脱VPNとは？
VPNが抱える課題やゼロトラストについて徹底解説！

VPNとはどのような仕組か

そもそも「VPN」は「Virtual Private Network」の略語で、日本語に直すと「仮想専門線」という意味です。VPNは、カプセル化と呼ばれる処理を行う事で、仮想的なトンネルを形成して通信する仕組みのことです。

VPNでは、万一悪意を持った人が情報を盗み見ようしても、外からでは簡単に情報が分からないように暗号化を行う事で、通信のセキュリティ面を担保しています。

リモートワークが普及していく中で、VPNを利用すればセキュリティ面を担保しながら様々な場所から、プライバシーや企業の機密情報などに安心してアクセスしながら働けるという事で注目されてきました。

脱VPNが求められるようになった背景

上述したようなメリットが多そうなVPNですが、現在は「脱VPN」という流れが進んでいます。脱VPNが求められるようになった大きな理由の一つに、キャパシティの問題がありました。

これまでは、ごく一部の社員や、条件が限られた人向けにVPNが準備されていましたが、新型コロナウイルスにより、いきなり社員全員がリモートワークになったというケースさえ少なくない状況となりました。残念ながらVPNサーバーには、一度にアクセスできるデバイス数に制限があり、設備投資が間に合わない事例が頻繁に聞かれる事態となってしまいました。社員全員がリモートワークになった会社などでは、社外アクセス用のVPNサーバーのキャパシティを越えてしまい、結果として「アクセスできない」「接続が遅い」などの声がきかれました。
このような状況からVPNに対して見直しが行われ、逆に現在では脱VPNが求められるようになったのです。

VPNが抱える課題

こちらの章ではVPNが抱える具体的な課題について3点紹介していきます。

① セキュリティの脆弱性

VPNの課題の一つとして、セキュリティの脆弱性があげられます。2021年には、VPN装置を感染経路にした多くのランサムウェア攻撃が多発しました。その中には、大手企業のVPN装置も含まれています。

VPNのセキュリティは、ユーザーIDとパスワードによる認証が多く、いまやそれは決して高いレベルのセキュリティとは言えません。ユーザーIDとパスワードが流出することで、企業の機密情報等が漏洩する等の大惨事を招いてしまうのです。
大手企業のVPN装置からも、感染してしまう例もあり、いまやVPNのセキュリティレベルは決して高いとは言えません。

② キャパシティの限界

VPNの課題として、上述しましたがキャパシティの限界があげられます。近年の「働き方改革」や「新型コロナウイルス」の影響により多くの企業で、リモートワークが推奨されています。

その中で、VPNサーバーには同時にアクセスできるデバイスの数などに制限があることから、多くの人が同時にアクセスすると、通信が遅くなってしまいます。

③ 製品によってはコストが高い

VPNには、使用用途や搭載されている機能によってコストも多種多様です。
多機能だからといって良いというわけではありません。使用しない機能ばかり搭載されているVPN装置を選ぶと、コストばかり高くなり、ビジネスの財政状況を圧迫する可能性があります。

自社に必要な機能を具体的に洗い出し、必要なネットワーク構造を把握する等の対策が必要です。

VPNで実際に発生した事件

ここでは、実際に発生したVPNの脆弱性をついた事件を2つ紹介します。過去の事例を基に、是非セキュリティ対策に役立ててください。

① 石油パイプラインに対するサイバー攻撃

1つ目に紹介する事例は、2020年に発生した石油パイプラインに対するサイバー攻撃です。メディアでも大きく報道されましたが、旧型のVPNは現在のVPNよりセキュリティが弱く、パスワード認証のみでした。そこで、攻撃者はその脆弱性を狙って不正アクセスをしたのです。

犯人は不正アクセスでネットワーク内に入り、ランサムウェアに感染させ、パイプラインを操業停止に追い込み、440万ドルもの身代金を要求した事件でした。

やはりVPNのセキュリティが決して強いとは言えず、その脆弱性が狙われた事例となりました。

② 大手VPNサーバーを狙った事例

2つ目に紹介する事例は、2019年に起きた大手VPNサーバーを狙った事件です。この事件では、VPNサーバー内で欠陥が見つかったため、修正パッチが提供されました。

しかし、修正パッチを利用しないままVPNを使っていた企業も存在しており、そのような企業のIPアドレス情報が闇サイトで取引された事件でした。

これにより、複数のヨーロッパの製造業がランサムウェアの被害にあったのでした。
この事例も、VPNの弱点が露呈したことにより発生した事件でした。

ゼロトラストに移行するメリット

上述したように、セキュリティ面に課題のあるVPNですが、その代わりとして現在注目されているのが、ゼロトラストに移行することです。ここでは、そのメリットを4点詳しく解説していきます。

① 外部からの攻撃リスクを軽減

ゼロトラストでは、基本的にベンダーが提供するアクセスポイントに繋げることで各サービスを利用します。その為、外部から見ると社内ネットワークの入り口が全く見えない状態となります。つまり、VPNと比べて、外部から攻撃されるリスクを圧倒的に軽減することができます。

② マルウェアが拡散するリスクを抑制する

ゼロトラストは基本的にアプリケーションレベルでのアクセスを行います。その為、ランサムウェアなどがネットワーク全体に拡散することを防ぐことができます。

一方で、VPNではネットワークレベルでアクセスを行うため、万が一１つのアプリケーションがランサムウェアに感染しただけで、ネットワーク全体に広まってしまう可能性があるのです。

③ 盤石な認証システム

ゼロトラストでは、多要素認証を含む認証・許可のポリシーをアプリケーションレベルで実行します。更に一元管理することができる為、利便性も高く、管理者の負担も減ります。

一方、VPNはパスワード認証だけのものが大半です。パスワード認証は決してセキュリティ性が高いとは言えず、特定されやすいパスワードを設定している場合は特に不正アクセスを起こす火種になりえます。

④ 遅延リスクの防止

VPNの大半は社内ネットワークを経由します。その為、外部サービスなどクラウド上に保存されているリソースも社内ネットワークを使ってアクセスしています。多くの社員がVPNからアクセスする為、トラフィックが一点に集まり、通信の遅延が発生しやすい状況に陥りやすくなります。

一方でゼロトラストに基づくZTNAでは、社内ネットワークを経由せず、直接リソースにアクセスできるため、トラフィックの集中や遅延などを予め防ぐことができます。

まとめ

本記事では、VPNの課題や抱えるリスク、その代替として広まりつつあるゼロトラストという考えについて紹介してきました。VPNはセキュリティやキャパシティで課題を抱えており、事例で紹介したように、重大な問題を引き起こしかねません。

是非ZTNAなどゼロトラストの考え方に基づくソリューションを導入して、盤石なセキュリティ対策を行ってみてはいかがでしょうか。