不正アクセス対策をしよう

　テレワークを目的としてNASへのリモートアクセスを許可する場合に最も気になるのが、不正アクセスによる被害でしょう。

　NASをインターネットへ公開するかしないかに限らず、オフィスのインターネット接続回線は、常に外部からのポートスキャン（アクセス可能なポートを探る攻撃前調査）、FTPやリモートデスクトップなど、特定ポートへのアクセス試行を受けている可能性があります。

　普段はルーターによってポートが遮断されているため、こうしたアクセスは無視されますが、本連載の第2回で解説したNASのリモートアクセス方法のうち、Dynamic DNSとポートフォワードを組み合わせた方法を採用した場合などは、公開したポート（8080や443）がポートスキャンやアクセス試行に応答してしまうため、ここから不正アクセスを受ける可能性があります。

　攻撃者はツールを使って、ありがちなユーザーIDとパスワードの組み合わせを何度も繰り返し、アクセスを試行するのが一般的です。NAS側で、こうした試行をブロックする設定をしておきましょう。

　こうしたセキュリティ関連の設定は、NASのメーカーや機種によって異なりますが、QNAP製NASでは、コントロールパネルの［セキュリティ］設定から、以下3種類の保護設定ができます。これらを組み合わせて利用しましょう。

1.IPアクセス保護

　NASで実行されているSSH、Telnet、HTTP(S)、FTP、SAMBA、AFPの各サービスに対して、一定時間内に指定回数ログインに失敗した場合、アクセス元のIPアドレスからの接続を一定時間ブロックします。

　これにより、誰かが「admin/admin」や「admin/password」などのよくある組み合わせによるアクセスを自動的に繰り返すツールを使って管理画面にアクセスしようとしたときに、その接続元からの接続を一定時間ブロックできます。

　標準では、1分間に5回アクセスが失敗すると、5分間アクセスをブロックしますが、1時間や1日などに設定しておくことで、繰り返し行われる攻撃を回避できます。

2.アカウントアクセス保護

　基本的には、IPアクセス保護と同じです。一定時間内に指定回数、特定のサービスへのログインに失敗した場合、そのアカウントを無効化します。

　なお、標準では対象が「全ての非管理者グループユーザー」となっているので、標準で登録されている管理者用の「adminアカウント」はこの対象外となります。

　外部からの不正アクセスは、広く知られているadminアカウントに対して実行されるのが一般的です。このため、以前に本連載で紹介したように、別の管理者アカウントをあらかじめ作成した状態でadminアカウントを無効化し、「全ての非管理者グループユーザー」を対象に、この機能を有効化しておくといいでしょう。

3.IPアドレスでの接続制限

　IPアドレスでの接続制限の機能は、NASへのアクセスについて、特定のIPアドレスまたはドメインからのみに制限する機能です。

　企業でNASへのリモートアクセスやVPN接続を許可する場合、本来であれば接続元のIPアドレスを調べておき、そのIPアドレスからの接続以外を拒否する対策が一般的に使われます。

　しかしながら、この方法を利用するには、接続元のIPアドレスが固定されている必要があります。テレワークの場合、社員が自宅に敷設している回線などが利用されるため、接続元のIPアドレスを特定することは困難です。

　このため、この機能を利用することは実質的には困難と言えます。