攻撃者狙う脆弱な「VPN」、導入や堅牢化のガイダンスを米政府が公開

また定期的にソフトウェアを更新しており、迅速に脆弱性を修正する実績を持ったベンダーを選択し、製品のサポート年数に注意を払うよう求めている。

運用にあたってはアップデートのすみやかな適用、VPN以外の機能の無効化のほか、クライアント証明書や多要素認証の活用などを挙げた。あわせて管理者インタフェースへのアクセス制御、アクセス状況の監視、ウェブアプリケーションファイアウォール（WAF）の活用などを示している。

またメジャーアップデートや脆弱性の悪用が判明しているバージョンより更新する場合は、侵害されていることを想定した対応を求めた。

具体的には、管理者やユーザーの認証情報を更新したり、鍵や証明書を破棄してあたらしいものを生成。不正なアカウントが作成されていないか、確認することなども挙げている。

（Security NEXT - 2021/09/30 ）ツイート