「技術的対策」の進め方

経済産業省（以下、経産省）が策定した「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」に付属するチェックリストをベースに、工場セキュリティ強化のための具体策を考えていく。組織的対策、運用的対策に続き、第３回となる今回は工場をサイバー攻撃から守るための「技術的対策」に焦点を当て、その考え方と実践ポイントについて考察する。

侵入を前提とした多層防御が重要

　工場のセキュリティ対策というと、ファイアウォールやアンチウイルスソフトによって攻撃を防ぐことをイメージしがちだ。しかし近年のランサムウェア攻撃では、VPN機器の脆弱性や保守用PC、委託先などを経由して侵入される事例が増えている。また、近年のランサムウェア被害を見ると、それなりの対策を実施していた企業でも侵入を許してしまう事例が少なくない。工場システムは、保守用PCやUSBメモリー、リモート接続など、多様な侵入経路が存在する上、一般的なIT環境と同じ対策を適用できないレガシーな設備も多く、攻撃者にとって侵入の機会が生じやすい。

　そのため重要なのは、「侵入を防ぐ対策」と「侵入後の被害を抑える対策」を組み合わせることである。すなわち、侵入口を減らすだけでなく、侵入されても横展開を防ぎ、異常を早期に検知し、生産への影響を最小限に抑えるという多層防御の考え方だ。

　経産省のガイドラインでは、この考え方に基づき八つの技術的対策が示されている。以下、そのポイントを解説する。

八つの技術的対策

■マルウェア対策
　関連：[3-1]
　産業用PCや保守用PCなどには、アンチウイルスソフトまたはアプリケーションホワイトリストを導入したい。一方、レガシーOSのPCやPLCなど導入が困難な機器では、USB型ウイルススキャン装置や検疫用端末による確認などの代替策が必要だ。USBメモリーや保守用PCが感染経路となるケースは少なくないため、利用環境に応じた対策が求められる。

■脆弱性対策
　関連：[3-2]
　サイバー攻撃の多くは既知の脆弱性を悪用して行われる。そのため、重大な脆弱性については可能な限り速やかにパッチを適用する必要がある。ただし設備停止などの理由で対応が難しい場合は、通信制御やIPS※1による仮想パッチなどの代替策を講じ、リスクを管理することが重要である。

■不要サービスの停止
　関連：[3-3]
　OSに含まれるサービスやアプリケーションは必要最小限とし、利用しないサービスやポートは停止・無効化する。そうすることで攻撃対象領域を減らし、侵入リスクを低減できる。比較的容易に実施できる一方で効果の高い基本対策の一つである。

■物理セキュリティ対策
　関連：[3-4]
　サイバー攻撃はネットワーク経由だけではない。重要設備への不正な物理アクセスは、設定改変やUSB経由のマルウェア感染につながる。監視カメラや警報装置を導入するとともに、入退室管理や来訪者への付き添いなども徹底したい。

■ネットワーク分離
　関連：[3-5]
　工場ネットワークを単一構成で運用していると、一台の機器の感染が工場全体へ拡大する可能性がある。そのため、生産管理系や制御系などをVLAN※2やファイアウォールなどで分離し、セキュリティレベルに応じたセグメント管理を行うことが重要である。これは侵入防止だけでなく、侵入後の被害拡大防止にも有効である。ちなみに、NIC※3 2枚挿しのサーバーで分離できていると認識しているケースが見受けられるが、これでは被害拡大を防止することはできないため置き換える必要がある。

■リモートアクセス対策
　関連：[3-6]
　設備保守のためのリモートアクセスは便利である一方、重要な侵入口にもなる。そのため、多要素認証、接続先機器の制限、接続時間の制限、不審な利用の検知などを実施する必要がある。特に常時接続は避け、必要時のみ接続できる仕組みが望ましい。

■ネットワーク監視
　関連：[3-7]
　侵入を前提とするならば、「侵入されたことを把握する仕組み」が必要となる。IDS※4やIPS、OT向け監視ソリューションなどを活用し、不審な通信を検知できる環境を構築したい。早期発見は被害の最小化につながる。また、「おとり」（デコイサーバー）を設置して侵入を検知し、ファイアウォールと連携して感染元端末からの通信を遮断する方式もある。リモートアクセスやインターネット接続など侵入経路となりやすい箇所に設置すると効果的だ。

■ログ取得と分析
　関連：[3-8]
　ログイン履歴、操作履歴、設定変更履歴、通信ログなどは重要な証跡となる。ログは取得するだけでなく、定期的に分析し、必要期間保存することが重要である。有事の際には、障害なのか人的ミスなのか、サイバー攻撃なのかを判断する材料として必要不可欠だ。

被害を最小化するための技術的対策

　これらの技術的対策は、それぞれを個別に導入するのではなく、相互に補完しながら運用することが重要である。工場セキュリティにおいては、「侵入させない」ことだけを目指すのではなく、「侵入されても被害を拡大させない」「早期に発見する」「迅速に復旧する」という考え方が求められる。

　前回の運用的対策と今回の技術的対策を組み合わせることで、工場システムのセキュリティレベルは着実に向上していく。

〈参考〉
経済産業省「工場システムにおけるサイバー・フィ ジカル・セキュリティ対策ガイドライン」
https://www.meti.go.jp/policy/netsecurity/wg1/factorysystems_guideline.html

※1 Intrusion Prevention System：不正侵入防御システム。
※2 Virtual Local Area Network：論理的に分離したネットワーク。
※3 Network Interface Card：PCやサーバーがネットワークと通信するための物理的な出入口となるハードウェア。
※4 Intrusion Detection System：不正侵入検知システム。