ワイデン上院議員、時代遅れで安全性の低い外部公開VPNの廃止を連邦政府に要請

ロン・ワイデン上院議員(民主党・オレゴン州選出)は月曜日、連邦政府機関から直接インターネット経由でアクセス可能な、時代遅れで安全性の低いVPN(仮想プライベートネットワーク)を一掃する包括的なキャンペーンを主導するよう、連邦政府の3人の指導者に強く求めました。

ワイデン議員は、行政管理予算局(OMB)、サイバーセキュリティ・インフラセキュリティ庁(CISA)、国立標準技術研究所(NIST)の幹部に宛てた書簡の中で、「連邦政府機関や政府請負業者は長年にわたり、従業員にリモートアクセスを許可するために時代遅れで安全性の低いインターネット接続型VPNサーバーに依存してきたことが原因で、壊滅的なサイバー攻撃の被害を受け続けてきた」と述べています。3機関が連携し、「連邦政府全体で最新の安全なリモートアクセス技術の採用を義務付ける」べきだとしています。

こうしたVPNは、モバイル端末やリモート勤務の従業員がログインできるよう、インターネット経由でアクセス可能なデジタルの「表玄関」として機能している、とワイデン氏はCyberScoopが最初に報じたこの書簡の中で述べています。

ワイデン氏は、連邦政府機関に影響を及ぼしてきた複数の攻撃事例を挙げています。Cisco製ファイアウォールを狙ったArcaneDoor攻撃、Fortinet製ゲートウェイ全体にわたるFortiBleed認証情報漏えい、そしてハッカーがIvantiやCheck PointのVPNアプライアンスで悪用した脆弱性などです。

「最新のリモートアクセスソリューションは、この脆弱性を完全に排除します。インターネット上に開いた扉を残す代わりに、最新のソリューションはその存在を外部に知らせることなくリモートアクセスを提供します」と同氏は述べています。「これにより、こうしたサーバーは実質的に『見えない』状態になり、ハッカーは見えない侵入口を攻撃できなくなります」

ワイデン議員に提出された議会調査局(CRS)の報告書によれば、連邦政府機関はいわゆる「城と堀」方式、つまりネットワーク内部にいる者は誰でも組織のリソースにアクセスする権限を持つとみなし、VPNによってリモートの従業員にまで仮想的な橋を架けるという発想から脱却すべきだと同氏は述べています。その代わりに、「決して信頼せず、常に検証する」というアプローチを取るゼロトラスト・アーキテクチャに軸足を移すべきだとしています。

さらに、CISA、OMB、NISTは政府機関の脆弱性への対応方法を根本的に見直す必要がある、とワイデン氏は書簡に記しています。

「連邦政府は、時代遅れのリモートアクセス技術が広範に侵害される事態への対応において、終わりのない『もぐらたたき』に陥ってしまっている」と同氏は述べています。「連邦ネットワークを稼働させ続けるため、CISAは異例の緊急指令や超加速的なパッチ適用の義務化を繰り返し発令せざるを得ない状況に追い込まれてきた。こうした場当たり的な緊急対応は、連邦政府のサイバーセキュリティチームにとって持続不可能であり、こうした欠陥が時代遅れのリモートアクセス機器の利用そのものに内在する根本的な問題に対処できていない」

CISAは、連邦政府機関に対し時代遅れで外部公開型のリモートアクセスシステムを2年以内に完全に排除するよう義務付ける拘束力のある運用指令(BOD)を発令する必要がある、と同氏は述べています。またNISTは、ゼロトラスト・アーキテクチャへの移行に関する実装基準を策定する必要があるとしています。

OMBは、ゼロトラスト・アーキテクチャへの予算配分を優先するよう政府機関に指示する覚書を発行する必要があります。さらにOMBは、CISAおよび国防総省と連携し、ベンダーがNISTのゼロトラスト基準への準拠を証明しない限り、政府機関や国防関連請負業者がネットワークエッジ、VPN、その他のリモートアクセスソリューションを調達できないよう調達規則を更新すべきだ、とワイデン氏は書簡に記しています。