Trustwaveの調査によると、企業のITサポート管理者は、単一または類似のパスワードを全てのリモートロケーションで使い回している実態が判明した。二要素認証がほとんど使われていないこと、そしてドメイン情報がキャッシュフォルダに残るケースがあることから、マシンへの不正アクセスが容易にできてしまうことも分かった。

　無料で入手できるオープンソースのリモート管理ソフトウェアの実装の不備も、弱点が発生する原因になっていた。侵入テストでは、重要情報を記録するサーバやPOSシステムに古いVirtual Network Computing（VNC）ソフトウェアが導入されているケースがあった。そのソフトウェアにはVNC認証が回避される脆弱性が存在していたという。

　パーココ氏は言う。「攻撃者が1つの環境に侵入して技巧を凝らし、カスタム版のマルウェアを開発して他のシステムへ容易に侵入する事例を幾つも見てきた」

　リモート管理ソフトウェアがもたらす問題は、米Symantecのシステムが2006年に不正侵入され、「Symantec pcAnywhere」のソースコードが流出した事件でも脚光を浴びた。同社は最近、この問題を明らかにしてpcAnywhereを無効にするよう企業に注意を呼びかけた。次いで脆弱性に対処して技術文書を公開し、同ソフトウェアの利用に関するセキュリティコントロールを強化するようユーザーに促した。

　企業がこの警告に耳を傾けたかどうかは不明であり、自社のエンドポイントでpcAnywhereが動作していることを認識していたかどうかさえ分からない。脆弱性管理と侵入テストを手掛ける米Rapid7が最近実施した調査では、pcAnywhereが通常使うポートが開いた状態のIPアドレスは数千にも上った。その多くは実稼働しているシステムだった。

　MetasploitプロジェクトのチーフアーキテクトでRapid7の最高セキュリティ責任者を務めるHDムーア氏は、「ホスト名やIPアドレスから判断すると、組織や拠点に導入されたpcAnywhereの多くは、技術的な専門知識がほとんどないまま設定されている」と指摘する。

　ムーア氏によると、リモート管理ツールは正しく設定されていれば深刻な問題を引き起こすことはない。ありがちな問題として同氏は、VNCのセットアップで弱いパスワードを許したり暗号化を義務付けていなかったりすることを挙げる。管理者がツールを導入しておきながら、常に最新のセキュリティパッチを当てていないこともあるという。

　「現時点で最善の選択肢は、ターミナルサービス（リモートデスクトップ）と確実なローカルセキュリティポリシーを組み合わせてアクセス権限を管理者に限定し、その管理者に複雑なパスワードを義務付けることだ」とムーア氏は言う。

　IT業界分析を手掛ける米Enterprise Management Associatesのセキュリティ＆リスク担当マネージングリサーチディレクターであるスコット・クロウフォード氏によると、企業は単純な中間コントロールが維持できておらず、情報流出に関するコンピュータ科学捜査報告書でもそれが共通のテーマになっているという。

　クロフォード氏は「アクセス権限管理の不徹底は最も一般的な過ちの1つだが、ソフトウェアの欠陥やリモートアクセス機能実装の不備も、何度も繰り返し標的にされている」と話す。

　企業はサードパーティーのITサービス事業者に対しても、リモート管理機能がどのように導入されているか、テストとセキュリティ対策を行っているか、エンドポイントに直接導入されているかどうかを尋ねることができていない。IT管理者がずっと以前に導入し、今は使われなくなったレガシーなリモート管理ソフトウェアがシステムに残っている組織もある。

　自前でリモート管理ソフトウェアを導入する企業には、さまざまなエンタープライズ向け製品の選択肢がある。米Bomgarは、主に大企業や大手ITサービス事業者向けのリモートサポートソフトウェアを手掛ける。その他にも米Xceediumや米Citrix Systemsなどが、「GoToAssist」「GoToMeeting」といった一般消費者や企業向けのリモートアクセス管理ソフトウェアを販売している。

　Bomgarの製品と競合するエンタープライズ向けのリモートサポートソフトウェアの多くは、ソフトウェアを使用中の監査追跡を可能にする記録機能を搭載している。Bomgarのジョエル・ボンガーCEOは、企業のリモート管理ソフトウェアはコントロールとメンテナンス、監査を入念にするべきだと述べる。

　同氏によると、Bomgarの顧客の半数以上は他社のためにITサポートを提供している。同社のソフトウェアを使用すると、ITチームがサーバやワークステーションとの間でセキュアなアドホックVPNを確立し、トンネル内でのセキュアな通信が可能になるという。