ぶいぴーえぬ
Virtual Private Networkの略。インターネットなどの共用のネットワークの上に、暗号化した仮想的な専用の通信路(トンネル)を作り、離れた拠点や社外の端末を、社内のネットワークに直接つないだように通信させるしくみ。IPsec、TLS(SSL-VPN)、WireGuardなどの方式がある。
「VPN」は、3分野の6問の練習問題に出てきます(サイバー攻撃と防御の実務, ネットワークの基礎, システム構成と信頼性設計など)。
この用語の分野: ネットワークの基礎
VPNの装置やソフトウェアは、送りたいIPパケット全体を暗号化して改ざん検出の符号を付け、VPNの出入口どうしを宛先とする新しいIPパケットの中身として送ります(カプセル化)。受け取った側の出入口が取り出して復号し、元のパケットを社内のネットワークに流します。こうすると、途中のインターネットからは中身も元の宛先も見えず、社内のプライベートアドレスのまま通信できます。ヘッダが増える分、中に入れられるパケットは小さくなるので、MTUの調整が必要になることがあります。
拠点間VPNは、本社と支社などのそれぞれにVPNの装置を置いてLANどうしをつなぐもので、利用者はVPNを意識しません。リモートアクセスVPNは、自宅や出張先のPCがクライアントのソフトウェアで社内のVPN装置に接続するものです。方式には、ネットワーク層で暗号化し、IKEで鍵を交換するIPsec、TLSを使うSSL-VPN、UDPの上で動く比較的新しいWireGuardなどがあります。通信事業者の閉じたネットワークを使うIP-VPNのように、インターネットを通らないVPNもあります。
VPNが守るのは、端末とVPNの出入口の間の通信です。公衆の無線LANのように盗聴されやすい場所でも、その区間の中身は読まれません。一方、出入口から先の通信は普通の通信ですし、端末そのものがマルウェアに感染していれば防げません。VPN装置はインターネットに公開されているため、その脆弱性が侵入の入口として悪用されることもあり、更新や多要素認証が欠かせません。一度つながれば社内のどこにでも届くという考え方の弱さから、通信のたびに確かめるゼロトラストの考え方も広がっています。
正解：C. インターネットの上に、暗号化と認証を行う仮想的な専用の通信路(トンネル)を作り、離れた拠点や在宅の端末を社内のネットワークにつながっているように扱う
VPN(仮想プライベートネットワーク)では、元のパケットを暗号化して別のパケットの中に入れて(カプセル化して)送り、相手側のVPN装置で取り出します。途中の経路からは中身や社内のアドレスが見えず、改ざんも検出できます。使われるプロトコルには、IPsec、TLSを使うもの、WireGuardなどがあります。物理的には、共有のインターネットを通る点が専用線との違いです。守られるのはトンネルの区間だけなので、接続先そのものの安全や、VPNの出口から先の通信の安全は別に考える必要があります。
正解：B. VPNでは接続した端末が社内のネットワークの広い範囲に届くことが多いが、ZTNAでは利用者と端末を確かめて、許可したアプリケーションだけに接続させる
リモートアクセスVPNは、社外の端末を社内のネットワークに参加させる仕組みで、接続した後はネットワークの設定で許された範囲に広く届くことが多く、認証情報を盗まれると侵入の足場になります。ZTNAは、利用者の認証と端末の状態を確かめたうえで、許可された個々のアプリケーションへの接続だけを仲介し、アプリケーションを直接インターネットに公開しません。そのため、侵害されたときに攻撃者が届く範囲を小さくできます。VPN装置そのものもインターネットに公開されるので、その脆弱性が侵入の経路になる例が多いことも、移行が進む理由の1つです。
完全な匿名にはなりません。接続先のサイトからは、利用者のIPアドレスの代わりにVPNの出口のアドレスが見えますが、VPNを運営する会社や組織からは、利用者がどこと通信しているかが見えます。ログインした情報やCookieによっても、利用者は特定されます。
IPsecはネットワーク層でIPパケットそのものを暗号化するので、どんなアプリケーションの通信でも運べ、拠点間VPNによく使われます。SSL-VPNはTLSを使うので、Webブラウザや専用のソフトウェアから使いやすく、ファイアウォールを通りやすいことからリモートアクセスによく使われます。
VPN(仮想プライベートネットワーク)では、元のパケットを暗号化して別のパケットの中に入れて(カプセル化して)送り、相手側のVPN装置で取り出します。
インターネットVPNの説明として正しいものはどれか。リモートアクセスVPNは、社外の端末を社内のネットワークに参加させる仕組みで、接続した後はネットワークの設定で許された範囲に広く届くことが多く、認証情報を盗まれると侵入の足場になります。
テレワークの社員が社内のシステムを使うための方式として、従来のリモートアクセスVPNとZTNA(ゼロトラストネットワー…暗号化して拠点の間に仮想的な専用回線を作るのは、VPNです。
CDN(コンテンツデリバリネットワーク)の説明として、適切なものはどれか。暗号化はしないので、通信を守るにはTLSやVPNと組み合わせます。
ファイアウォール(パケットフィルタリング型)の基本的な働きとして正しいものはどれか。代表的な手口には、インターネットに公開されたVPN装置やWebサーバなどの脆弱性を突く方法、フィッシングメールでマルウェアを実行させたり認証情報を入力させたりする方法、ほかで漏えいした正規のIDとパスワードでリモートアクセスにログインする方法があります。
攻撃者が組織のネットワークに最初に入り込む「初期アクセス」の手口に当たるものはどれか。Amazonの検索結果へのリンクです。Amazonのアソシエイトとして、半導体教室は適格販売により収入を得ています。
パケット TLS CDN(コンテンツデリバリネットワーク) ファイアウォール WAF(Webアプリケーションファイアウォール) ランサムウェア 多要素認証 RTT(往復遅延時間) ICMP IP(インターネットプロトコル)