LANは組織の内部での接続に使用し、他のLANとは接続しない。使用範囲が限られ、対象組織内でリソースを管理する性質上、LANの安全性は比較的高い。だがリスクが全くないと考えるのは間違いだ。LAN内のエンドユーザーが機密情報をLAN外に漏えいさせたり、意図的または偶発的にマルウェアを取り込んだりする恐れがある。例えばエンドユーザーがフィッシング攻撃を受けた場合や、感染した端末をLANに接続した場合などだ。

　物理的なセキュリティ対策はLANだけでなく、LANに接続するエンドポイント全てについても必要となる。接続機能を持つエンドポイントを使用するエンドユーザーが、LAN内のデータやシステムに無用にアクセスしないようにする管理ポリシーを設定することも重要だ。

LANからインターネットへの接続に必要な対策

　LANからインターネットへの接続にはルーターを使用する。インターネット接続に伴うリスクの対処に加え、ルーターにもさまざまなセキュリティ対策を導入しなければいけない。具体的な対策は以下の通りだ。

• 開いているポートを把握し、主に「Windows」で利用される「Server Message Block」（SMB）や「リモートデスクトッププロトコル」といった通信プロトコルの脆弱（ぜいじゃく）性を突く攻撃を防ぐ
• ルーター管理者の認証情報を定期的に変更し、ルーターにバックドア（攻撃者が秘密裏に設置する侵入口）がないかどうかを確認する

　現在はさまざまなエンドユーザーが無線LANにエンドポイントを接続している。無線LANのリスクとしては、正当な無線LANアクセスポイント（AP）を装った不正なAPにエンドユーザーを接続させる「悪魔の双子」攻撃がある。こうした攻撃のリスクを緩和するには、強度の高い暗号化やVPN（仮想プライベートネットワーク）が役立つ。

　1つのLANを複数のVLAN（仮想LAN）に分割して、物理的に離れているエンドユーザーやサーバをグループ化したり、特定のデータやサーバを広範なLANから分離したりするネットワーク構成もある。この場合、VLANにもリスクがあり、スイッチを適切に設定しないと、攻撃者が特定のVLANから本来はアクセスできない他のVLANに侵入する攻撃「VLANホッピング」を受ける危険がある。

WANのセキュリティ対策

　複数の場所にあるLANを接続する場合は、公共のインターネットまたは通信事業者が提供する専用線を使用することになる。インターネット経由の接続では、LANだけの接続より脅威が多様化する。WANがインターネットに接続するかインターネットを経由する場合、セキュリティプロトコルで転送中のデータを暗号化し、ルーターとファイアウォールを適切に構成する必要がある。専用線を利用する場合、通信事業者が管理する部分のセキュリティ対策状況について、ユーザー企業は関与できないことを念頭に置くべきだ。

　WANに所属する複数の拠点同士を接続したり、エンドユーザーがWANに接続したりする際の安全性を高める方法として、VPNが広く使用されている。VPNは通信データを暗号化することでセキュリティを強化する。ただし防御策をVPNだけに頼ることはできない点には注意が必要だ。

SD-WANのセキュリティへのメリットと課題

　「SD-WAN」（ソフトウェア定義WAN）は、既存のWANを変更することなく、ネットワーク管理の一元化や迅速化を可能にする。加えて従来のWANでクラウドサービスに接続する際の、データ通信によるネットワーク圧迫の解消にも役立つ。

　ただしSD-WANは、セキュリティで保護すべき場所がファイアウォールではなく個々のサーバやエンドポイントとなる点に気を付ける必要がある。そのためにはSD-WANの配備プロセスを調整したり、ファイアウォールなどの物理的な手段の代わりにソフトウェアでWANとLANの境界を構築してアクセス制御を実現する「SDP」（ソフトウェア定義境界）といった新たなセキュリティモデルを取り入れたりするとよいだろう。

　LANとWANのセキュリティを検討するときは、他のシステムやネットワークと同様、まず対象のシステムやネットワークが受ける可能性のある脅威を知り、何を保護すべきかの優先順位を決めておくべきだ。その上で保護方法を検討しよう。