IoT／OTデバイスに対するセキュリティ強化対策の実際【第5回】

ステップ1：特権アカウントと認証情報の検出

　組織はまず、アクセスを許可している全てのユーザー、アプリケーション、および関連する資格情報を特定する必要がある。その検出には、ユーザーに割り当てられた全てアカウントと資格情報、アプリケーションに埋め込まれたパスワード、またはローカルに保存されたSSHキーを使用してアクセスされるアプリケーションのアカウントまでを含める必要がある。

　内部および外部のユーザーがOT環境にアクセスする際に使用している特権アカウントを把握するためには、特別に設計されたツールを使ってネットワークセグメント全体をスキャンした結果のレポートを参照する方法がある。

ステップ2：認証情報の管理と保護

　全ての特権アカウントと、その資格情報を特定できれば、不要になった可能性のあるアカウントや、変更が必要な古い資格情報を検出できる。組織にすれば、OT環境にアクセスするアカウント数を減らし、残りの資格情報を安全なデジタル保管庫に保存してOT環境におけるサイバー攻撃対象領域を減らす最適な機会になる。

　ユーザーは、パスワードまたはSSHキーの安全な取得、アカウントへの直接接続を要求できる。頻繁に役割を変更するユーザーが作業する場合において特に有効だ。

　組織が安全なデジタル保管庫で資格情報を保存・管理し、システム化された資格情報の定期的かつ自動的なローテーションを組み合わせることで、資格情報に関連するリスクが大幅に軽減される。エアギャップ環境でオフライン作業を実施するユーザーについては、オフラインで資格情報を安全に取得できる仕組みの導入が効果的である。

　もう1つの推奨方法は、使用する度に資格情報をローテーションするワンタイムパスワードの導入だ。加えて多要素認証を強制した、さらなるアクセス保護を保管庫に実装したり、機密性の高い資格情報を利用する場合はワークフロー承認プロセスを強要したりすることもできる。

　これにより、重要なシステムへのアクセスが必要な内部ユーザーとリモートユーザーは、保管庫に保存されている資格情報に安全かつ利便性高くアクセスできる一方で、認証情報の管理と制御については組織が一元的に管理できるようになる。

　さらに重要な利点の１つは、資格情報へのアクセスに対する保護と制御に加えて、個人の責任範疇が明確化することにある。ユーザーは資格情報にアクセスするため、デジタル保管庫にログインするが、各人のアクティビティは追跡・記録・報告されるため、共有アカウントに関連するリスクが大幅に軽減し、監査およびフォレンジックのプロセスが効果的に強化される。

　内部ユーザーと外部ユーザーの間で資格情報を共有することが頻繁に発生しうるOT環境においては、詳細レベルでの個人アクティビティの明確化は、当該アクションの責任者が、組織内の誰か、またはベンダーなのかを明確に把握することに役立つ。

ステップ3：特権セッションの保護と監視

　組織内・外であれ、OT環境にアクセスする組織が管理していないエンドポイントは、攻撃者がキーロギングソフトウェアや、その他ツールを含むマルウェアを利用して、組織の機密資産への直接アクセスや特権資格情報を取得する機会を与えてしまうリスクがある。

　このリスクを軽減するための主な方策は、ネットワークの外部から確立される全てのセッションを、踏み台サーバー等を利用して分離して、監視および記録することだ。図2に踏み台サーバーを活用した例を示す。

図2：踏み台サーバーを活用したサイバーリスクの軽減策

　ユーザーが接続先システムに対するリモートアクセスを要求すると、RDPやSSHなどの標準プロトコルを介して、リモートユーザーのエンドポイントと踏み台サーバーの間に１つ目のセッションが作成される。

　踏み台サーバーは、デジタル保管庫と安全な通信経路を介し、接続先システムの特権資格情報にアクセスし、その情報に基づいて接続先システムとの間で２つ目のセッションを確立する。ユーザーのエンドポイントと接続先システムの間の完全な分離が実現する。

　最後に踏み台サーバーが、これら2つの独立したセッションを結び、監視・記録することで、リモートユーザーは安全な形で接続先システムにアクセスできる。