【ITニュース解説】Fortinet、セキュリティアドバイザリ2件をリリース

ネットワークセキュリティ分野の主要企業であるFortinet社が、自社製品に関する2件のセキュリティアドバイザリを公開した。これは、同社の製品にセキュリティ上の弱点、すなわち「脆弱性」が発見されたことを公式に知らせる重要な通知である。システムエンジニアを目指す上で、このようなメーカーからの発表を正しく理解し、迅速に対応するスキルは不可欠となる。Fortinet社の代表的な製品である「FortiGate」は、不正な通信を遮断するファイアウォールや、安全な通信経路を確保するVPNといった機能を統合したセキュリティ機器であり、世界中の多くの企業でネットワークの防御を担っている。社会の重要インフラとも言える機器であるため、ここに脆弱性が存在すると、その影響は非常に広範囲に及ぶ可能性がある。

今回公開された2件のうち、1つは特に深刻度が高い「クリティカル（緊急）」と評価される脆弱性である。この脆弱性は、「リモートコード実行（Remote Code Execution, RCE）」を許してしまうものである。リモートコード実行とは、攻撃者がインターネットなどのネットワークを経由して、対象となる機器上で任意のプログラムを遠隔から実行できてしまう、極めて危険な状態を指す。もしこの脆弱性を悪用された場合、攻撃者は企業のネットワークの入口であるセキュリティ機器を乗っ取り、そこを足がかりとして保護されているはずの内部ネットワークへ侵入することが可能になる。具体的には、社内に保管されている顧客情報や技術情報といった機密データを盗み出したり、データを改ざん・破壊したり、あるいはシステム全体を人質にとって身代金を要求するランサムウェアに感染させたりするなど、事業の継続を脅かすほどの甚大な被害につながる恐れがある。今回の脆弱性は、特に外部から社内ネットワークへ安全に接続するための「SSL-VPN」機能に関連していると報告されている。SSL-VPNは、テレワークの普及に伴い、多くの企業で従業員が社外から業務を行う際に不可欠な機能として利用されている。その外部との接続口となる機能に深刻な欠陥が存在するということは、いわば企業の堅牢な防御壁に大きな穴が開いていることに等しい。

もう1つの脆弱性は、重要度が「中程度」と評価される「権限昇格」に関するものである。権限昇格とは、本来は閲覧や一部の操作しか許可されていない一般ユーザーのアカウントが、システムの不具合を利用して、システム全体を管理できる管理者（特権ユーザー）の権限を不正に取得できてしまう脆弱性のことである。管理者権限を奪われると、攻撃者はシステムの設定を自由に変更したり、他のユーザーの通信内容を盗み見たり、新たな不正アカウントを作成して潜伏の足場を築いたりするなど、システム内で意のままに活動することが可能となる。このタイプの脆弱性は、単独で外部からの侵入を直接引き起こすものではないことが多い。しかし、別の脆弱性を利用してシステム内部に侵入した攻撃者が、その後の活動範囲を広げ、より深刻な被害を引き起こすための足がかりとして悪用されるケースが一般的である。例えば、最初は低い権限で侵入した攻撃者が、この権限昇格の脆弱性を突くことでシステムを完全に掌握し、長期にわたって潜伏しながら情報を盗み続けるといった事態も想定される。

Fortinetは、これらの脆弱性を修正するためのソフトウェア更新プログラム、いわゆる「パッチ」をすでにリリースしている。システムを管理するエンジニアが行うべき最も重要な対策は、自社で利用している製品のバージョンを確認し、影響を受ける場合は可及的速やかにこのパッチを適用することである。脆弱性情報が公になると、その情報を悪用しようとする攻撃者も一斉に活動を開始する。パッチが公開されてからシステムに適用されるまでの時間は、攻撃者にとって格好の攻撃チャンスとなるため、対応の遅れは致命的な結果を招きかねない。また、何らかの理由ですぐにパッチを適用できない場合に備え、メーカーは一時的な回避策（ワークアラウンド）を提示することもある。これは、問題のある機能を一時的に無効化するなどして、攻撃を受けるリスクを低減させるための応急処置である。

今回の発表は、特定の製品に限った話ではない。あらゆるソフトウェアやハードウェアには、未知の脆弱性が存在する可能性があるという前提に立つ必要がある。システムエンジニアの役割は、単にシステムを構築して動かすことだけではない。日々公開されるこのようなセキュリティ情報を常に監視し、その内容を正確に理解し、自らが管理するシステムへの影響を評価し、そして計画的かつ迅速に対策を講じるという、一連の運用・保守業務が極めて重要となる。システムの安定稼働と安全性を維持するためには、こうした地道で継続的な努力が不可欠であり、セキュリティに関する知識と意識の高さが、信頼されるエンジニアになるための重要な要素と言えるだろう。