企業ネットワーク内の接続を暗号化する必要がありますか？
オフィスに適切なレベルの物理的セキュリティがある場合、ネットワークに接続されたデバイスの物理アドレスを監視し、信頼できる関係者にのみVPNアクセスを許可します。イントラネットリソースへのアクセスをHTTP経由で暗号化する必要がありますか？
クレデンシャルをプレーンテキストでネットワーク経由で送信したくない、そのような場合は自分のネットワークIDに責任を負えない、と文句を言う従業員がいます。誰かが彼のアイデンティティを盗む現実の世界の可能性は何ですか？企業ネットワーク内の暗号化に関する明確な推奨事項は見つかりません。
はい、暗号化します。簡単です。さらに、2014 Software Engineering Instituteの調査によると、ハッキングの4分の1は、社内の誰かによるもので、平均的な被害は外部の脅威のアクターよりも50％高くなっています。
ソースへのリンク： https://insights.sei.cmu.edu/insider-threat/2017/01/2016-us-state-of-cybercrime-highlights.html これは2017バージョンですが。
誰かが彼のアイデンティティを盗む現実の世界の可能性は何ですか？
同じLAN上にある場合にHTTP接続でMITM攻撃を実行することは基本的に簡単です。 ARPは安全であるように設計されていません。いくつかのハイエンドスイッチは、適切な緩和策を提供しますが、それは、驚くほど高価でないものに対してはほとんどかなり弱いです。
クレデンシャルをプレーンテキストでネットワーク経由で送信したくない、そのような場合は自分のネットワークIDに責任を負えない、と文句を言う従業員がいます。
資格情報を使用して行われたアクションに責任がある場合、それらの資格情報を他の従業員から保護するために妥当な予防策を講じないことは不公平です。彼らはネットワークの隔離のために外部の攻撃者から安全かもしれませんが、それはおそらく男が心配しているものではありません...
はい、接続を暗号化する必要があります。ネットワークが物理的に保護されており（必要な物理的セキュリティとその他の必要なセキュリティ対策により）、インターネットアクセスがない（信頼できるソースへのVPNアクセスのみを許可するように指定しているため）と考えているシナリオを考えてみましょう。家とインターネットに接続します。マルウェアが予告なしに実装される可能性があります。また、このマルウェアは、企業ネットワークに接続されてトラフィックを盗聴し始めたときにアクティブになる可能性があります。これにより、全員の資格情報を含むすべての企業コミュニケーションが漏洩します。
したがって、機密トラフィックを暗号化することが常に推奨されます。
さらにCAによる調査（Insider Threat Report-2018）は、インサイダーの脅威に対する懸念を以下に示しています（参照： https://www.ca.com/content/dam/ca/us/files/ebook/insider-threat -report.pdf ）。
レポートからの抽出：
- 組織の90％は、内部からの攻撃に対して脆弱であると感じています。主要なリスク要因には、過度のアクセス権限を持つユーザーが多すぎる（37％）、機密データにアクセスできるデバイスの数が増える（36％）、情報技術の複雑さが増す（35％）などがあります。
- 53％の過半数が、過去12か月間の組織に対するインサイダー攻撃を確認しました（通常、5回未満の攻撃）。組織の27％は、内部からの攻撃がより頻繁になったと述べています。
組織はインサイダー脅威の検出（64％）に焦点を移しており、次に抑止方法（58％）と分析および違反後のフォレンジック（49％）が続きます。ユーザーの行動監視の使用が加速しています。 94％の組織がユーザーを監視する何らかの方法を導入し、93％が機密データへのアクセスを監視しています。
インサイダーの脅威を阻止する最も人気のあるテクノロジーは、データ損失防止（DLP）、暗号化、IDおよびアクセス管理ソリューションです。アクティブなインサイダーの脅威をより適切に検出するために、企業は侵入検知防止（IDS）、ログ管理、SIEMプラットフォームを導入します。
- 組織の圧倒的多数（86％）は、内部の脅威プログラムをすでに持っているか、構築しています。 36％はインサイダー攻撃に対応するための正式なプログラムを実施しており、50％はプログラムの開発に集中しています。
インサイダー攻撃の可能な解決策/緩和制御は次のようになります 
出典：2018 Insider Threat Report、CA Technologies
否認のリスク
脅威としての従業員および訪問者としての脅威としてのすべてのすばらしい答えに加えて、トラフィックが暗号化されていないという単なる事実はそれ自体がであることを考慮する必要があると思います脆弱性ハッカーがまったくいない場合でも。
（誤ってまたは故意に）やるべきではないことをしてから呼び出された従業員がdenyそれは実際には彼らだった。通常、マネージャは「ログインしているため、あなたであることがわかります」と言うだけです。この場合、被告の従業員は「ログインは価値がなく、あなたはそれを知っています。LAN上の誰もが私のパスワードを盗聴し、私を装ってこの悪いことをした可能性があります」と合理的に返信できます。
一部の企業、特に悪い習慣を発達させるのに十分な期間が経過している大企業では、おおよそ次のような誤ったセキュリティモデルがあります。
他の誰もそれをプラグインせず、内部の誰もそれを悪用するのに十分な技術力を持っていない限り、ネットワークは安全です。
すべてのケースでこれを保護することは可能ですか？いいえ。ただし、物理的/建物の適切なアクセス制御はリスクの低減に役立ちます。しかし、ゲストが会議などのためにオフィスに入ることが許可されている場合はどうでしょうか。会議室に簡単にアクセスできるイーサネットポートまたは簡単にアクセスできるワイヤレスネットワークはありますか、またはこれらのネットワークは、資格情報が飛び交う可能性のあるネットワークから分離されていますか？
また、保護しようとしているものによっても異なります。 （組織の内外から）誰かが別のユーザーのプレーンテキストの資格情報を盗む最悪のシナリオを考えてみましょう。彼らは何ができるのでしょうか。重要なインフラストラクチャにアクセスしたり、目立たない開発サーバーにアクセスしたりしますか？ IDが盗まれた場合、誰がログインを使用しているかを特定できますか？
理想的には、誰もがどこでも暗号化を使用するでしょう。ただし、上記の脅威がリスク許容範囲内である場合は、イントラネットリソースを暗号化することが緊急ではない可能性があります。組織の規模によっては、すべてのリソースにCAおよびSSL証明書を展開するときにオーバーヘッドが発生する場合があります。さらに悪いことを自問してみてください：最悪のシナリオか、すべてを暗号化する作業に取り掛かりますか？
2018年の答えは、脅威とリスク分析の結果によって異なります。もちろん、適切な統計的または定量的な方法に従って、実行し、考えられるシナリオを特定し、それらを評価し、影響と頻度に基づいてビジネス上の決定を行いました。
しかし、あなたの個々の従業員は彼自身の個人的なリスク分析を行い、あなたが示した結果、すなわち次の結果に達しました：
そのような場合、彼は自分のネットワークIDに対して責任を負うことができません。
そして、彼はその評価において完全に正しいです。状況を一見しただけでも、彼以外の誰かが、最小限の技術的スキルで彼になりすますことができることは明らかです。
あなたにとってビジネスリスクは許容可能です（明らかに、内部ネットワークが暗号化されていないのは2018年であることを意味します。これは意図的な決定であり、たとえば、私たちが常に行っていることではありません。そんなことでしょ？）そしてあなたはその決定において正しいかもしれません。リスクを受け入れることは完全に有効なオプションです。
彼にリスクは受け入れられません。彼は彼の声明で会社のビジネス上の決定をしないことに注意してください。彼は自分で個人的な決断をします。これが、2つのリスク分析が異なる結果（異なるコンテキスト、リスク選好度、影響）になる可能性がある理由です。
正解は、あなたが彼が取ることを拒否する責任を取ることです。ネットワークを暗号化せずに実行し、リスクを受け入れることにより、会社はユーザーを保護しないことを決定したため、そのネットワークのユーザーのネットワークIDに対する責任を負います。
私はあなたの企業のリスク管理についての私の想定も間違っている可能性があります。その場合、この特定の事実（暗号化されていない内部ネットワーク）と脅威（ユーザーの偽装）のリスク分析を行うことをお勧めします。暗号化されていないネットワーク、またはネットワークをセキュリティで保護することは、予想される損失よりもコストがかかることを示す結果で固めます。
はい、「安全な」企業ネットワーク内で暗号化する必要があります。
ネットワークへの侵入はトラフィックのスヌーピングにつながり、暗号化されていないものは攻撃者にとって簡単な選択です。資格情報、パスワード、給与情報、事業計画など。
現実世界のホラーストーリーについては、「横方向の動きのセキュリティ」を検索してください。硬くて歯応えのあるシェル、柔らかく歯ごたえのある内部は、もはやどの企業にとっても有効なセキュリティ対策ではありません。
GDPRには厳密な技術要件はほとんどありませんが、EU市民の個人情報を扱う場合、GDPRコンプライアンスを満たすための一般的な解決策は、（ネットワーク経由の）飛行中のデータに暗号化があることを示すことです
実際には、物理的なセキュリティはさておき、ポートに物理的に接続することでネットワーク内にアクセスすることはそれほど難しくありません（毎晩清掃スタッフを毎晩監視していますか？-ベンダーを訪問するのはどうですか？）おそらく、何らかの形のネットワーク侵入によるものです。
GoogleのBeyondCorp論文を引用した人もいますが、これは一読の価値があります。 https://cloud.google.com/beyondcorp/
基本的に、あなたの「内部」ネットワークは、ワイルドで厄介な外部インターネットよりもはるかに信頼されるべきではありません。
暗号化は、低コスト、高報酬の防御スタンスです。なんでやらないの？
はい。公共のインターネットと同じように、イントラネット上の接続は常に暗号化する必要があります。
DNSリバインディング攻撃 昨日公開された攻撃者は、攻撃者が制御するIPアドレスから適切なイントラネットIP（例10.0.0.22）にDNSを再バインドすることにより、攻撃者が被害者のイントラネット上の任意のHTTPリソースにフルアクセスできるようにします。 。 （HTTPサービス用のイントラネットIPスペースのスキャンは その他の手法 を使用して行うことができ、 ユーザーのプライベートIPアドレスの知識 を使用すると簡単になります。）
このような攻撃が機能するために必要なことは、攻撃者が制御するWebページ（またはJavaScriptまたはiframeなど）をロードする被害者 トリック である。
DNSの再バインドは提示された証明書ドメインと一致しないため、この攻撃はHTTPSで軽減するのが最適です。デフォルトの仮想ホストを削除すると、この特定の攻撃が緩和されるように見えますが、この攻撃は、暗号化されていない接続を介して内部リソースを公開すると、他の場所にセキュリティの脆弱性のある責任が発生することを示しています。 （昨年末に発生した多数の802.11 wifiの脆弱性についても話していません。wifi経由でイントラネットリソースを公開しないでください！）
多層防御
ここにはいくつかの良い答えがありますが、すべての従業員を完全に信頼している場合でも（おそらくそうすべきではありません）、外部の攻撃者の扉を開き、セキュリティを非常に難しくします。
通常、攻撃者はまず何らかの方法でネットワークに侵入する必要があり（これはさまざまな方法で実行できます）、次にどこかにログインして、機密データに実際にアクセスする必要があります。どこにでも暗号化されていないログインパスワードを提供することで、2番目のステップが非常に簡単になりました。これで、攻撃者がネットワークにアクセスするたびに、すぐに高レベルの資格情報にアクセスできるようになります。
複数の層で防御する概念は、多層防御と呼ばれます。攻撃者が1つの層を危険にさらすことができる場合でも、攻撃者は追加の障壁を破って危害を加える必要があります。
それでは、どうぞクレデンシャルを暗号化してください！
hTTP経由でイントラネットリソースへのアクセスを暗号化する必要がありますか？
はい-人々がサービスに対して認証している場合。
誰かが彼のアイデンティティを盗む現実の世界の可能性は何ですか？
わからない-あなたのオフィスで働いている人や、Wi-Fiネットワークの範囲内にいる人、またはあなたのネットワークを盗聴できる人に会ったことがありません。私はあなたが「まともなレベルの物理的セキュリティ」をどのように考えているのかわかりません。 「信頼できる当事者」をどれだけ信頼しているかはわかりません。確かに、MACアドレスの監視では、ネットワークの盗聴から保護することはほとんどありません。
TLSを実装するのにどれだけの害がありますか？
あなたの従業員の批判は的を得ています。
このように考えてください。資格情報の暗号化が不要であると思われるところまでネットワークを信頼している場合、なぜ資格情報が必要なのですか？ログインフォームを単純なフィールドに置き換えることができると思いますか？ユーザーは自分の名前を入力できますか？
答えが「いいえ」の場合、信任状を暗号化せずに送信することも選択肢にはなりません。結局、信頼できる関係者をそれほど信用しておらず、HTTP経由で送信されるパスワードはそれほど秘密ではないからです。