを作成する。そして、準備が整った段階で一斉に攻撃を仕掛け、システムへの侵入や情報の窃取、あるいはランサムウェアの感染といった甚大な被害を引き起こす。今回のCisco ASAを標的とした大規模スキャンは、まさにこの攻撃の準備段階である可能性があり、セキュリティ研究者たちは水面下で大規模な攻撃計画が進行しているのではないかと警戒を強めているのである。

過去にも、Cisco ASAに発見された脆弱性が、世界中の多くの企業に対するサイバー攻撃に悪用された事例は複数存在する。それらの事例では、パッチの適用が遅れた組織が大きな被害を受けた。現時点では、シスコ社から今回のスキャン活動に関連する新たな脆弱性の公式な発表はない。しかし、このような攻撃の前兆が見られる以上、システムを管理するエンジニアは最大限の警戒と準備をしておく必要がある。具体的な対策としては、まず自組織で運用しているCisco ASAデバイスのアクセスログを注意深く監視し、不審なIPアドレスから「/CSCOSSLC/config-auth」へのアクセスが試行されていないかを確認することが挙げられる。もし不審なアクセスを検知した場合は、そのIPアドレスからの通信を遮断するなどの一時的な対策を講じることが推奨される。そして最も重要なのは、シスコ社から発表されるセキュリティ情報を常に注視し、関連する脆弱性の情報や修正プログラムが公開された際には、迅速かつ確実に適用することである。今回の事象は、サイバー攻撃が単発的に行われるのではなく、偵察、準備、実行という段階を経て周到に計画されていることを示している。システムエンジニアを目指す上で、このような攻撃者の動向を理解し、ログの監視や迅速なパッチ適用といった日々の地道なセキュリティ運用がいかに重要であるかを再認識するべき事例と言えるだろう。