NSA、ネットワークインフラの保護方法を解説したレポートを発表

　米国家安全保障局（NSA）が新しいレポートを発表し、ITネットワークインフラストラクチャーをサイバー攻撃から保護する方法について、あらゆる組織向けに最新のアドバイスを提示した。

　NSAの「Cybersecurity Technical Report (CTR): Network Infrastructure Security Guidance」レポートは、無料で公開されており、国家の支援を受けたサイバー攻撃や犯罪者によるサイバー攻撃からネットワークを保護しなければならないネットワーク管理者や最高情報責任者（CIO）向けの情報が掲載されている。

　レポートでは、ネットワーク設計、デバイスのパスワードとパスワード管理、リモートロギングと管理、セキュリティアップデート、鍵交換アルゴリズム、Network Time Protocol（NTP）やSSH、HTTP、Simple Network Management Protocol（SMMP）といった重要なプロトコルなどの話題が取り上げられている。

　米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、ウクライナ組織を標的とした先頃のディスク消去型マルウェアを受けて、米国やそのほかの場所のあらゆる組織に防衛力強化を促す新たな取り組みの一環として、NSAのレポートに目を通すことをテクノロジーリーダーたちに奨励している。

　NSAのサイバーセキュリティ理事会はレポートの中で、「ゼロトラスト」ネットワークの採用を奨励した。ゼロトラストでは、悪意ある内部者と脅威が古典的なネットワーク境界の内側と外側に存在することを想定している。

　NSAは、「ゼロストラストモデルを完全にサポートする」と述べており、その構築に関する推奨事項を提示している。例えば、ルーターを設置することや、複数のベンダーを使用してファイアウォールを構築し、1つのベンダーの製品に影響を与えるエクスプロイトの潜在的な被害を軽減することなどが推奨されている。ただし、このガイダンスは既存のネットワーク上での一般的な脆弱性や弱点を軽減することに焦点を当てている、とNSAは指摘した。

　Biden政権は米連邦政府機関に対し、ゼロトラストアーキテクチャーの実装を2024年までに完了するよう指示している。米国立標準技術研究所（NIST）はMicrosoftやGoogleなどの重要なベンダーとともに、ゼロトラストとはどんなものなのかを説明することに取り組んでおり、さまざまな推奨事項を提示している。NSAのガイダンスもその流れを汲むものだ。英国も組織に対してゼロトラストの採用を奨励している。

　とりわけ、このレポートは、Ciscoとルーターやスイッチで広く使用されている同社の「IOS」ネットワークソフトウェアを詳しく取り上げており、ネットワークデバイスへの1～15段階のアクセス権限の設定や、Cisco IOSデバイスが使用するアルゴリズムでパスワードを保存する方法などを解説している。Edward Snowden氏による2013年のリークで明らかになったように、NSAはCiscoの機器に精通している。

　NSAは、侵入した攻撃者の横方向の移動を防ぐために、ネットワーク内の類似したシステムをグループ化することを推奨している。例えば、攻撃者は悪用しやすいプリンターのようなシステムを標的にする。

　ネットワーク内のデバイス間のバックドア接続の排除や、厳格な境界アクセス制御リストの使用、ネットワークに接続された固有のデバイスを認証するネットワークアクセス制御（NAC）の実装も推奨されている。VPNに関して、NSAは「不要な機能をすべて無効にし、厳密なトラフィックフィルタリングルールを実装する」ことを奨励している。さらに、IPsec VPN構成の鍵交換に使用すべきアルゴリズムも明示した。

　NSAによると、ローカル管理者アカウントは、一意の複雑なパスワードで保護する必要があるという。NSAは、新しいパスワードポリシーを実施することを推奨し、「ほとんどのデバイスには、公開されているデフォルトの管理者認証情報がある」と警告した。管理者は、すべてのデフォルト設定を削除した後、各管理者に対して、一意の安全なアカウントを再設定する必要がある。

　「ネットワークに新しいデバイスを導入する前に、デフォルトの管理者設定とアカウントを必ず変更してほしい」（NSA）

　新しいレポートは、人々や組織が適切な仮想プライベートネットワーク（VPN）を選べるように支援するNSAのガイダンスに続くものだ。リモートワーカーと企業ネットワークの間の接続を保護するVPNハードウェアは、パンデミック下で主要な標的になった。