【ITニュース解説】Triage Order After a Credential-Exposure Advisory: What to Fix First on Fortinet Edge Devices

最近、オーストラリアのサイバーセキュリティセンター（ACSC）から、Fortinet製ファイアウォールやVPNゲートウェイといったネットワーク機器に関する重要なセキュリティ警告が発せられた。この警告は、新しいソフトウェアの脆弱性が見つかったという話ではなく、すでに漏洩してしまった管理者用のIDやパスワード（認証情報）が使われ、これらの機器が攻撃されているという内容だ。ファイアウォールやVPNゲートウェイは、組織のネットワークとインターネットの境界に位置し、外部からの不正アクセスを防ぎ、安全なリモート接続を可能にする重要な役割を担っている。もしこれらの機器の認証情報が攻撃者の手に渡ると、組織のネットワークへの侵入、機器設定の変更、セキュリティ設定の無効化など、甚大な被害につながる可能性がある。

ACSCは、このような事態に対応するため、いくつかの具体的な対策を推奨している。例えば、全ての管理者・VPN認証情報の即時変更、古いファームウェアの脆弱性に対するパッチ適用、管理インターフェースをインターネットから直接アクセスできないように制限すること、外部アクセスにおける多要素認証（MFA）の強制、認証情報の安全なハッシュ方式であるPBKDF2の使用、そして不審なログインや変更がないかのログ監視などが挙げられる。これらの対策はどれも重要であるが、この記事が特に強調しているのは、対策を「どの順序で実行するか」という点である。対策にはそれぞれ効果の即効性、必要な労力、他の対策への依存度などが異なり、不適切な順序で実行すると、努力が無駄になったり、新たなリスクを生み出したりする可能性があるからだ。

最も優先して「すぐに」行うべきは、全ての管理者・VPN認証情報の変更だ。攻撃は漏洩した認証情報を直接利用しているため、パスワードを変更すれば、そのアカウントに対する攻撃経路は一時的に遮断される。これは効果がすぐに現れ、比較的短時間で実行できる最も直接的な対策だからである。しかし、これだけで安心はできない。もし管理画面がインターネットに公開されたままで、多要素認証も導入されていない状態であれば、新しいパスワードもまた攻撃者に狙われる可能性が残る。認証情報の変更は「応急処置」であり、根本的な解決に繋がる他の対策と連携して実施することが不可欠だ。

次に重要なのは、管理インターフェースの制限である。これはFortinet機器の管理画面がインターネットから直接アクセスできないように設定することを指す。多くの攻撃はインターネットに公開された管理インターフェースに対して行われるため、これを外部から見えなくすれば、認証情報を狙った攻撃そのものの経路を遮断できる。ACSCは「必要でない限り」インターネットからアクセス可能にすべきではないと述べており、もしリモート管理が必要な場合は、特定のIPアドレスからのアクセス許可やVPN経由でのアクセスなど、厳格な制限を設けるべきである。この対策はネットワーク構成の変更を伴うため、認証情報変更よりも手間がかかる場合が多いが、長期的なセキュリティ強化に非常に効果的だ。

管理インターフェースの制限と並行して、またはその後に取り組むべきなのが、多要素認証（MFA）の強制だ。MFAは、IDとパスワードだけでなく、スマートフォンに送られるワンタイムパスワードや生体認証など、複数の認証要素を組み合わせることで、たとえ認証情報が漏洩しても不正ログインを極めて困難にする強力な対策である。これはセキュリティ向上に大きく貢献するが、システム設定、ユーザーへの周知、サポート体制の構築など、導入には時間と労力を要する。性急な導入は運用に支障をきたし、かえって導入が撤回される可能性もあるため、計画的に進めることが大切だ。

ファームウェアの更新は、今回の認証情報漏洩の直接的な原因ではないものの、機器全般のセキュリティを強化するための重要な対策である。古いファームウェアには未発見の脆弱性が潜む可能性もあるため、常に最新の状態に保つことが推奨される。しかし、ファームウェア更新は機器の再起動を伴い、一時的なネットワークサービス中断や予期せぬ不具合のリスクがあるため、慎重な計画とテストが必要だ。そのため、これは緊急を要する対策の後に、定期的なメンテナンスサイクルの中で実施することが望ましい。

認証情報をPBKDF2という安全な方式で保存する設定変更は、認証情報変更と合わせて実施すべき技術的な設定だ。パスワード変更後に管理者アカウントに再ログインすることで適用される。一方、認証やアクセスログの継続的なレビューは、初期段階から常に実施すべき検出対策である。これは、予防的な対策がどれだけ効果を発揮しているか、あるいは攻撃者がすでに侵入していないかを検出するための「目」の役割を果たす。

自身の組織がどのような状況にあるかを知ることも不可欠だ。ACSCの警告では、特定の被害機器のリストは提供されていないため、各組織は自身が使用しているFortinet機器がインターネットに公開されているかどうかを確認する必要がある。ZoomEyeのようなインターネット上の公開情報を収集するツールは、自分の管理するFortinet機器が外部からどのように見えているかを把握するのに役立つだろう。これは、すでに攻撃を受けているかどうかの検出ツールではなく、あくまで外部からの「可視性」を確認するためのツールであることを理解しておくべきだ。今回のニュースは、特定の脆弱性への対処だけでなく、基本的なセキュリティ対策を体系的に、かつ優先順位を付けて実施することの重要性を示している。システムエンジニアを目指す皆さんにとって、このようなセキュリティ警告が出た際に、リスクを正しく評価し、どのような順序で対策を実行すべきかを考える良い学びとなるだろう。