VPN 経由の Nessus：最初のスキャン前にスキャナの配置を決める

ブラウザの横にある VPN アイコンは、スキャンパケットを送るプロセスについて何も語らない。コンソールとスキャナが別のホストで動いているなら、ブラウザのトンネルは一つの経路であり、スキャンの送信元は別の経路である。まず実行点を特定し、そこから外側へルート、認可、認証情報へと進む。この区別がチェックリストの最初に置かれているのには理由がある。

これは起動前のチェックリストであり、スキャンのチュートリアルではない。各手順は、パケットがスキャナを離れる前に作業記録へ書ける事実を一つ生む。

チェック①：プローブを送るプロセスを特定する

三つの役割を明示的に描く。ノート PC A 上のブラウザ、ホスト B 上のスキャンコンソール、プライベートなターゲット C である。B がスキャンエンジンも動かしているなら、ブラウザに必要なのは B への経路だけだ。別のスキャンアプライアンスが処理するなら、そのアプライアンスに C への経路が必要になる。

Browser on laptop A -> console on host B
Scanner process on B (or another appliance) -> private target C

VPN に接続したブラウザがコンソールに到達できても、その背後のスキャナにはまだ C へのルートがないことがある。逆もあり得る。スキャナがプライベートネットワーク内にあり、コンソールが遠隔にある場合だ。ネットワーク制御を変える前に、実際にどの配置で動いているかを突き止める。ネットワークのせいにする前に、スキャン設定でアプライアンスを明記する。

スキャナが A 上で動く場合、ブラウザのホストとスキャナは同じコンテキストを共有するが、それはそのプロセスが同じ名前空間とルーティングテーブルを保つ間だけだ。コンテナやサービスアカウントは、対話型ブラウザが見ているものを継承しないことがある。コンソールは管理面であり、スキャンエンジンではない。

チェック②：スキャナのルートと DNS を証明する

ルート確認はノート PC ではなくスキャナのホストで実行する。カーネルに、ターゲットのアドレスに使うインターフェースとゲートウェイを尋ね、ターゲットのホスト名でも同じことを繰り返す。IP に対して存在するルートと、別のアドレスに解決される名前は、二つの異なる障害である。

ターゲット側に現れる送信元アドレスを確認する。VPN クライアントはターゲットのファイアウォールが想定するアドレスとは違うアドレスを割り当てることがあり、NAT 機器がさらに書き換えることもある。ターゲットの所有者が必要とするのは観測された送信元であり、VPN プロファイルに印字されたアドレスではない。

戻りの経路も確認する。ターゲットに到達しても応答を受け取れないスキャナには、戻り側のルーティングかファイアウォールの問題があり、それはターゲットが停止しているのと見分けがつかない。

チェック③：範囲と視点の認可を得る

ターゲットの所有者に、システム、サービス、環境、送信元、時間枠を書面で明示してもらう。その評価がどの視点を表すのかを決める。外部の VPN ユーザーか、許可された内部クライアントか、特定のスキャナセグメントかである。

プライベートなルートは、隣接ネットワークを試験する許可ではない。ターゲット一覧は狭く保ち、除外するシステムを列挙し、停止条件と実行を止められる連絡先を合意する。スキャナは到達できるものは何でも喜んで調べる。だからこそ範囲を明示しなければならない。

承認された送信元を同じ文書に記録する。スキャナが観測した送信元が承認されたものと異なるなら、ターゲット一覧が正しくても、その実行は合意した視点を表していない。

チェック④：認証情報を評価の深さに合わせる

到達性の確認と認証付きの評価は別の試験である。ポートの応答は何かが答えたことを示すだけで、認証情報を使った検査が走ったことや、アプリケーションがアカウントを認可したことは示さない。

専用の認証情報は、合意した範囲が認証付き検査を要求する場合にのみ使う。アカウントの権限とロックアウトの方針を確認し、スキャンが所見を生む前に、その保存と共有の方法を決める。

認証情報が失敗したとき、黙って未認証の実行に切り替え、その報告書を計画された評価として扱ってはならない。結果は意味の異なる別の試験であり、その違いは報告書に書くべきものだ。

チェック⑤：計画を保存してから意図的に起動する

Nessus のスキャンワークフローでは、テンプレートの選択、設定の構成、スキャンの保存または起動は別々の手順である。この分離を利用して、トラフィックが始まる前にターゲット一覧、送信元、スケジュールを見直す。

起動を認可する前に、VPN がどの送信元を許すか、どのトラフィックを運ぶか、トンネルが切れた後にどう復旧するかを確認する。予備接続が失敗しただけでファイアウォールのアクセスを広げてはいけない。拒否した層を見つけ、その層を直す。

実行後は、スキャナのホスト、観測された送信元、ターゲット一覧、完了できなかった検査を記録する。別の送信元から、あるいは想定した認証情報なしで作られた報告書は元の計画を表さない。そう明記することも成果物の一部である。

作業用のアクセスを解除し、保持した結果は合意した手順で扱う。チェックリストが終わるのは、証拠が承認した経路と一致したときであり、スキャンが結果を返しただけでは終わらない。