ビジネス&テクノロジー

IIoTと5Gの台頭の中でOTのサイバーセキュリティを確保する

投稿者 Rick Peters | 2021年3月25日

最近まで、オペレーショナルテクノロジー(OT)ネットワークは、エアギャップのある孤立した環境として機能しており、サイバーセキュリティは最優先事項ではありませんでした。しかし、外部から得られるデータの出現と増加により、制御システムがITネットワークに統合されるケースも出てきました。少なくとも、IIoT(Industrial Internet of Things)、ワイヤレス、5Gなどの新しい技術トレンドへの依存度が高まっているため、OTのリーダーはもはやサイバーセキュリティのトピックに注目することを避けることはできません。

IIoT、Wi-Fi、5Gなどのトレンドが、Purdue Enterprise Reference Architecture(ERA)をベースに構築されることが多いOT環境を含め、OTのサイバーセキュリティに与える影響を以下にまとめました。

OT導入のユースケース

IIoTデバイスに関連するセキュリティリスクは、デバイスが直接または間接的にインターネットに接続されることで発生します。IIoTの主なユースケースとそれに関連する情報の流れを調べることで、これらのリスクをさらに詳しく知ることができます。OTの展開には、以下の3つの主なユースケースが混在することがあります。

  • アウトバウンドのみの通信 : データを遠隔地の監視センターに送信するデジタル資産スマートセンサー (多くの場合サードパーティ製) が含まれます。情報はセンサーから送信されるだけで、センサーはコマンドや指示を受信しないため、リスクは低くなります。
  • アウトバウンドおよびインバウンドの通信 : 前述のアウトバウンド・フローが含まれ、分析情報を要求する問合せやコマンドなどに対するインバウンド・フローが追加されます。双方向フローは、アウトバウンドのみの場合よりもリスクが高くなります。
  • リモートアクセス、メンテナンス、および診断 : これは、生産環境に影響を与えるセンサーやアクチュエーターが関係しているため、最も高いリスクを表しています。双方向のコミュニケーションが可能なだけでなく、コマンドに応答してその後のアクションを実行する機能もあります。

生産システムの構造

IIoT環境のセキュリティを確保するには、まず組織のプロセスを理解する必要があります。生産システムでは、前述のように産業用デバイスやユースケースが複雑に絡み合い、ゾーンやドメイン間の導管を介して情報の流れが発生します。

産業用インターネットの開発、採用、普及を促進するために設立されたオープンな会員制組織であるインダストリアルインターネットコンソーシアム(IIC)は、IIoTのエコシステムを「制御」「運用」「情報」「アプリケーション」「ビジネス」の5つの機能ドメインに分けています。制御領域は、主に制御技術、センシング技術、アクチュエーション技術など、産業や機械の側面を扱います。制御領域と運用領域を合わせたものがビジネスのOT側となり、残りの領域はIT側となります。

さらにIICは、OTのためのエッジ層、OTとITの統合のためのプラットフォーム層、ITのためのエンタープライズ層からなる3層のIIoTシステムアーキテクチャを提案しています。5つの機能ドメインは、3つのネットワーク(プロキシミティ・ネットワーク、アクセスネットワーク、サービスネットワーク)を重ね合わせることで、3層のテクノロジーアーキテクチャにマッピングされ、各ドメインとテクノロジー層間の通信と接続を可能にします。

Three-tier IIoT System Architecture

PERAモデルのシステム構造へのマッピング

OTにおけるセキュリティ展開の指針となる規格はISA/IEC 62443です。この規格には、アプリケーションとコントロールのレベルを以下のように階層化したTERAを利用するための指針が含まれています。

  • レベル0、1、2(プロセスコントロールゾーン)では、物理的なプロセス、センサー、アクチュエーター、関連機器、およびこれらの実装を監視するシステムを定義します。
  • レベル3(オペレーション&コントロールゾーン) では、複数のプロセスにまたがる製造業全体のオペレーションについて説明します。レベル0からレベル3を合わせて、OT環境を構成しています。
  • レベル4と5(ビジネスゾーン) は、企業のITシステムとアプリケーションで構成されています。

1990年代初頭に考案されたPurdueのオリジナルモデルは、IIoT、無線、クラウドの接続性を想定していませんでした。しかし、IIoTの機能ドメイン、技術層、セキュリティ要件をPERAのレベルにマッピングすることで、このモデルのコンポーネントが必要なセキュリティアーキテクチャにどのように適合するかを可視化することができます(以下参照)。

Cloud Services

OTセキュリティとIIoT環境

IIoT環境のセキュリティを確保するには、ITで使用されているのと同じサイバーセキュリティ戦略の多くをIIoTのアーキテクチャやユースケースに適用する必要があります。しかし、OT環境とIIoTには、考慮しなければならない明確な特殊性があります。ISA/IEC 62443をベースに、NISTサイバーセキュリティフレームワーク(CSF)を参考にして、以下のリストは、接続されたIIoTインフラストラクチャのセキュリティを確保するための目標を示しています。

1. 資産管理

ネットワークを介してプローブおよび識別できるPERAモデルのすべてのレベルの資産に適用できます。この目的のためのセキュリティソリューションには、次世代ファイアウォール (NGFW) 、ネットワークアクセス制御 (NAC) 、ログ管理および分析プラットフォームが含まれます。

2. アプリケーションの可視化と制御

デバイスの識別、プロトコルやアプリケーションの種類の制御(特定のプロトコルの使用や特定のアプリケーションとの通信が可能なデバイスの制限など)について説明します。ここでは、アラートを生成できるFortiGuard Application Control機能や、レポートを生成できるFortiAnalyzerなどのセキュリティツールが役立ちます。

3. 侵入検知および防止

IIoTデバイスは、主にPurdueモデルの複数の層を「短絡」させることができるため、攻撃の有力な候補となります。IIoTデバイスの機能は限られているため、脆弱性が発生する確率は低くなりますが、IIoTの機能をカスタム開発するとバグが発生する可能性があります。侵入を防ぐためには、エクスプロイト、偵察、ファジング攻撃を検知してブロックする能力が必要です。ここでも仮想的なパッチ適用と侵入検知が役立ちます。

4. ネットワークアクセスコントロール(NAC)

NACの導入方法は、ネットワークの種類によって異なります。最もシンプルなNACは、対応するIIoT資産で802.1Xネットワーク認証プロトコルを有効にすることで実現します。セキュアな無線アクセスポイントにより無線ネットワークを安全に保つことができ、適切なネットワークポリシーによりサードパーティのリモートアクセスを保護することができます。また、多要素認証(MFA)によりリモートアクセスを補完することもできます。

5. ネットワークの分割とマイクロセグメンテーション

セグメント化とマイクロセグメンテーションは、産業用ネットワークを物理的または仮想的なセキュアゾーンに分割するための重要な手法です。通常、セグメンテーションは、ローカルエリアネットワーク(LAN)またはワイドエリアネットワーク(WAN)の間で行われます。一方、マイクロセグメンテーションは、LAN内で行われます。産業用ネットワークでは、ネットワークセグメントにはさまざまな産業用LANやWANが含まれ、ネットワークマイクロセグメントにはRTUやHMIなどのさまざまな産業用コントローラやホストが含まれる場合があります。

6. シグナリング保護

5G技術の成熟に伴い、産業用ネットワークではセルラーアクセスネットワークがより一般的になります。IIoTエンドポイントの数がデータ転送量と比較して多い場合、意図的(サイバー攻撃による)または非意図的(デバイスの誤動作による)なシグナリングストームのリスクが発生します。FortiOSのようなエコシステムベースのネットワークオペレーティングシステムは、シグナリングストームからこれらのシステムを保護することができます。

7. IoTプラットフォームの保護

シグナリングやデータは通常、1つまたは複数のIoTプラットフォームノードを通過するため、それらのノードには保護が必要です。従来のIoTモデルでは、プラットフォームをクラウドに配置していました。しかし、IIoTでは、デバイスとクラウド間の往復時間が長すぎたり、クラウド接続の信頼性が不十分だったりする場合があります。さらに、クラウドにデータを送信することで、新たなセキュリティリスクが発生する可能性もあります。3GPP(3rd Generation Partnership Project)で提案されているソリューションには、MEC(Multi Access Edge)アーキテクチャやプライベート5Gネットワークなどがあります。

8. ロギングとモニタリング

ロギングとモニタリングの一元化により、セキュリティセンターやネットワークオペレーションセンター(SOCまたはNOC)などの単一のポイントからIIoTエコシステム全体を観察することができます。これには、ベースラインを決定または設定する機能と、ベースラインからの逸脱や悪意のある活動の検知に起因するログやイベントへのアクセスを提供する機能が含まれます。IIoT組織の運営構造に応じて、ロギングとモニタリングの手段は、ERAのレベル2と3の間、レベル3と4の間、またはレベル5のコンジット内に組み込むことができます。

柔軟なセキュリティインフラストラクチャ

ワイヤレス、5G、IIoT技術による生産環境の変化は、OTベースの組織に柔軟性、生産性、制御の新しい時代をもたらしています。同時に、これらの技術革新は脅威の範囲を拡大しています。OTシステムを保護するには、今日の有線および無線のOT環境の変化に合わせて進化できる要素を備えた柔軟なセキュリティインフラが必要です。