「外から使えると便利」の裏で起きていること
社内のNASに保存した資料を、自宅や出張先から開きたい。中小企業では珍しくない要望です。社内ファイルを持ち出さずに済み、同じ共有フォルダを社外から利用できれば、業務は確かに便利になります。
問題は、「社外からアクセスできる」という状態が、社員だけにとって便利になるとは限らないことです。
NASをインターネット側から直接アクセスできる状態にすると、その入口は外部からも見つけられる可能性があります。特にSMB（Windowsで使われるファイル共有の仕組み）を直接公開すると、パスワードを繰り返し試す総当たりや、すでに知られている脆弱性を狙う攻撃の対象になります。
ここで注意したいのは、「誰かが自社を狙って手作業で探している」と考える必要はないことです。外部に露出した機器は自動的なスキャンによって発見され、その後の侵入も機械的に試される可能性があります。
そのため、NASの外部アクセスを考えるときは、「パスワードを強くしておけばよいか」だけでは不十分です。まず確認すべきなのは、NASのどの機能が、どの経路でインターネットに公開されているかです。
攻撃者から見たNAS――公開すると何が始まるのか
外部公開されたNASで何が起きるのかは、段階に分けると理解しやすくなります。
1. 自動スキャンで公開された機器が見つかる
最初の段階は発見です。
インターネットから到達できる状態になったNASやネットワーク機器は、自動スキャンの対象になる可能性があります。会社名や所在地を知られていなくても、外部からアクセス可能な入口そのものが探索対象になります。
つまり、「小さな会社だから狙われない」という考え方ではなく、公開されている機器として見つかる可能性がある、と考える必要があります。
JPCERT/CCも2016年に、ネットワーク機器を不用意にインターネットへ公開しないよう注意喚起しています。外部公開そのものが直ちに被害を意味するわけではありませんが、公開範囲を必要最小限にすることが重要です。
2. 総当たりや既知の脆弱性を使って侵入が試される
次に試されるのが認証の突破や脆弱性の悪用です。
たとえばSMBをインターネットへ直接公開している場合、IDやパスワードを繰り返し試す総当たりの対象になります。また、公開されている機能に既知の脆弱性があれば、それを利用した侵入が試される可能性があります。
NASの管理画面についても同様です。本来は機器を設定するための入口ですが、外部から直接アクセスできる状態にすると、その入口自体が攻撃対象になります。
ここでのポイントは、「ファイル共有」と「管理画面」は別の機能であっても、どちらも外部へ直接見せれば入口になり得ることです。
3. 侵入後は共有フォルダ全体が被害範囲になり得る
侵入された場合、問題はNAS本体だけでは終わりません。
ランサムウェアによる被害では、アクセス可能な共有フォルダのファイルがまとめて暗号化されたり、削除されたりする可能性があります。また、保存されているファイルが窃取されることも考えなければなりません。
共有フォルダには複数の部署や担当者が使うファイルがまとまっていることがあります。そのため、一つの入口から侵入された結果、個別のファイルではなく共有フォルダ単位で被害が広がる可能性があります。
NASのセキュリティを考える際には、「NASが乗っ取られるか」だけではなく、「そこからアクセスできるファイルの範囲はどこまでか」まで確認する必要があります。
NASで避けたい4つの外部公開パターン
危険性を判断するときは、NASの機種よりも「どう公開しているか」を確認する方が重要です。特に次の4つは点検しておきたいパターンです。
1. SMBをインターネットへ直接公開している
最も分かりやすいのが、SMBによるファイル共有をそのまま外部から利用できるようにする構成です。
SMBは社内でファイルを共有するためには便利ですが、直接インターネットへ公開すると、総当たりや既知の脆弱性を狙う攻撃の対象になります。
「社外から共有フォルダを開きたい」という目的と、「SMBそのものをインターネットへ公開する」ことは分けて考える必要があります。
必要なのは社外からファイルを使えることであって、ファイル共有機能そのものを誰でも到達できる場所へ置くことではありません。
2. NASの管理画面を外部公開している
NASにはユーザーや共有フォルダなどを設定するための管理画面があります。
この管理画面を外部から直接開けるようにすると、設定変更のための入口までインターネットへ露出することになります。
社外から管理する必要がある場合でも、「管理画面を直接公開すること」と「安全な経路を通って管理画面へ到達すること」は同じではありません。外部アクセスが必要だからといって、管理画面そのものを直接公開する必要があるとは限りません。
3. ポート転送やUPnPで意図せず公開している
自分ではNASを公開したつもりがなくても、ルーター側の設定によって外部から到達できる状態になる場合があります。
確認したいのがポート転送とUPnPです。ポート転送は、外部から届いた通信を社内の特定機器へ通す設定です。UPnPはネットワーク機器間の設定を自動化する仕組みで、結果として意図しない公開につながる可能性があります。
重要なのは、「NASの設定画面で外部公開を有効にしていないから大丈夫」とは限らないことです。
NASだけを見るのではなく、ルーターにどのようなポート転送が設定されているか、UPnPによって想定外の公開状態になっていないかまで確認する必要があります。
4. 中継・簡単アクセス機能を設定したままにしている
NASには、外部アクセスを簡単にするための中継機能や簡単アクセス機能が用意されている場合があります。
こうした機能は、利用者が複雑なネットワーク設定をしなくても社外から接続できるようにするものですが、設定を誤れば意図した範囲を超えて利用可能になる可能性があります。
問題は機能の存在そのものではなく、「誰が、どこから、何にアクセスできる設定になっているか」を把握しないまま使い続けることです。
以前設定した外部アクセス機能が現在も必要なのか、使っていない機能が有効なまま残っていないかも点検対象になります。
MacからNASを使うならAFPの設定も確認する
Macを長く利用している環境では、AFPという名前を見かけることがあります。
AFPは古くからあるMac向けのファイル共有方式です。現行のmacOSのファイル共有ガイドではSMBが案内されており、新しいファイルシステム（APFS）のボリュームはAFPでは共有できないとAppleが明記しています。
そのため、現在MacからNASを利用している場合も、「昔からこの設定で動いているから」という理由だけでAFPの共有設定を残すのではなく、古い設定が残っていないか確認した方がよいでしょう。
特に、過去にMac向けとして設定した共有機能をその後見直していない環境では、現在必要な設定と、過去の経緯で残っている設定を分けて確認することが重要です。
外部アクセスの点検では、現在使っている機能だけでなく、「使わなくなった公開設定が残っていないか」という視点も持ってください。
侵入を防ぐだけでなく、被害を小さくする備えも必要
外部公開の見直しと同時に、万一の場合に被害を広げないための準備も必要です。ここでは基本となる3点だけ確認します。
RAIDをバックアップの代わりにしない
NASでRAIDを利用していても、それだけでバックアップが完了しているわけではありません。
ランサムウェアによって共有フォルダ内のファイルが暗号化・削除された場合を考えると、同じ共有領域を守る仕組みとは別に、復旧に使えるバックアップを用意する必要があります（→ 中小企業のランサムウェア対策）。
「NASだからデータは守られている」と考えず、バックアップが別に存在するかを確認してください。
アクセス権限を必要最小限にする
すべての利用者がすべての共有フォルダへアクセスできる状態では、侵入されたアカウントから到達できる範囲も広くなります。
必要な人に、必要な共有フォルダだけを許可する最小権限の考え方が重要です。退職・委託終了時にアクセスを止める運用（→ 権限管理の記事）も含みます。
外部アクセスを見直す際には、入口だけでなく、その入口からどこまでアクセスできるのかも合わせて確認します。
ログを確認できる状態にする
外部アクセスを許可している場合は、アクセスの記録であるログも確認対象です。
外部からの利用を設定したまま、誰がアクセスしているのかをまったく確認していない状態は避けたいところです。日常的な運用方法の詳細は環境によって異なりますが、少なくともログを確認できる状態かどうかは把握しておく必要があります。
まとめ――NASを公開するのではなく、安全な経路の内側から使う
NASを社外から使うこと自体が問題なのではありません。問題になるのは、利便性を得るためにNASのファイル共有機能や管理画面をそのままインターネットへ公開してしまうことです。
まず、自社環境で次の点を確認してください。
- SMBがインターネットへ直接公開されていないか
- NASの管理画面を外部から直接開ける状態になっていないか
- ルーターに不要なポート転送が残っていないか
- UPnPによる意図しない公開がないか
- 中継・簡単アクセス機能の設定が現在も適切か
- Mac向けの古いAFP共有設定が残っていないか
- RAIDとは別にバックアップを用意しているか
- 共有フォルダのアクセス権限が必要最小限か
- 外部アクセスのログを確認できるか
外部アクセスが必要だからといって、NASそのものを直接インターネットへ公開する必要はありません。目指すべきなのは、「NASを外へ出す」構成ではなく、安全な経路を通った利用者だけが、その内側からNASへアクセスできる構成です。安全な構成の具体的な設計と選択肢は、NASの外部アクセスを安全にする記事で解説しています。
この「安全な経路の内側から使う」構成の一例がForceLinkです。SMBをインターネットに直接公開せず、許可した利用者だけが指定したNAS・ファイルサーバーへ接続するリモートアクセスで、「社内リソース・ルート制御」により接続後に社内LAN全体を開放しない設計です。ただし、現時点で多要素認証（MFA）には未対応のため、MFAを必須要件とする場合は要件に合う構成を別途ご確認ください。自社のNAS・サーバー構成で使えるかは、お問い合わせで個別にご確認いただけます。
現在すでに外部アクセスを利用している場合も、まずはNASとルーターの公開設定を確認し、不要な入口が残っていないかを点検するところから始めるのが現実的です。