エンドユーザー、組織、販売代理店、プロバイダーの皆様から、技術インフラのレベルでご自身の設備のセキュリティについて、ごく素朴にご相談をいただくことがよくあります。一般的な考え方では外部からの攻撃に備えることに目が向きがちですが、接続ポイントの外側からの攻撃と同じくらい、自分自身のローカルエリアネットワークの中に潜むリスクにも用心しなければならず、ローカルエリアネットワークからの攻撃を防ぐことは不可欠です。
「家の中の猫」？「敵と眠っている」？ 「こんな友がいれば敵はいらない」？
これらは、加害者が私たちが思っていたよりもずっと近くにいることを示すために世界中で使われていることわざや言い回しの一部です。今回の記事では、ZARZAのエンジニアたちが、ローカルエリアネットワークからの攻撃を防ぐためのいくつかの方法と、それにまつわる考察を共有します。
ローカルエリアネットワークからの攻撃を防ぐことは、本当に必要なのでしょうか？
多くの場面でその通りです。ただし、パソコンやノートパソコン、デスクトップ機そのもののセキュリティに立ち入る前に、ぜひおすすめしたいのは、ご自身のLAN接続について、そしてプライベートIPアドレスを受け取っている設定について、重要な情報をご自身で把握しておくことです。それは、ご自分の接続から何が行われた・行われなかったという疑いを晴らす際に役立ちます。これはエンドユーザーの場合の話であり、組織であれば、多額の資金を失っている可能性があるため、じっくりと読み進め、ローカルエリアネットワークからの攻撃を防ぐ方法についてさらに学ぶべきです。
今日、ねたみや悪意ある行いは、私たちの社会にも、そして職場という身近な環境にも深く根を下ろしています。だからこそ、ローカルエリアネットワークからの攻撃を防ぐことは日常的なテーマなのです。
インターネット接続を他の一人、あるいは複数の利用者と共有しているなら、あなたは脆弱です。
ZARZAのエンジニアの皆さん、私には何ができますか？
基本的には、もっとも基本的な事柄を掌握するところから始めなければなりません。以下では、ローカルエリアネットワークからの攻撃を防ぐために役立つ基本的な推奨事項とあわせて、その内容を詳しくご説明します。
- MACアドレス — ネットワークカードのアドレス。
お使いのコンピューターにRJ-45コネクタ用のカードや無線アクセス機能があれば、その時点でそのコンピューターには少なくとも2つのMAC（media access control）が存在します。これは基本的に16進数12桁の文字列の組み合わせです。これらの番号は「固有」であり、各コンピューターで自動生成されます。Bluetoothがあれば、リストにもう1つ加わります。ご自身のMACアドレスを知っていれば、ネットワーク管理者に対して「私のコンピューターが使っているIPについて、DHCP予約または固定の設定をお願いします」と依頼できます。そうすれば接続のたびに同じIPアドレスを受け取ることになり、あるログの中で、ある時点で職場の同僚があなたと同じIPを受け取り、不適切な行為が行われた際にそれがあなたの作業端末に帰せられてしまう事態を避けられます。ネットワーク管理者が協力的な方であれば、あるいは設定を担当しているのがZARZAのエンジニアであれば、可能ならご自身のIPアドレスをDHCPプールの外に置くよう依頼してください。そうすることで、ローカルエリアネットワークからの攻撃を防ぐうえで、さらに一段の安心が加わります。 - IPアドレス — ローカルネットワークにおけるあなたのローカルな身分証
特定の予約、またはコンピューター側での固定設定ができたら、ローカルネットワークに接続した際に本来受け取るべきIPアドレスを実際に受け取っているかどうか、責任をもって折に触れて確認し、ローカルエリアネットワークからの攻撃を防ぐようにしてください。
固有のIPアドレスを持ち、コンピューターに適切な予約が設定されていれば、手違いによって、あるいは何らかの理由で、誰かがあなたのIPを使い、何らかの事件をあなたのせいにするという事態を、より安心して避けられます。 - vLAN — すべてがそう単純ではないから…
少し検索すれば、MACアドレスがいくつかの簡単な方法で複製できること、そして前述の対策を講じていても誰かがあなたのIPアドレスを受け取り得ることが分かるでしょう… これは、MACの複製が他の種類の設定にとって重要な手段であるためですが、いつものように悪い者たちもそれを知っています。そこで当社のエンジニアは、可能な範囲で作業端末を複数のvLAN、つまり同一LAN内の小さなプライベートネットワークに分離することをおすすめします。こうしておけば、端末が普段は同時に稼働している場合、攻撃者があなたのコンピューターの稼働中にMACの複製を試みるとエラーが発生し、適切なセキュリティ設定のもとであれば、ネットワーク管理者や信頼するZARZAのエンジニアがそれを検知できます。
さらにプライベートネットワークは、レイヤー2を分離し、それを別のネットワークで配布することによってMACの複製自体を不可能にし、MACの複製があなたのコンピューターに影響を及ぼすことを防げます。
すべての助言に従うのは、心配しすぎではありませんか？
それは状況によります。とはいえ、コロンビアにいるZARZAのエンジニアの一人のエピソードをご紹介しますので、先ほどの問いをご自身に投げかけ、なぜローカルエリアネットワークからの攻撃を防ぐことが決定的に重要なのかを理解してみてください…
お読みいただいたとおり、これは当社の新しい顧客の一人が、知らないうちにローカルエリアネットワークからの攻撃を防げていなかった被害者となっていた事例です。それは金銭的な損失をもたらし、本人がそれを知ることすらないまま、恒久的で莫大な損失につながりかねないものでした。
このケースでは、ZARZAのエンジニアが問題を検知し、それを分離し、さらに事件の発生源を特定する手段まで提供しました。
ローカルエリアネットワークからの攻撃を防ぐために、ほかに何ができるでしょうか？
もっとも大切なのは、助言してくれる専門家を信頼すること、そしてその専門家ができればエンジニアであることです。残念ながら今日では、インターネット経由で機器や情報にアクセスできることが、業界に入ったばかりで、ローカルエリアネットワークからの攻撃を防ぐための訓練も経験も持たない技術者や人物に信頼を委ねてしまう顧客を危険にさらしています。
私たちはお客様のお金の重みを知っており、それを守ることに専念しています。だからこそ当社のエンジニアは、ローカルエリアネットワークからの攻撃を防ぐという点で、業界でもっとも訓練され、もっとも熟練した人材なのです。
このほかにも推奨事項はいくつも考えられます。たとえば、訓練を受けた管理者がいない場合には、独立したルーターとVPNで接続に介入し、ご自身で接続を守ることもできます。こちらをクリックしてご相談いただくか、信頼するZARZAのエンジニアにすぐにご連絡いただき、ローカルエリアネットワークからの攻撃を防ぎましょう。
メモを残す