How（どう）の1：ITとは異なるOTに特有のネットワーク環境【第4回】

対策1：境界防御と統合管理

　境界防御は技術的対策の中で最初に考慮されるべき要素です。ビジネスリスクに応じて優先順位を定め、予防的観点から技術対策を順次実施し、統合的に保護する必要があります。ファイアウォールは内外の不正な通信や攻撃を検知し、遮断する役割を担います。前述したNICの２枚挿しのような構成にも注意が必要です。

対策2：資産可視化とモニタリング

　どの資産が脅威の起点になり得るかを知るためには、対象資産の可視化が不可欠です。資産の可視化により、どの資産から不正な通信や操作が行われているかの特定が容易になります。しかし、脅威検知や脆弱性発見後の対応策が確立されていなければ、対策が複雑化する恐れがあります。

　従って、資産の可視化と脅威検知は事故対応の運用の構築と同時に進めるべきです。ただし、全ての資産を対象にするのは現実的ではないため、リスクの高いエリアを優先し、スモールスタートで進めることをお勧めします。

対策3：セグメンテーションと脅威保護

　セグメンテーションは、被害を局所化し、事業継続を支えるために重要です。設備単位で想定される被害の大きさを理解しセグメントの範囲を定めることで、一部のエリアがインシデントで停止しても他のラインに影響を与えない構成が理想的です。脅威の入口に対する予防を重視しつつ、可用性や利便性とビジネスリスクのバランスを取ることが求められます。

対策4：アクセス制御

　技術対策の1〜4を踏まえ、さらなる強化のために、一要素認証のリスクを考慮した認証の強化が求められます。統合認証基盤や多要素認証の仕組みを活用し、アクセスを制御します。資産の可視化により、不審なデバイスがネットワークに接続されることを検知し、管理外のデバイスは接続を許可しないなどの対策も考慮されています。

　工場内の無線環境の整備が進む中で、OTデバイスの接続方式として用いられる共有鍵を使う「プリシェアードキー」の漏えい問題に対処するため、デバイスだけでなくPCやタブレットを含め、ネットワークを識別するための「SSID」を分けてユーザーごとに個別に認証することが推奨されています。

対策5：未知の脅威への対策

　脅威の高度化が続いており、既知の脅威だけでなく、未知の脅威にも対応する必要性が高まっています。IT環境では、端末やネットワーク内のさまざまな挙動を監視し未知の脅威を検出するEDR（Endpoint Detection and Response）あるいはNDR（Network Detection and Response）が対策として広く導入されています。OT環境においても、その導入が期待されています。

　おとり技術は、攻撃者を誘い込むための「デコイ（おとり）」を設置し、侵入試行を検出する方法です。攻撃者がおとりに引っかかれば、その行動を早期に検知でき対応策を講じられます。

対策6：対応の自動化

　OTシステムでは、事故対応の自動化は、誤検知によるSEQCDへの影響が大きいため難しいとされています。ですが、リスクが低い端末などは、工場部門と事前に協議すれば自動隔離が可能になります。運用負荷の低減と、迅速な脅威の封じ込めのためには、部分的であっても対応の自動化の検討をお勧めします。

　なお対策1〜6については、この順番に実施するのではなく、脅威の侵入確率や被害の大きさを考慮しながら優先順位を定める必要があります。