現代のファイアウォール導入における非対称ルーティングのリスクとは

現代のネットワーク環境において、運用効率と強固なセキュリティコントロールを両立させるには、綿密な設計と計画が必要です。ファイアウォールのアップグレードや再設計などの際にソフォスプロフェッショナルサービスが直面する課題の 1 つが、非対称ルーティング (Asymmetric Routing) です。

非対称ルーティングとは

非対称ルーティングとは、単一接続の送信トラフィックと返信トラフィックとで通過するネットワークパスが異なる現象を指します。このような状況では、クライアントからサーバーへ送信されるデータが特定の経路を通る一方で、返信トラフィックはまったく別の経路を通る可能性があります。  従来のステートレスファイアウォールではこの動作が許可される場合もありますが、これが原因でセキュリティ上の脆弱性や検査の見落としが生じ、今日のセキュリティアーキテクチャでは問題視されるケースが増えています。

非対称ルーティングがAitMリスクを高める理由

非対称ルーティングは、AitM (Adversary-in-the-Middle) 攻撃のリスクを高める要因となり得ます。AitM 攻撃 (Man-in-the-Middle、略して MitM とも呼ばれる) は、攻撃者が通信する二者間に割り込み、検知されることなくトラフィックを傍受または改ざんする攻撃です。トラフィックが異なる経路を通ると、ファイアウォールなどのセキュリティデバイスは通信の一部しか監視できない場合があります。これにより、検査と検証において死角が生じます。

以下のシナリオについて考えてみましょう。

• 不均一な検査パス: クライアントのリクエストはファイアウォールを通過して検査されますが、それに対する応答は、セキュリティコントロールが適用されていない別のデバイスを経由して返されます。
• 代替パスでの露出: セカンダリ WAN リンク、MPLS 回線、または設定ミスのあるデバイスを経由してルーティングされたトラフィックは、より安全性の低いインフラストラクチャを通過する可能性があり、攻撃者に通信を傍受される恐れがあります。
• トラフィックのリダイレクト攻撃: 攻撃者がルーティングの脆弱性を悪用して「通信経路上」に位置取りをし、両エンドポイントからは透過的に見える状態でトラフィックを傍受・中継する可能性があります。
• セッション改ざん: 非対称ルーティングによってセッション検証が破壊される場合があるため、攻撃者が応答を注入または改ざんし、転送中のデータを変更する恐れがあります。

これらの状況では通信の完全性と機密性の双方が損なわれ、攻撃者によるデータの観察や操作が容易になります。

最新のファイアウォールに対称性が求められる理由

最新の次世代ファイアウォール (NGFW) は、ステートフルインスペクションデバイスとして動作します。つまり、セッション状態を適切に確立・維持するためには、通信フローの両方向を把握しなければならないことを意味します。  ステートフルファイアウォールは各接続を追跡し、既知のセッションに一致する場合にのみ返信トラフィックを許可することで、不正な応答や不要なトラフィックを防止します。

非対称ルーティングが存在する場合、以下のような問題が発生します。

• ファイアウォールがセッションの片側しか監視できない

• 返信トラフィックが無効であると解釈される可能性がある

• セッション状態が欠落しているため、パケットが破棄される可能性がある

この挙動は、アプリケーションの不具合、接続の問題、パフォーマンスの不安定さを引き起こす原因となります。  ソフォスのチームはこれまで、非対称ルーティングが原因でファイアウォールの切り替え作業が長引き、給与支払日に顧客企業が給与システムにアクセスできなくなるといった深刻な事態を目にしてきました。

NGFW 導入による運用への影響

これまで非対称ルーティングを許容していた環境に NGFW を導入すると、予期せぬ障害が発生することがあります。  これはファイアウォールの不具合ではなく、適切なセキュリティ基準を適用した結果です。それまではより緩い条件下で「機能していた」ように見えたものが、セッションの可視化が完全でないためにブロックされるようになったのです。  このような問題を解決するために、影響を受けるトラフィックに対してステートフルインスペクションを緩和したりバイパスしたりしても、接続は回復するかもしれませんが、前述したのと同じ検査上の見落としが再び生じることになります。これはあくまで一時的な回避策であり、根本的な解決策ではありません。

これらの問題を解決するには、以下の対応が必要です。

• 非対称ルーティングの発生源を特定する

• トラフィックパスを正規化する

• インバウンドとアウトバウンドの両方のトラフィックが同じ検査ポイントを通過するように設定する

非対称ルーティングの一般的な原因

非対称ルーティングは、以下のような一般的な設定ミスや設計時の選択によって発生することがあります。

• サブネットマスクの設定ミス

• エンドポイントでのデフォルトゲートウェイ設定の誤り

• 競合または無効なルーティングエントリ

• ポリシーベースのルーティングや SD-WAN の設定

• 不適切な VLAN またはレイヤー 2/レイヤー 3 の設計

多くのエンタープライズ向けの設計では、ロードバランシング、冗長化、複数の ISP 接続といった要素により、必然的に非対称パスの可能性が生じます。

隠れたリスク: ビジネス主導のネットワーク設計

重要でありながら見落とされがちな要因の一つは、ネットワークアーキテクチャが元々どのように設計されたかという点です。  セキュリティを中核要件として組み込むことなく、稼働時間の最大化、コストの削減、トラフィックパスの最適化といったビジネス上/運用上のニーズのみに基づいてネットワークを設計すると、重大なリスクが生じる可能性があります。

例えば、以下のようなリスクが考えられます。

• 冗長化のためのマルチパスルーティングが、意図せず非対称フローを生み出してしまう

• トラフィックオフロード戦略により、検査ポイントが迂回される

• コスト重視の設計により、セキュリティレベルの低いネットワークセグメントに依存してしまう

業界のベストプラクティスでは、設計プロセス全体でパフォーマンス、コスト、セキュリティのバランスを取る必要性が強調されています。  理想的には、セキュリティを既存の設計に後付けするのではなく、最初から組み込むべきです。ファイアウォールの移行時など、それが不可能な場合には、切り替え前にトラフィックパスを検証することが不可欠です。「ゼロトラスト」や「セキュアバイデザイン」といったフレームワークでは、セキュリティコントロールと可視化をすべてのトラフィックパスにおいて一貫して適用する必要があると強く訴えています。

ベストプラクティス: セキュリティとネットワーク設計の整合

最も効果的なネットワーク設計とは、ビジネス要件とセキュリティアーキテクチャを対立する優先課題として扱うのではなく、両者を整合させるものです。

主な原則は以下の通りです。

• セキュリティポイントを通過するルーティングの対称性を確保する

• 可能な限り検査とコントロールを一元化する

• トラフィックがファイアウォールを迂回できるような設計を避ける

• 設計およびテスト段階においてルーティング動作を検証する

結論

非対称ルーティングは、それ自体が欠陥というわけではなく、複雑なネットワーク環境においては必然的に生じるものです。しかし、現代のステートフルファイアウォールやセキュリティ要件と組み合わさると、運用上の課題およびセキュリティリスクをもたらします。  さらに重要なのは、ネットワークトラフィックの可視性と制御が低下することで、AitM 型の攻撃を可能にする状況を作り出してしまう点です。

次世代ファイアウォールを導入する組織は、次のような包括的アプローチを採用する必要があります。

• ビジネス要件とセキュリティ要件の両方を考慮してネットワークを設計する

• 非対称パスを排除または制御する

• 一貫した検査とポリシー適用を確保する

上記を実践することで、問題の発生を未然に防ぎ、強固なセキュリティポスチャを維持し、最新のファイアウォールテクノロジーのメリットを最大限に活用することができます。

ファイアウォールの移行やネットワークの設計の見直しをご検討中ですか？ソフォスプロフェッショナルサービスは、切り替え前に非対称パスを特定してトラフィックフローを検証するお手伝いをいたします。これにより、業務への影響を最小限に抑え、検査の見落としを防ぐことができます。