FTP（ファイル転送プロトコル）と、より安全な SFTP（セキュアファイル転送プロトコル）は、Web 経由でファイルを移動するのによく使用される標準プロトコルです。費用対効果が高くて、簡単に導入できます。また、規制が厳しい産業では、Google Drive や DropBox などのコンプライアンスが満たせないデータ転送ツールの使用を回避できるというメリットもあります。しかし、メリットを見るだけでなく、リスクの可能性についても知っておく必要があります。
FTP は、組織全体で、あるいは外部のビジネスパートナーも含めて、データを安全に転送するための簡単な方法として生み出されました。ですが、1990年代の開発当初とは状況が随分と変わりました。パスワード保護された FTP サーバーは、当時としては十分に安全でしたが、現在では、ブルートフォース攻撃は普通に行われ、ボット攻撃の形で自動化されるようにさえなっています。
FTP は安全か？
FTP 自体は、パスワードとユーザー名をプレーンテキストで転送するため、設計レベルで安全性を欠いています。したがって、中間者攻撃は普通に起こり得ます。適切にセグメントされていない匿名 FTP サーバーを使うことで、ネットワーク上の重要な資産へのアクセスを許してしまう可能性があります。SSH または SSL のセキュリティが追加されていない FTP プロトコルは、データを暗号化されないまま伝送します。サーバーはあまり厳密に管理されていない場合が多く、簡単にアクセスして利用できる大量の情報が存在するかもしれません。貴重な情報が含まれていたり、サイバー攻撃のために使われたりする可能性があります。また、自動化スクリプトやアクティビティ・ログも保護されていないことがよくあり、追跡されないようにログファイルを変更する余地をハッカーに与えてしまいます。
FTP スプロールについて
FTP と SFTP に固有の問題として、FTP スプロールがあります。FTP スプロールは、サーバーが無秩序に増加するサーバースプロールの FTP サーバー版であり、サイバーセキュリティ上、そして IT メンテナンス上でも、大きな問題となります。FTP スプロールは、データを安全に社内外に転送するために使用される IT インフラストラクチャ上の FTP サーバーが無秩序に増えてしまい、すべてを適切に管理することが困難になってしまう現象です。
ネットワーク全体で数十にも上る数の FTP サーバーが使用されていることさえ珍しくありませんが、無秩序に増加すると、匿名モードで設定されていたり、ファイルをクリアテキストで保存したりする FTP サーバーがあっても管理しきれません。クリアテキストの FTP サーバーは、サイバー犯罪者にとって格好のターゲットです。また、スクリプトに依存する場合もあり、管理がより困難になります。
FTP スプロールがもたらす大きな問題
FBI が2017年に発した通告（FBI PIN 170322-001）では、ハッカーが匿名モードに設定されたクリアテキストの FTP サーバーを標的として、ビジネスネットワークに攻撃を仕掛けていると警告しています。現在では、企業セキュリティ、リスク管理、コンプライアンス、IT管理に関与する多くの部門が、IT 環境からクリアテキストと匿名 FTP サーバーを積極的に排除しています。
FTP スプロールは、端的に言えば、非効率的であって安全ではありません。特に医療や金融など、コンプライアンス制約が厳しい業界では、大きな問題になるので、避ける必要があります。新しいビジネス要件が追加されたり、新しいプロジェクトが発生したりすると、それに対応するために新しく別の FTP サーバーを追加しようとする傾向があります。多忙な IT 管理者が、プロトコルとテクノロジーを丁寧にチェックして必要な変更を加えるための時間を確保できるという保証はありません。サーバー統合を行わずに物理サーバーを保守していくことは困難です。また、これまで行っていた慣れた操作に変更が加わると、エンドユーザーから反発される恐れもあります。
FTP スプロールへの対処
FTP スプロールは、長年の不十分な情報管理の結果として生ずるものであり、手に負えないからと言って放置しておけばさらに悪化します。FTP スプロールは、IT 部門での情報管理を見直して、制御できるようにする必要があります。面倒だったり時間がかかり過ぎたりすると、嫌気がさしたユーザーがシャドー IT を選んでしまう可能性があるので、効率的で使いやすいソリューションを選ぶ必要があります。FTP スプロールであっても、一般的なサーバースプロールであっても、本質的な問題は人員を増やせば解決できるというものではなく、人海戦術で乗り切ろうとするのは得策ではありません。
FTP スプロール問題に対処するためのソリューションはいくつもありますが、HIPAA や SOX などの厳しい規制に準拠する必要がある業種や、EU 在籍者のデータを扱うため GDPR（一般データ保護規則）コンプライアントを求められる場合は、ただセキュアであるだけでなくコンプライアンスを確保できるようなソリューションが必要です。
医療機関の場合、患者のデータを本人に開示しなければならないのは当然であり、しかもデータなしには治療方針も立てられず、保険関連の処理にもデータが必要にになってくるという特殊性があり、医療関係IT部門特有の問題があります。アクセスポイントが施設全体に広がっており、合法的なユーザーとその所属先の数も多いので、ソーシャルエンジニアリング攻撃への入り口が多数あることになります。
FTP スプロール排除のためのソリューション
無秩序に増加した FTP サーバー、SFTP サーバーを整理して統一された管理を行う最良の方法は、マネージド・ファイル・トランスファー（MFT）ソリューションを使用することです。MFTは、シンプルで安全なプロトコルと理解しやすい交換モデルを使用して、組織間でファイルを確実に転送することに重点を置いた、特定用途向けミドルウェアです。セキュリティ保護の暗号化、管理性、スケーラビリティ、ファイル処理、統合、レポート作成、自動化などの点で優れており、高度に制御されたファイル転送を実施することが可能です。
プログレスのマネージド・ファイル・トランスファー・ソリューション、MOVEit を使用すると、すべてのファイル転送アクティビティを単一のシステムで管理、表示、保護、コントロールできます。しっかりしたセキュリティ・コントロールの下で、IT 部門が逐一関与しなくても、状況に応じてユーザーがセルフサービスでファイル転送を行うことも可能です。管理のために費やされる時間とコストを削減し、様々な業種の様々な規模の企業のセキュリティとコンプライアンスのニーズに対応できます。