SD-WANのセキュリティリスクと設計ガイド｜拠点間VPN代替で広がる攻撃対象領域と防御原則

SD-WANへの移行を検討しているが、セキュリティ面が心配で踏み出せない——そんな情シス担当者の声をよく耳にします。確かに、SD-WAN（Software-Defined Wide Area Network）は従来のMPLS専用線やサイト間VPNと比べてコスト削減・運用効率向上に大きな効果をもたらします。しかしその一方で、設計を誤ると攻撃対象領域が一気に広がり、かえってセキュリティリスクが高まることも事実です。

この記事では、SD-WANが持つセキュリティリスクの本質から、現場で使える5つの防御設計原則、製品選定時のチェックポイントまで、攻撃者の視点を交えながら解説します。

SD-WANとは？従来型WANとの違いとセキュリティの文脈

SD-WANはソフトウェアによってネットワークの経路制御やポリシー管理を集中的に行う技術です。従来型の拠点間WAN（MPLSや専用線）では物理回線が主役でしたが、SD-WANはインターネット回線・LTE/5G・MPLSなど複数の接続手段をソフトウェアで束ね、コストを抑えつつ柔軟な運用を実現します。

・従来型WAN（MPLS中心）: 専用線による閉域接続。高コストだが通信品質・セキュリティは確保しやすい
・SD-WAN: インターネット回線を主体に複数回線を束ねる。低コスト・高柔軟性だが、インターネットに直接つながる分、攻撃経路が増える

2024年以降、国内でもSD-WAN導入企業が急増しています。中小企業がコスト効率を求めてMPLSからSD-WANへの移行を進める中、セキュリティ設計が後回しにされるケースが目立ちます。

SASE（Secure Access Service Edge）ではSD-WANとセキュリティ機能を一体化させる考え方が広まっていますが、SD-WAN単体で導入してセキュリティを後から検討するパターンは危険です。

SD-WANが広げる攻撃対象領域

SD-WANへの移行は、次の3つの観点で攻撃対象領域（アタックサーフェス）を拡大します。

1. コントロールプレーンの集中化リスク

SD-WANの根幹はコントローラー（管理基盤）です。全拠点の経路情報・ポリシー・認証情報を一元管理するため、コントローラーが侵害されると全拠点のネットワークが攻撃者の制御下に置かれます。

・クラウド型コントローラー: ベンダーのクラウドに依存するため、ベンダー側の脆弱性・認証管理が直接リスクになる
・オンプレミス型コントローラー: 自社での保護責任が大きい。インターネットから直接アクセスできる状態になっていないか要確認

攻撃者の視点では「コントローラーを1つ落とせば全拠点に侵入できる」という魅力的な標的です。2024年以降、複数のSD-WANベンダーのコントローラーに深刻な脆弱性が報告されており、CISAのKEV（既知悪用脆弱性リスト）にも複数のSD-WAN製品が掲載されています。

2. インターネット直接接続（DIA）の拡大

SD-WANではクラウドサービスへのアクセスを本社経由でなく各拠点から直接インターネットへ抜ける「DIA（Direct Internet Access）」を使うことが多いです。従来はすべての通信が本社のセキュリティ機器（ファイアウォール・UTM）を通過していましたが、DIAではそのバイパスが発生します。

・拠点ごとのセキュリティ機能（ファイアウォール・IPS・URLフィルタリング）が必須になる
・拠点のセキュリティ水準がバラつくと、設備の薄い拠点が侵入口になる
・インターネット直接接続のアプライアンス自身の脆弱性管理が重要になる

3. トラフィック可視性の低下

SD-WANでは暗号化されたトンネルで拠点間通信を行います。この暗号化がセキュリティ機器によるインライン検査を難しくするケースがあります。また、クラウドSaaSへのトラフィックをSD-WANゲートウェイ経由で直接流す構成では、従来のSIEMが捕捉できない通信が増加します。

「可視化できていない通信路は管理されていないリスクと同義」です。SD-WAN導入後に監視の空白地帯が生まれていないか、定期的に棚卸しすることが重要です。

SD-WANのセキュリティ設計原則5つ

1. ゼロトラストベースのアクセス制御

SD-WANは物理的な境界（閉域網）がなくなる方向に向かうため、「内部ネットワークにいれば信頼する」という境界型セキュリティは機能しません。各拠点・ユーザー・デバイスを常に認証・認可し、最小権限でアクセスを許可するゼロトラストアーキテクチャが基本になります。

ZTNA（ゼロトラストネットワークアクセス）をSD-WANと組み合わせることで、ユーザー・デバイス・コンテキストに基づいた動的なアクセス制御が実現します。「誰が・どのデバイスで・どのリソースに・なぜアクセスするのか」をすべての接続で検証する設計が理想です。

2. エンドツーエンド暗号化の確保と定期監査

SD-WANのデータプレーンでは拠点間通信をIPsecやTLSで暗号化します。この暗号化設定が適切かどうかを定期的に確認してください。

# SD-WAN機器で確認すべき暗号化設定の例（Cisco SD-WAN vEdge/cEdge）
# 推奨: AES-256-GCM + SHA-256以上 + DH group 14以上
show crypto ikev2 sa detail
show crypto ipsec sa detail

# 古い暗号スイート（3DES, DES, MD5）が無効化されているか確認
show run | include encryption

# 鍵の有効期限・再ネゴシエーション間隔の確認
# 長すぎる有効期限は鍵漏洩時のリスクを高める
show crypto ipsec sa | include lifetime

IPsecの仕組みとモードを理解した上で、SD-WANが実際に使っている暗号スイートを年1回以上監査することを推奨します。

3. コントローラーの多層防護

コントローラーは全拠点の命運を握る最重要資産です。以下の点を必ず確認してください。

・アクセス制限: 管理コンソールへのアクセスをIPホワイトリスト（信頼済みIPのみ）に限定する。インターネットへの直接公開は禁止
・MFA（多要素認証）: 管理者アカウントには必ずMFAを有効化する
・ロールベースアクセス制御: 全員にAdmin権限を与えない。読み取り専用ロールを積極活用する
・監査ログ: 管理者操作のログを取得し、定期レビューまたはSIEMへ転送する
・脆弱性管理: コントローラーのファームウェア・ソフトウェアを最新状態に保つ。ベンダーのセキュリティアドバイザリをRSS等で定期購読する

4. 可視性とログ管理の確保

SD-WANでは各拠点のアプライアンスがトラフィックを処理するため、従来の中央集権型ログ収集とは異なる工夫が必要です。

・フローログの集中収集: NetFlow/IPFIXをSIEMやログサーバーに転送し、拠点横断的な異常通信を検知できる体制を整える
・アクセスログ: 誰が・どの拠点から・どのサービスに・いつアクセスしたかのログを保持する
・コントローラーAPIの監査: SD-WANはAPIで設定変更できるため、API呼び出しのログも監査対象に含める
・アラート設定: 深夜・休日の管理者ログイン、複数拠点への短時間ポリシー変更などを異常としてアラートする

5. セグメンテーションの維持

SD-WANは複数拠点を効率的につなぐ一方で、セグメント設計を怠ると内部でのラテラルムーブメント（横移動）が容易になります。

・VRF（Virtual Routing and Forwarding）: 業務系・管理系・ゲスト系を論理的に分離し、セグメント間の通信を最小化する
・アプリケーション別ポリシー: SD-WANのL7認識機能を使い、「拠点AからはERPサーバーBのみ通信可」などのポリシーを実装する
・拠点間のEast-West通信制御: 拠点同士が自由に通信できる設定は避け、必要最小限のフローのみ許可する

SD-WAN製品選定時のセキュリティチェックポイント

SD-WAN製品はベンダーによってセキュリティ機能の充実度が大きく異なります。選定時に確認すべき主なポイントをまとめます。

中小企業でも今日からできること

「SD-WANは大企業向け」と思われがちですが、中小規模の環境でも以下の確認は今すぐ実施できます。

既存のSD-WAN環境がある場合
・コントローラーへのアクセス制限確認: 管理IPがインターネットに公開されていないか、VPN経由のみのアクセスになっているかを確認する
・デフォルト認証情報の変更確認: 納品時のデフォルトパスワードが残っていないか棚卸しする
・ファームウェア更新状況の確認: 各拠点アプライアンスのファームウェアバージョンと最新版との差分を把握する
・ログの確認: コントローラーの管理者ログイン履歴を確認し、不審なアクセスがないかチェックする

SD-WAN導入を検討中の場合
・SASEやZTNAの概念をセットで理解し、セキュリティ込みの設計で検討する
・提案依頼書（RFP）にセキュリティ要件を明記し、ベンダーに回答を求める
・運用担当者がいない場合はマネージドSD-WANサービスも選択肢に加える

ネットワーク機器のハードニング実践ガイドも参考にしながら、SD-WANアプライアンスの初期設定を見直してみてください。

よくある誤解と注意点

【誤解1】SD-WANはVPNより安全
SD-WANはトラフィックの最適化と運用効率を高める技術であり、それ自体がセキュリティを強化するわけではありません。適切なセキュリティ設計を施さないSD-WANは、従来のサイト間IPsec VPNよりも攻撃面が広くなる場合があります。

【誤解2】暗号化されているから監視不要
拠点間トラフィックが暗号化されていても、暗号化されたトンネル内でマルウェアが横移動することがあります。EDRによるエンドポイント検知やフローログの分析を組み合わせることが重要です。

【誤解3】クラウド型コントローラーはベンダー任せでよい
クラウドコントローラーのインフラセキュリティはベンダーが担う部分もありますが、管理者アカウントの保護・アクセス制御・ログ監査は利用者側の責任です。クラウドサービス利用時と同様の責任共有モデルで考えてください。

【誤解4】ゼロタッチプロビジョニングはそのまま使って問題ない
ZTP（ゼロタッチプロビジョニング）は導入を簡便にする一方、初期設定の認証が弱いと攻撃者に悪用されます。プロビジョニング完了後は必ず認証情報を変更し、ZTP機能そのものを無効化することを推奨します。

本記事のまとめ

SD-WANは適切に設計すれば運用コスト削減と柔軟性向上を実現できる有力な技術です。しかし「とにかくWAN回線コストを下げたい」という動機だけで進めると、セキュリティの後退を招きます。「SD-WANを導入するならセキュリティ設計もセットで」という原則を守り、コントローラー保護・暗号化・可視性・ゼロトラストの4軸で設計を進めてください。