現在の企業はVPN（仮想プライベートネットワーク）に依存できなくなっている
トピック: ネットワークおよびアプリケーションセキュリティ、リモートワーク
2020年11月11日、Sinan Eren
企業は、ドキュメント、ファイル、およびアプリケーションにリモートからアクセスするために、VPNに依存しているでしょうか。残念ながら、従来のVPN製品は、現在のグローバル企業のセキュリティ要件を満たしていません。多くの従業員は、自分のデバイスとデータを保護するために、企業が提供および承認していない商用VPNを積極的にインストールしている場合が多いです。しかし、残念ながら、このような善意の努力は、何もしない場合より、はるかに大きなセキュリティリスクを企業に及ぼす可能性があります。複数の研究者はVPNが保証されたセキュリティを実装していない場合が非常に多いことを発見しました。62社の商用VPNプロバイダを評価した結果、多くのVPNが、ユーザトラフィックを漏洩し、他のサーバにトラフィックをプロキシする可能性があり、ユーザが知らない国にあるサーバにデータをホスティングしているため、物理的な場所を不正確に表示する場合が多いことがわかりました。
別の研究者グループはパロアルトネットワークス、Pulse Secure、フォーティネットなどの有名企業のVPNの脆弱性を発見しました。このようなVPNでは、グローバル企業ネットワークが侵入され、貴重なデータが簡単に盗み出される可能性があります。VPNが不十分である理由を分析しましょう。
VPNは企業のデバイスのセキュリティおよびコンプライアンス要件を適用していない
いずれのデバイスも、企業データにアクセスする場合は、企業のネットワーク境界の外側のマルウェアに感染し、ネットワークを攻撃にさらす可能性があります。リソースにアクセスする従業員とパートナーのデバイスのログイン前のセキュリティ状態を評価できるでしょうか。1台の侵害されたデバイスがネットワークとデータに大規模な損害を及ぼす可能性があります。
VPNはネットワークを危険にさらす
VPNは、目的のリソースへのアクセスだけでなく、企業ネットワーク全体へのアクセスも提供する可能性があります。このような場合、誰がどのようなリソースにアクセスできるかを可視化することは困難です。企業は、攻撃者に「デジタル王国の鍵」を意図せずに渡す可能性があり、重大な侵害リスクを及ぼします。
VPNは属性ベースのアクセスをサポートしていない
役割ベースのアクセスは、セキュリティ部門にとって重要なツールですが、信頼を保証するには不十分です。VPNは、属性ベースのアクセスをサポートしていないため、セキュアなアクセスとリソース保護を確保できるように、ユーザID、およびデバイスのセキュリティ状態と場所に関する重要な情報を提供することはできません。
VPNは速度が不十分
VPNでは、継続的な接続が実現しないため、接続が不安定になり、従業員の生産性が妨げられる可能性があります。VPNは、継続的な切断に悩まされており、アプリケーションレイヤのタイムアウトを余儀なくされているため、従業員はVPNの再接続とアプリケーションの再読み込みを待機する時間を浪費し、企業はコストと時間を損失しています。
複数のVPNの切り替えが複雑
従来のVPNを使用する場合、マルチサイト環境にアクセスするには、VPN設定を切り替える必要があります。しかし、ほとんどのVPNがサポートしていないとは言え、アクセスプロファイルを切り替えずに複数のインフラストラクチャサイトに接続する方が生産的で効率的です。
VPNはデバイスを保護しない
VPNは、企業にとって最も重大な攻撃である認証情報の盗み出し、フィッシング、ドライブバイダウンロード、悪意のある広告など、Webベースの攻撃を防止しません。侵害されたデバイスを使用する従業員とパートナーは、警告を発することなく、VPNを使用して、企業ネットワークにアクセスできます。
VPNは、多くのテクノロジと同様、セキュアなアクセスの進化で重要な役割を果たしました。しかし、スタートアップ企業と大企業のグローバルエコシステムの接続およびセキュリティ要件には、ネットワークに接続する部門、パートナー、および企業をサポートするためのさらに強力なセキュリティが必要です。
原文はこちら：
Modern enterprises cannot rely on VPNs anymore
November 11, 2020 Sinan Eren
https://blog.barracuda.com/2020/11/11/modern-enterprises-cannot-rely-on-vpns-anymore/
