VPNとは？ — インターネット上に仮想の専用線を作る技術
VPN（Virtual Private Network）は、公衆インターネット上に暗号化されたトンネルを作り、安全に社内ネットワークへ接続する技術です。
SSL-VPN vs IPsec VPN
| 項目 | SSL-VPN | IPsec VPN |
|---|---|---|
| 使用プロトコル | TLS/HTTPS（ポート443） | IKE（UDP/500）+ ESP/AH |
| 導入の容易さ | ブラウザ or 軽量クライアントだけで接続可能 | 専用クライアントソフトが必要 |
| NATとの相性 | 良い（HTTPSポートを使用） | 悪い（NATとIPsecは干渉する） |
| 主な用途 | テレワーク・個人端末からの接続 | 拠点間接続（オフィス同士） |
IPsecの2つのプロトコル
AH（Authentication Header）
データの認証・改ざん検知のみ。暗号化はしない。IPヘッダも含めて保護
ESP（Encapsulating Security Payload）
データの暗号化＋認証。通常はESPを使う。AHより機能が多い
SSL-VPN脆弱性 — ファームウェア未更新の危険
VPN装置の脆弱性を狙った攻撃フロー
攻撃準備
攻撃者がVPN装置（FortiGate/Ivanti等）の脆弱性情報を入手。未パッチ装置を探す
侵入
脆弱性を悪用して認証なしで内部ネットワークへ侵入
横展開
社内ネットワークを自由に動き回り（ラテラルムーブメント）重要システムを探索
被害
データ窃取・ランサムウェア展開・バックドア設置
対策① ファームウェアの即時更新
VPNベンダーがパッチを出したら72時間以内に適用。脆弱性公表後は攻撃が急増する
対策② 多要素認証（MFA）の導入
パスワードが漏れていても、MFAがあれば侵入を防げる確率が大幅に上がる
ZTNA — ゼロトラストネットワークアクセス
従来のVPNは「社内ネットワークに入れれば全て信頼する」という考え方でした。ZTNA（Zero Trust Network Access）は「何も信頼しない」という原則で動きます。
VPN vs ZTNA のアクセス制御
従来型VPN（境界型セキュリティ）
ネットワークに入れれば
→ 社内サーバ全てにアクセス可能
VPN突破 = 社内侵入完了
→ 社内サーバ全てにアクセス可能
VPN突破 = 社内侵入完了
ZTNA（ゼロトラスト）
アクセスのたびにユーザー・デバイス・文脈を検証
→ 承認されたリソースのみアクセス可能
侵入されても被害を最小化
→ 承認されたリソースのみアクセス可能
侵入されても被害を最小化
試験ポイントまとめ
IPsec AH = 認証のみ、ESP = 暗号化＋認証（通常はESPを使う）
SSL-VPNはブラウザから使いやすいが、ファームウェア未更新が深刻なリスク
NATとIPsecは相性が悪い（ポートが重複するため）
VPN装置の脆弱性は最重要対策。MFAと合わせて多層防御を構築
