工場を守るセキュリティ対策

工場を守るためにはまず、資産の可視化が重要になります。可視化できなければ、どういう経路で攻撃されるのかが判断できないため、適切な対策ができません。

可視化ができた後は、ネットワークの分離（セグメンテーション）が重要になります。万が一侵入された場合でも、深いエリアへの侵入を防ぐことで被害を最小化できます。

可能であればより細かいネットワークの分離（マイクロセグメンテーション）や、認証、暗号化を備えたプロトコルへの移行により、よりセキュアなOT環境を構築することができます。



・資産の可視化

資産を可視化する手法として、大きく「アクティブスキャン」と「パッシバッスキャン」の2種類に分けられます。
アクティブスキャンは、対象の機器に直接信号を送り、その応答から機器の種類や状態を把握する手法です。短時間で正確な情報を得られますが、通信の負荷によって機器が誤作動するリスクを伴います。
パッシブスキャンは、ネットワーク上に流れる通信を監視することで、使用されている機器や通信の状況を把握する手法です。機器に直接働きかけないため、稼働中のシステムに影響を与えません。

第1章で述べた通り、OT環境は可用性を最優先とし、システムの停止が生産に大きく影響します。また、古いレガシー機器は想定外の通信に対して誤作動を起こしやすいというリスクもあります。そのため、OT環境の資産可視化では、機器に負荷をかけないパッシブスキャンを基本とするのが一般的です。

・多層防御

工場を守るうえで重要な考え方の1つとして「多層防御」があります。
どれほど強固な対策であっても、単独で100%防ぐことはできません。そこで防御の層を増やし、1つ突破されても別の層で食い止める、という考え方が多層防御です。

・ゼロトラスト

マイクロセグメンテーションの背景には、「ゼロトラスト」という考え方があります。
従来のセキュリティは、ネットワークの内側は安全、外側は危険という考え方でした。境界にファイアウォールを置き、内側に入った通信は基本的にすべて信頼するという考え方です。

しかし、第3章で述べたように、攻撃者は内側に侵入したうえで横展開を行います。また、サプライチェーン攻撃では、信頼されたベンダー経由で内側に入り込んできます。もはや内側だから安全という前提は成り立ちません。
そこで生まれたのが「何も信頼せず、すべての通信をその都度検証する」というゼロトラストの思想です。この思想をネットワークで具体的に実装したものが、次に述べるマイクロセグメンテーションです。

・マイクロセグメンテーション

ネットワークの分離によっていくつかの区画（セグメント）に分けた後、各区画内での通信に厳密なルールを設けることでセキュリティをより強化します。
従来のファイアウォールなどでは、区画間の通信制御が主であり、一度侵入されると同一区画内での横展開を防ぐことが難しいという問題がありました。

これに対し、マイクロセグメンテーションでは、PLCやHMI、SCADAなどの制御機器間において、どの機器がどの機器に対して、どのプロトコル・コマンドで通信できるかを細かく制御します。

マイクロセグメンテーションの実現手法には、ルーターやスイッチ等の境界機器を用いた「ネットワークベース」と、EDR等のエージェントを用いた「ホストベース」の2つのアプローチがあります。工場等のOT環境においては、レガシーシステムが残存していることや、安全性・可用性の観点からエージェントの導入が困難なホストが多いため、ネットワークベースによる制御が一般的となっています。

まずは相談する (無料)

ページトップへ