VPN のスプリットトンネル
A 社は，テレワーク端末から社内システムへの接続に VPN を使い，スプリットトンネルを有効にしている。社内からのインターネット利用は，URL フィルタリングとログ取得を行うプロキシを経由させている。カフェの公衆無線 LAN で VPN に接続していた端末がマルウェアに感染し，Web サイトからのダウンロードが原因と判明したが，プロキシのログには該当する通信の記録がなかった。この状況に関する記述として，適切なものはどれか。
- アVPN で暗号化された通信は社内のプロキシで中身を検査できないので，フルトンネルに変更しても，URL フィルタリングは適用できない。
- イスプリットトンネルでは社内宛ての通信も VPN を通らないので，社内システムとの通信の内容がカフェの無線 LAN で盗聴された可能性が高い。
- ウプロキシのログに記録がないのは，VPN 装置が端末の送信元アドレスを変換したので，プロキシが端末ごとの通信を記録できなかったからである。
- エインターネット宛ての通信は VPN を通らずに端末から直接送られていたので，社内のプロキシによる URL フィルタリングとログ取得の対象外となった。
正解と解説を見る
正解 エ
この問題の基礎知識
- リモートアクセス VPN は，端末と VPN 装置の間に暗号化したトンネルを作る。暗号化されるのはこの区間であり，VPN 装置で復号された通信は社内のネットワークや機器を経由させられる。
- フルトンネルは端末の全ての通信をトンネルに通し，スプリットトンネルは社内のリソース宛ての通信だけをトンネルに通して，インターネット宛ての通信を端末から直接送る方式である。
- 社内のプロキシやファイアウォールなどの境界での対策とログ取得は，そこを経由する通信にしか効かない。ログに記録がない場合は，通信がその機器を経由しなかった可能性をまず考える。
- スプリットトンネルでは，インターネット宛ての通信を組織が検査できないので，フルトンネルにするか，端末側で検査や保護を行う対策が必要になる。
アVPN で暗号化された通信は社内のプロキシで中身を検査できないので，フルトンネルに変更しても，URL フィルタリングは適用できない。
VPN の暗号化は端末と VPN 装置の間の区間に対するもので，VPN 装置で復号された通信は社内のプロキシを経由させられる。フルトンネルにすれば，インターネット宛ての通信にもフィルタリングを適用できる。
イスプリットトンネルでは社内宛ての通信も VPN を通らないので，社内システムとの通信の内容がカフェの無線 LAN で盗聴された可能性が高い。
スプリットトンネルは，社内のリソース宛ての通信を VPN で保護し，それ以外の通信をトンネルの外に出す機能である。社内宛ての通信は VPN を通るので，記述は機能を逆に捉えている。
ウプロキシのログに記録がないのは，VPN 装置が端末の送信元アドレスを変換したので，プロキシが端末ごとの通信を記録できなかったからである。
送信元アドレスが変換されても，プロキシを経由した通信であれば変換後のアドレスで記録が残る。記録自体がないのは，通信がプロキシを経由しなかったことを示している。
エインターネット宛ての通信は VPN を通らずに端末から直接送られていたので，社内のプロキシによる URL フィルタリングとログ取得の対象外となった。正解
スプリットトンネルでは社内のリソース宛て以外の通信がトンネルの外に出るので，組織は端末の通信の多くを検査できない。インターネット宛ての通信もトンネルに通すか，端末側で検査する必要がある。
検証用の出典出典照合済み
NIST SP 800-46 Rev. 2 Guide to Enterprise Telework, Remote Access, and Bring Your Own Device (BYOD) Security照合の根拠（4 件）
- エ（正解）: インターネット宛ての通信はトンネルを通らず，社内のプロキシを経由しない。イ（誤り）: 社内宛ての通信は VPN で保護される
many VPN clients have a feature called split tunneling which, if enabled, will tunnel all communications involving the organization’s internal resources through the VPN, thus protecting them, but will exclude all other communications from going through the tunnel.
NIST SP 800-46 Rev. 2 · Section 3.3.3（新しいタブで開きます） - エ（正解）: スプリットトンネルでは組織が端末の通信の多くを検査できない
Split tunneling increases efficiency for communications and reduces load on the remote access solution, but it also prevents the organization from examining much of the teleworkers’ network traffic and from protecting the confidentiality and integrity of that traffic.
NIST SP 800-46 Rev. 2 · Section 3.3.3（新しいタブで開きます） - エ（正解）: 公衆無線 LAN などではスプリットトンネルの無効化（フルトンネル化）を検討すべきとされる
For teleworkers using VPNs on untrusted networks, particularly higher-risk networks such as wireless hotspots, organizations should consider disabling split tunneling capabilities so that attackers cannot eavesdrop on any of the teleworkers’ network communications.
NIST SP 800-46 Rev. 2 · Section 3.3.3（新しいタブで開きます） - ア（誤り）: VPN の暗号化は端末と VPN ゲートウェイの間だけで，ゲートウェイ以降の通信は社内のプロキシを経由させて検査できる
Although remote access methods based on tunneling protect the communications between the client device and the VPN gateway, they do not provide any protection for the communications between the VPN gateway and internal resources.
NIST SP 800-46 Rev. 2 · Section 2.2.1（新しいタブで開きます）
ウ（誤り）: 送信元アドレスが変換されても，プロキシを経由した通信なら変換後のアドレスで記録が残るはずで，記録が全くないことの説明にならない。正解の根拠（インターネット宛ての通信はトンネルの外に出る）から論理的に排除される。