キーワード
ネットワーキング事業部の土屋です。本連載コラムの第3回「SD-WAN/SASEによるハイブリッドクラウドのネットワークの構築」では、「情報系システム」を事例とし、お客さまの円滑なクラウドリフト&シフトを当社がどの様にサポートさせていただくのかお話しさせていただきました。第4回目となる今回は、「IoTエッジネットワークのゼロトラストセキュリティ」と題し、「IoT・OTネットワーク」におけるセキュリティ対策の課題と、ゼロトラストセキュリティ原則に基づいた具体的な解決策をご説明します。
ITシステムのハイブリッドクラウド化により、従来企業内で閉じていた産業用ネットワーク（以下、OTネットワーク）も外部と接点を持つ様に変化している中、「サプライチェーンをターゲットにしたマルウェア攻撃」により、サプライチェーン全体が停止するような大きな被害が毎年報告されています。関係各社が緊密に連携するサプライチェーンの中で、それぞれの役割を果たすためには一定のセキュリティレベルを確保することが必要不可欠な条件となります。このようにして製造業各社のセキュリティ対策への関心は年々高まっています。
図1.サプライチェーンを狙ったマルウェア攻撃の脅威（イメージ）
OTネットワークにおいても企業のハイブリッドクラウド化がセキュリティリスク増加の起点になっている点は情報系ネットワーク（以降、ITネットワーク）と同一ですが、OTではOT特有の課題を理解して対処することが必要です。
まず、OTネットワークに接続される端末機器は、ITネットワークとは違い、多様なOSが混在していたり、そもそもOSが搭載されていない機器もあったりで、セキュリティ対策の有無も含め「多様なセキュリティレベルが混在している世界」です。また、OSが搭載された機器であっても、新旧さまざまな通信プロトコルを使用していたり、情報の書式が異なっていたりと「多様な通信仕様」により、セキュリティ対策を行おうと思っても簡単にいかないのが現状です。
さらに、製造現場ではネットワーク管理者が、一般業務とネットワークの運用管理を兼務しているケースが多いため、日々進化している各種の脅威に対して知識と対応が追いつかず、「セキュリティの不完全性」を生じてしまうリスクが高いと言えます。
このように、「多様性」と「不完全性」がリスク要因として内在するOTネットワークにおいては、機器単独によるセキュリティ確保は困難であり、ネットワークシステム全体でセキュリティを確保していくことが重要です。
昨今、耳にすることが多くなった「ゼロトラスト」は、その名の通り「何も信用しない」を原則とするアーキテクチャで、「信頼性レベルに応じて」「動的に」「セッション単位で」「最小権限のアクセスを付与」することで、「多様性」と「不完全性」が内在するOTネットワークであっても、十分なセキュリティを確保することが可能になります。OTネットワークにおけるセキュリティ確保に向けた設計指針として4つのポイントを次の図を用いて説明します。
図2.OTネットワークにおけるセキュリティ確保に向けた設計指針ポイント
①産業用DMZを構築
ITネットワークとOTネットワーク間に中間層としてDMZ（DeMilitarized Zone）を構築します。そしてOTネットワーク内にあるデータをDMZにあるサーバーに転写し、外部からのデータ参照や利用は、DMZ内のサーバーにアクセスする運用にします。それにより、OTネットワーク内への直接的なアクセスを抑止することができ、OTネットワーク内を安全に保つことが可能になります。例えば、不特定多数のユーザーがアクセスするホームページサーバーをDMZに設置するなど、オフィスなどのITネットワークでは一般的とされる方法ですが、OTネットワークでも同様の活用をしてみてはいかがでしょうか。
②機器認証、機器・グループ単位でのアクセス制御を実行
OTネットワークに接続する機器がアクセス可能な範囲を、あらかじめ制限(セグメンテーション)しておく機能を実装しておき、次に、OTネットワークに接続する機器を正しく認識して接続可否を判断、異常があった場合に該当する機器をOTネットワークから切り離すための制御機構を設けます。これによって外部からの攻撃などによって接続機器が異常をきたした場合でも、影響を最小限にすることが期待できます。
③ネットワークワイドで通信フローを可視化
ネットワーク中の通信を常時監視することで脅威を検知します。機器側で個別に脅威を検知できない分、それをネットワーク側で肩代わりするという発想に基づいています。ネットワーク全体を監視・可視化対象とすることで、ネットワーク上での通信状況を監視して脅威に特有の行動特性を検知することが可能となります。
④IoT・OT機器の固有通信を可視化
セキュリティ認証または認可レベルをあげるためには、通信の内容にまで踏み込んだ多くの情報を収集することが重要です。そのためにIoTやOTで使われている機器固有のプロトコルを解釈して、具体的な情報収集や傾向を把握していくことで、セキュリティ上の脅威を検知できるレベルを向上させていきます。これによりサイバー攻撃やシステム障害の予兆をいち早く検知してその脅威を未然に防ぎ、被害を最小限にすることが可能となります。
いかがでしたでしょうか。当社はお客さまのOTネットワークにおける課題を解決するため、「ゼロトラストセキュリティ設計構築支援サービス」などの各種ソリューションをご用意しています。ゼロトラスト原則にもとづくネットワーク構築ノウハウを活用し、お客さまのOTネットワーク環境構築のお手伝いをさせていただければと思っております。
株式会社 日立情報通信エンジニアリング
ネットワーキング事業部 ネットワーキング事業企画本部 事業戦略部 第1Ｇ グループマネージャ 土屋 有希
