ネットワークセキュリティアップデート▶

２０２３

和歌山市民間保育協会
調査研究部

説明とお願い
この作成物はあくまで小規模ネットワーク環境を個人で構築している趣味人による情報提供です。
ネットワーク環境構築を外部の専門家等に依頼していた場合は問題を生じないように充分な相談をされたうえで確認や変更をするようにお願いします。

○はじめに個人差はありますが、現代の生活でネットワークを利用した情報やサービスを利用しない日は考えられないほどにスマートフォンやタブレット、PC は普及し、日常生活や業務に欠かせないものとなりました。
端末の性能向上もさることながら、通信速度も大きく改善され、かつて電話線とモデムを介して数分かかっていたデータの読み込みが、現在では無線で高解像度の動画が待ち時間なくダウンロードできるようになりました。この便利さと同時に、情報流出の高速化・大規模化という新たな問題も生じています。
私たちはこのような環境に適切に対応しているでしょうか。今回紹介する情報や事例をもとに、各園でご自分のネットワーク環境を改めて点検し、必要な改善を行うことで、リスクを低減し、より安全な運用につなげていっていただきたいと思います。また、今回紹介している情報は日々古くなっていきます
ので、常に最新の知見を得て適切に判断するようにしてください。

○まずは園内のネット環境の再確認から
インターネット通信機器の基礎知識
インターネットに接続している PC、スマートフォン、タブレットなどは、物理的な接続や無線 WiFi などを通じて外部につながっています。通常、一度設定が完了すれば、トラブルが発生しない限りその接続環境や各機器の設定について意識することはほとんどないというのが実情ではないでしょうか。しかし、通信が高速化された現在においてネットワークトラブルや人為的ミス、悪意のあるプログラム（マルウェア）による影響は想像以上に大きく、予期せぬ規模で問題を引き起こすことがあります。
まずは問題発生時に原因を追究できるように各機器の基本的な機能や役割を知り、最低限確認しておぜいじゃくせい

くべきセキュリティ上の脆弱性について知識をもち、適切な対策を実施するようにしてください。
◇ONU（Optical Network Unit）
光回線を利用している場合、ONU と呼ばれる装置が設置されています。これは外部からの光信号を施設内の機器が扱うデジタル信号に変換する役割を担っています。なお、回線契約によってはこれに相当する機器が CATV モデムやモバイル回線の場合があります。
◇ルーター
インターネットなど外部のネットワーク（WAN）と内部のネットワーク（LAN）につなげられた複数の機器を中継・制御するための機器です。複数の端末を接続する場合には必ず必要になります。

◇ハブ
１つの回線を複数に分割して中継する機器で、LAN ケーブルで接続します。あまり壊れないので一度設置するとそのまま長期間利用されがちですが、接続に利用している LAN ケーブルのカテゴリも重要で、定期的に見直す必要があります。現時点では１０００Mbps（１Gbps）以上が主流です。また、

ネットワークの一部に通信速度の遅い規格の機器や LAN ケーブルがある場合、そこより下流のネットワークはその機材に合わせた遅い通信速度になります。
また、現在はほとんどがスイッチングハブですが、もしネットワークの一部にリピータハブがある場合、特別な理由がなければネットワークの安全性や快適性の向上のために更新することが望ましいでしょう。
設備による速度減衰のイメージ

ONU・ルーター・ハブは一体化した製品もあり、外見だけでは判断が難しい場合もあります。
また、最近は減りましたが、少し前までは管理画面に入るためのデフォルト ID やパスワードが各製品で共通のものが大半でした。これらの管理者情報はネットワーク管理において致命的に重要なものですから、暗号強度の高いパスワードで管理するようにしましょう。万一ログ
インの初期設定ＩＤが admin、パスワードが password というような製品をそのまま使っている場合はすぐにパスワードの変更をし、すでに相当年数が経っていますのでセキュリティ対策として更新も検討してみてください。

◇無線 LAN（WiFi）
無線 LAN（WiFi）は各 PC、スマートフォン、タブレットなどを有線のケーブルではなく無線でネットワークに接続することができる技術で、スマートフォンやタブレットなど有線接続ができない機器を施設のネットワークにつなぐのに必要となります。特に WiFi 規格の進化はすさまじく、通信速度だけでなくセキュリティの規格も時代に合わせて変化しているのが実情です。つながればいい、ではな
く施設内でどのような暗号化・通信規格で使っているかは把握できるようにしておきましょう。
また、WiFi の規格は組み合わせによる複雑さがあり理解しにくいところがあります。しかし認証方式と暗号化についてはセキュリティ上非常に重要ですのでしっかりと認識しておくようにしましょう。

おおまかにいえば・・・
WiFi の認証方式
新規格
高セキュリティ

WPA3

現時点で最新の規格です。端末側が対応していれば用いるとよいでしょう。
暗号化を複雑にしてセキュリティを大幅に強化した方式です。

WPA2

脆弱性もありますが OS・ファームウェアのアップデートをすればほぼ安全といえます。

WPA
低セキュリティ
旧規格WEP

WEP の欠陥を改善した方式です。しかし限定的に解読できることが公表されており、安全とはいえません。
暗号化が不十分で容易に解読されるます。通信内容の解読ツールが公開されているため使用は非常に危険です。

さらにその構成を詳しくみてみると・・・
WiFi の暗号化方式と暗号化規格（小規模ネットワーク向け）
新規格

認証方式

暗号化方式

高セキュリティ
WPA3-SAE

WPA2-PSK

WPA-PSK
低セキュリティ

WEP

CCMP

暗号化アルゴリズム
CNSA
AES

CCMP

AES

TKIP

RC4

CCMP

AES

TKIP

RC4

WEP

RC4

旧規格

WiFi の認証方式は、暗号化方式とアルゴリズムなどの組み合わせで構成されています。上記の表を参考に施設内で使っている WiFi の説明書を参照して設定画面に入り、どの方式に対応し、利用しているのかを確認してみるとよいでしょう。オペレーティングシステム（OS）やファームウェアのアップデートも必須項目です。機器によっては新しい規格に対応していない場合もありますが、現時点では可能な限り WPA2 より新しい規格の利用が望ましいでしょう。もし特別な理由がなくWEP を利用している場合は直ちに設定の変更や機器の更新をお勧めします。

セキュアな機器の情報

UTM とは

最近よくきくようになった UTM（Unified Threat Management）とは、対応が多岐にわたり複雑化したインターネットセキュリティへの対応策を一つの機器に集約し、管理と運用が一元化された製品です。具体的には以下のような機能を集約したものです。
ファイアウォール

： ネットワークへの不正アクセスを防ぎます

アンチウイルス： ウイルスやマルウェアから保護します

Web フィルタリング： 不適切または有害なサイトへのアクセスをブロックします

アンチスパム： 迷惑メールのフィルタリングを行いますIPS/IDS（侵入防止システム/侵入検知システム）： ネットワーク上の異常な活動の防止、または検知
これらのサービスを一体化することで、個々の端末のセキュリティ設定に依存しない運用が可能となり、専門知識をもつ要員がいなくてもセキュリティ対策の運用がある程度できるようになる
ため、セキュリティ対策の人員が確保できない小規模な組織にとってはメリットです。興味をもたれた方は調べてみてください。

○ネットワークに接続する端末の管理◇ID・パスワード
当然のことですが、ＩＤとパスワードは情報管理のうえで非常に重要です。覚えやすいからと 複数のサイトで同じものを使いまわしたり、簡単に推測できるものにすることは危険です。安全なパスワードは意味のある単語を避け、大文字・小文字・数字・記号を組み合わせた、なるべく長いものにすることが推奨されます。管理が煩雑になり無理！という方は実績のある有料のパスワード管理ツールなどを使うことも一つの方法です。

世の中の残念なパスワード
安全なパスワードの利用を啓発するために NordPass が毎年発表している「Top200 Most
Common Passwords」というリストがあります。あなたのパスワードはこの中に含まれていませんか？特に単純なパスワードはクラッキングに 1 秒かかりません。クラッキングに強い、強度の高いパスワードにするためにはアルファベット大文字小文字、数字、記号を含むなるべく長いものを作成するようにしましょう。・・・でも複数のサイトで同じパスワードの設定は NG ですよ！

順位

パスワード

順位

パスワード

順位

パスワード

順位

パスワード

順位

パスワード

1 123456
2 admin

7 password
8 123

13 123123

19 ********

25 qwerty

14 111111

20 user

26 Pass@123

3 12345678

9 Aa123456

15 Password

21 111127 ******

4 123456789 10 1234567890 16 12345678910 22 P@ssw0rd

28 112233

5 1234

11 UNKNOWN

17 000000

23 root

29 102030

6 1234512 1234567

18 admin123

24 654321

30 ubnt（出典：Top200 Most Common Password 2023）
Q. なぜ使いまわしのパスワードは危険なのですか？
A. 複数のサイトやシステムで同じ ID・パスワードを使っている場合、サイバー攻撃などによりいずれかのサイトからログイン情報が流出した場合、そのリストをもとに様々なサイトへのログインが試みられるため、同じログイン情報で登録したすべてのサイトが不正アクセスされる危険があります。

◇OS やファームウェアのアップデート
OS やアプリケーションは適切なタイミングで最新バージョンにアップデートするようにしましょう。
サポート期限が終了するとバグの修正やセキュリティパッチが提供されなくなるため、セキュリティリスクがとても高くなります。例えば２０１４年４月にサポートが切れた WindowsXP はすでに非常に脆弱なシステムとなっています。直接 WAN 側に接続するようなことは絶対にしないようにしましょう。

○Windows のサポート終了状況
Windows１１

サポート期間内

Windwos１０２０２５年１０月１４日まで

メジャーアップデートの適用は必須

Windows8.1, Windows７， Windows Vista, Windows XP のサポートは終了しています
深刻なセキュリティ上の欠陥が見つかってもその対応はされませんので、くれぐれもご注意ください◇無料アプリケーションについて
まだそれほどインターネットが高速でなかった時代、使い勝手をよくしたり作業を効率化するために無料アプリケーション（フリーソフト）をダウンロードして使うことは一般的によくありました。しかし、これらのアプリケーションには思いがけない脆弱性がある場合があります。発行元が不明だったり、メンテナンスが放置されているアプリケーションを不用意に重要なシステムへインストールしないよ
うにしましょう。
以前 Windows ではよくインストールされていた adobe flash pleyer , Shock wave player,Quick Time といったアプリケーションはすでにサポートされておらず深刻な脆弱性があります。
もし PC 内に残っている場合は直ちにアンインストールするようにしましょう。

最大の弱点は「人間」
１９９０年代に大手企業など４０社以上のハッキングを繰り返し機密情報を盗むなどしてアメリ
カ連邦捜査局（FBI）に最重要指名手配を受けた末に逮捕・服役し、その経緯が映画化までされた“伝説のハッカー”ケビン・ミトニック氏によると「セキュリティー上の最大の弱点は人間」だという。サイバー攻撃の手法や手口は高度化するが、時代を超えて不変な「心の隙」につけこむ構図は変わることがなく、「最も重要なのは一人ひとりが相手のだましの手口を理解しておくこと。企業であれば社員らへの啓発も欠かせない」と指摘している。（日経新聞 2021 年 5月 29 日記事より要約引用）
施設側でのセキュリティ環境の基盤整備はたしかに重要ですけど、結局使うのは人。最後の砦でもあり、最大のリスクも「人」・・・ほんとにその通りですね。

○マルウェアやクラッカーの手口のトレンド◇メールのリンクや添付ファイル
エクセルやワードといったメジャーなデータ形式に悪意のあるマクロを仕込んで添付し、送信相手に開かせたり、拡張子を誤認させて悪意のある exe ファイルやリンクを開かせるなどの手法でウイルスに感染させる手法としてはエモテットが有名です。エモテットは過去に送った取引先などの文面が引用されたり、知り合いからの返信メールに偽装するなど手口が非常に巧妙です。拡張子ファイルを常に表示する設定にしておくようにして種類を確認すること、不自然な場合は開かずに先方へ電話などで確認をとるなどの慎重さが重要です。添付がマクロファイルの場合、初期設定にもよりますが、開くだけでは感染しません。開いたあとマクロを有効にするボタンを押しさえしなければ感染しませんので落ち着いて対応しましょう。
また、メールアドレスの文字を少し変えることでメール内容の詐取を試みるドッペルゲンガードメイ

ンという手口もあります。例えば gmail.com を gmai.com などとして誤送信される情報を受けているケースです。有名なアカウントには少なからずそのようなドメインがありますので、注意しましょう。
メールアドレスの偽装は簡単にできますので、日ごろから迷惑メールやクラッキングの手口の動向に関心を持っておくなどして騙されないようにしましょう。
これらの被害にあうと特定のサーバーへの攻撃に加担させられる、組織への侵入の足がかりとして使われる、内部の情報を外部に送信されるなどの被害につながる場合があります。求められるセキ
ュリティレベルに応じて必要な対策はしておきましょう。とはいえ、情報漏洩でそれなりに多い原因として人間による誤送信や紛失、要は人のミスがあるというのも事実です。あまり人のことは言えませんが、送信前に送信先や内容を見直す余裕をもつようにしたいですね。
かくちょうし◇拡張子の詐称
ファイルには様々な種類があり、最後の.(ピリオド)以降の拡張子と呼ばれる部分で判別できます。
（Windows の初期設定では非表示になっています） 有名どころではワードの.doｃや.docx、エクセルの.xls や.xlsx ですが、エモテットで多用される添付ファイル形式はマクロが記録されている.docm や.xlsm です。（*.doc と xls.はマクロの有無が拡張子で確認できないことに注意してください。）これ以外にも、プログラム実行の拡張子（.com .exe .bat .cmd .vbs .wsh .msc .msiなど）については一般的には怪しいと判断してよいでしょう。ウイルスチェックや先方に電話で確認をとるなどの慎重さが望ましいです。なお、拡張子はデフォルトでは表示されないようにされていますが、この場合、「〇〇報告書.xlsx.exe」としたファイルが「〇〇報告書.xlsx」と表示されるため誤認するケースも考えられますので、注意しましょう。
また、暗号化された圧縮ファイル（.zip .lzh など）がウイルスソフトに検索されない場合がある脆弱性を狙われるケースも多く、少し前に流行った PPAP（メールでパスワード保護された zip ファイルを送り、その後でパスワードを送るという習慣）はすでにセキュリティ対策としては手間が多く効果が薄いため、政府としても使用しない方向性を表明し、クラウドストレージなどを利用する手法に変化しつつあります。企業によっては zip ファイルを受信拒否するケースも増えています。

○パソコンが不審な動作をしていたら・・・？
◇基本的な対応
まず、すみやかにネットワークから切り離してください。ＬＡＮケーブルで接続されている場合は抜く、ＷｉＦｉによる接続を行っている場合は設定からオフにするかＷｉＦｉ本体の電源を落とすなどしてネットワークから切り離すようにしましょう。早期に対応するほど外部への影響や被害の拡大が抑えられます。その後、可能な限り最新のアップデートが適用されたセキュリティソフトを使って検査・駆除するようにしましょう。ネットワークにつながっていたほかの端末も同様にスキャンしてください。
原因となったファイルなどが明らかな場合は削除して完全に消去しましょう。ごみ箱の中にも残さないようにしてください。ケースや経過時間にもよりますが、例えばエモテットに感染した場合はそのパソコンに設定されているメールアドレスとパスワードを変更するようにしましょう。また、感染した端末には検知されないバックドアが残っている可能性もあります。初期化することも検討しましょう。
◇バックアップの重要性
端末を初期化する際に重要になるのがデータのバックアップです。マルウェアの手口のひとつにパソコン内のデータを暗号化して読めなくするランサムウェアというものがあります。これはデータを人質にとるような手口で、いちど暗号化されてしまうと一般的にはバックアップからの復旧をするほかありません。また、バックアップ用の外部記憶装置が常時接続されている場合には同時に暗号化されてしまうことがあります。このような手口からバックアップデータを守るには、面倒ですがバックアップの時にだけ接続したり、セキュリティ対策に実績のあるクラウドサービスを利用するようにしましょう。

堅牢なバックアップ robocopy
消えてしまったあとでは取り返しがつかないデータのバックアップ・・・みなさんはバックアップを定期的にとられていますか？大したデータもってない、なんていわずに定期的にバックアップをとる習慣をつけるようにしませんか？Windows のバックアップにはデフォルトで robocopy という強力なツールが備わっています。コマンドで実行する必要があるため、すこしとっつきにくいのですが、とても便利ですので一度調べてみてはどうでしょうか。
基本的なコードを一度作ってしまえばあとは同じものを使うだけでバックアップできます。しかも変更のあったデータ（差分）のみを対象とするので 2 回目以降は早いです。
robocopy “バックアップ元”“バックアップ先”/オプションというシンプルなコードで動きますので敷居は低いほうです。ｙｏｕｔｕｂｅなどでも動画がありますので、もし興味のある方は見てみてください。
＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊
バックアップ元とバックアップ先の設定を間違うと冗談ではなく元データが消えます！！
調査研究部で責任はとれません。あくまで自己責任でお願いします！
＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊

○最後に…
年々高速化・多様化している情報処理やネットワーク関連の技術の進歩はめざましく、次々と新たな規格やサービスへと変化しています。とりわけ AI（人工知能）の進化はあまりに革新的で、社会に受け入れられるようになるまでにはまだ問題もありますが、それでも着実に日常や業務の中で利用されるようになってきています。AI の得意不得意やハルシネーション （＊偽や嘘の情報がもっともらしく表記されること） はありますが、分野によっては部分的に標準的な業務知識や経験をもつ人材に並ぶようなアウトプットをするレベルになっています。電卓や PC が普及したのと同様、AI やネットワークを活用したサービスは生活を便利にしてくれる道具として普及していくのは間違いありません。と同時に、情報管理においてはパーソナリティを識別する情報や家族構成、病気の履歴など、特に機微な個人情報に対する重要性の認識がさらに高まり、今まで以上に情報漏洩への対策やデータベース管理、リテラシー向上といった概念の厳重な管理が求められるようになっていくことは想像に難しくありません。
これを契機に園内のネットワーク環境を再度点検し、そもそもネットワークやインターネットに常時接続する必要性の有無も含めて再検討し、各園で最適なセキュリティ管理で運用していただくことで、結果として社会から「保育園・こども園はネットセキュリティや規範意識も高いね」と認知される一助となれば幸いです。

２０２４／０３／３１