はじめに
近年、テレワークの普及に伴い「VPN機器やRDPの脆弱性を突いたランサムウェア被害」が後を絶ちません。
ニュースで「VPNの脆弱性から侵入され…」という文言を目にする機会も増えましたが、具体的にどのように侵入されるのか、イメージしづらい方も多いのではないでしょうか。
本記事では、攻撃者がどのような目線でテレワーク環境を狙うのか、その具体的な手口から、現代のセキュリティモデルであるゼロトラストへの移行、さらに実際の製品（Cloudflare Zero Trust , Microsoft Entra ID）を組み合わせたアーキテクチャまで、徹底解説します。
1. 攻撃者はどうやって侵入するのか？VPN・RDPを狙う具体的手口
まずは「VPN接続＋RDPで仕事をしている」環境が、どのように狙われるのかを整理しましょう。
攻撃者の視点に立つと、以下のように複数のアプローチがあります。
① VPN機器の脆弱性を突く（ドアそのものの破壊）
VPN機器はインターネットに常時晒されているため、脆弱性が見つかると致命的です。
- 認証バイパス：機器のソフトウェア欠陥により、パスワードなしでログインできてしまう。
- ブルートフォース攻撃：単純なパスワードを推測し、総当たりで突破。
- MFA未設定：多要素認証がなければ、パスワード漏洩で即侵入される。
② RDPの直接公開（無防備な勝手口）
RDP（リモートデスクトップ）をインターネットに直接公開しているケースは、攻撃者にとって「ボーナスステージ」です。
- RDPポートスキャン：攻撃者は「Shodan」などのツールで公開された3389番ポートを常に監視。見つけた瞬間に辞書攻撃を仕掛けます。
- BlueKeepなどのRCE脆弱性：古いOSでは、認証前にコード実行される危険があります。
③ テレワークユーザー自身を狙う（合鍵の窃取）
正規のVPN経由でも、ユーザーの端末が汚染されていれば防御できません。
- インフォスティーラー：偽インストーラーなどに感染すると、ブラウザに保存されたVPNのログイン情報やセッションCookieが盗まれ、攻撃者が「あなたになりすまして」VPNを通過します。
- MFA疲労攻撃：攻撃者がパスワードを入手した後、深夜に何度もMFA承認通知を送りつけ、煩わしさからユーザーが承認してしまうのを待ちます。
④ 侵入後の横展開
一度内部に入られると、攻撃者は以下のように動きます。
- 権限昇格：管理者パスワードを盗み出し、ドメイン管理者権限を奪取。
- 防御機能の無効化：セキュリティソフト（EDR）を停止、ログを消去。
- データ持ち出しと暗号化：最後に全端末を同時暗号化。
2. 従来の境界型防御の限界とゼロトラストの登場
従来は「社内ネットワーク＝信頼できる内部」とみなす**境界型防御（城と堀モデル）**が主流でした。
VPNで入ってしまえば内部のリソースへ比較的自由にアクセスできるため、一度突破されると被害が拡大しやすい弱点があります。
そこで注目されるのが**ゼロトラスト（Zero Trust Architecture）**です。
「ネットワークの場所を問わず、すべてのアクセスを毎回検証する」という考え方で、具体的には以下のように変わります。
| 項目 | 従来のVPNモデル | ゼロトラストモデル |
|---|---|---|
| 信頼の前提 | 社内ネットワークは信頼 | どこも信頼しない、常に検証 |
| アクセス制御 | 一度ログインすればOK | リクエストごとに動的検証 |
| 検証要素 | ユーザー＋パスワード | ユーザー＋デバイス＋コンテキスト（場所・時刻など） |
3. ゼロトラスト導入で変わること（セキュリティ面・運用面）
セキュリティ面の変化
- 横展開の防止：たとえ1台のPCが感染しても、他のサーバーへの通信は遮断されるため被害が局限化。
- 動的検証：ユーザー認証に加え、デバイスのパッチ状態・ウイルススキャン状況・アクセス元地域などをリアルタイムでチェック。
運用面（社員の働き方）の変化
VPNから解放され、むしろ利便性が向上します。
| 項目 | 従来のVPN | ゼロトラスト |
|---|---|---|
| 接続手間 | 起動＆接続待ちが必要 | ブラウザやアプリ起動時に自動認証 |
| 通信速度 | 一度社内サーバーを経由するため遅延 | エッジで直接インターネットへ抜け高速 |
| 場所の制約 | 社内ネットワーク依存 | 世界中どこでも同じ操作感 |
| パスワード | 複雑なものを定期変更 | パスワードレス（指紋・顔認証）が主流に |
4. ゼロトラストの裏側で動く技術：認証・認可のメカニズム
「自動的に認証される」裏側では、以下の技術が数ミリ秒単位で連携しています。
① IDフェデレーションとSSO
- SAML / OIDC：標準プロトコルを用いて、IdP（Identity Provider）とサービスプロバイダが連携。
- JWT（JSON Web Token）：IdPが発行する署名付きトークン。アクセス先は公開鍵で検証するだけでよく、毎回IdPに問い合わせる必要がないため高速。
② 条件付きアクセス（コンテキストアウェア）
- エンドポイントエージェントがデバイスの健全性（OSバージョン、暗号化状態など）をチェックし、その情報を認証リクエストに含めます。
- エッジでの判定：Cloudflareのようなサービスでは、ユーザーに最も近いエッジサーバーでアクセス権限を判定。遅延を最小化します。
③ なぜ遅くないのか？
- 分散型IdP：認証サーバーはグローバルに分散、CDNのように近い場所で応答。
- トークンの有効期限：一度発行されたトークンは一定時間再利用可能。
- TLS 1.3：暗号化通信のハンドシェイクが高速化。
5. Cloudflare Zero Trustの役割：エッジで実現するゼロトラスト
Cloudflareは「世界中に広がるエッジネットワーク」を活かしたゼロトラストソリューションを提供しています。
Cloudflare Access (ZTNA)
- 社内アプリケーションの前に認証の壁を設置。ユーザーがアクセスするとCloudflareのエッジでIdPと連携し、認可されれば通信を通します。
Cloudflare WARP (クライアント)
- PCやスマホにインストールするエージェント。デバイスの健全性をチェックし、すべての通信を暗号化してCloudflareのエッジへ。世界中の数千のエッジに最適接続されるため、「VPNより速い」と評されます。
エンジニア視点のメリット
- 運用簡素化：従来はルーターACLやVPNサーバーのパッチ管理が必要だったが、Cloudflareならダッシュボードでポリシーを書くだけで世界中に反映。
- マルチプラットフォーム対応：Windows/Mac/Linux/iOS/Androidで一貫した制御が可能。
6. 実際の構成例：Microsoft Entra ID + Cloudflare
「Macを使うテレワーク環境ではどう選べばいいか？」という悩みはよくあると思います。
実は多くのモダンなテック企業（Mac混在環境）では、以下の組み合わせがデファクトになりつつあります。
| 役割 | サービス | 理由 |
|---|---|---|
| 認証基盤 (IdP) | Microsoft Entra ID (旧Azure AD) または Okta | ユーザー管理・MFA・ライフサイクル管理に強い |
| ネットワーク基盤 (ZTNA) | Cloudflare Zero Trust | 通信路の確保・デバイス検証・エッジでの高速化 |
CloudflareはなぜIdP機能を持たないのか？
「Cloudflareだけで完結すれば楽なのに」と思われるかもしれません。
しかしCloudflareはあえてIdP機能を提供せず、既存のIdPと連携する「ハブ」の立場を取っています。
- 責任分離：パスワード管理やMFAは専門のIdPに任せ、Cloudflareはネットワーク防御に集中。
- 標準規格の活用：OIDC/SAMLにより、IdPとCloudflareの連携は極めて簡単。一度設定すれば、あとはダッシュボードでアクセスポリシーを定義するだけです。
- 簡易認証オプション：どうしてもIdPを用意できない場合は、ワンタイムPIN（メール送信）やソーシャルログイン（GitHub/Google）も利用可能。
組み合わせても面倒ではない理由
アクセストークンやリダイレクトの挙動はOIDCで標準化されているため、CloudflareとEntra IDの連携は数クリックで完了。
ユーザーから見れば「統合された1つのシステム」のように動作します。
7. まとめ：ゼロトラストへの第一歩
テレワーク環境のセキュリティを強化するには、**「VPNを最新に保ち、MFAを導入する」**だけでは不十分です。
攻撃者は常に「人間の油断」や「設定の穴」を狙っています。
ゼロトラストは、単なる製品ではなく「決して信頼せず、常に検証する」という思想です。
移行は一朝一夕にはできませんが、以下のステップから始められます。
- ID管理の統合：Entra IDやOktaなどでユーザーライフサイクルを一元化。
- MFAの強制：全ユーザーに多要素認証を必須に。
- RDPの直接公開を止める：VPN経由またはZTNAで隠蔽。
- クラウドエッジの活用：Cloudflare Zero Trustなどを試験導入し、社内アプリを守る。
最終的には「社員には快適さを、会社には強固な防御を」もたらすゼロトラスト環境を目指しましょう。
この記事が、これからのセキュリティ設計の参考になれば幸いです。