2022/09/16
製造業では、工場の稼働データの利活用や新たな付加価値を生み出そうとする取り組みの中で、工場システムのネットワークをインターネットにつなぐ必要性が高まり、新たなセキュリティ上のリスク源が増加しています。
こうした中、経済産業省では「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン（案）」と題した文書を発行、製造業の工場に特化する形で「想定工場」を定義して必要な対策の考え方、実施方法のガイドライン策定を目指しています。
今回の技術コラムでは、工場システムにおけるセキュリティ対策として、デバイスレベルから考える必要性を解説、有効な対策となるコンテックの取り組みを紹介していきます。
テレワークやDXの進展で、私たちを取り巻くデジタル環境は大きく変わってきました。在宅勤務やリモートワークの拡大、モバイル端末の普及などにより、さまざまなエンドポイントから社内ネットワーク環境へ接続して仕事を進めるといった企業は少なくありません。
今や工場内もネットワーク化され、セキュリティリスクは「IT (Information Technology)」だけでなく、「OT (Operational Technology)」、「製品」の3分野に及びます。このような状況が広まるにつれて、大きな被害を招いたサイバー攻撃の事例が出ています。特に近年、ランサムウェアによる被害が多く報告されています。
日本におけるランサムウェアの被害は、2021年に少なくとも146件報告があり、製造業はそのうち55件でした。2022年2月には、大手自動車メーカの「トヨタ自動車」が取引先の部品メーカがランサムウェアの被害を受けたことにより、一時国内の全工場の操業がストップするという事態になりました。
また、病院がランサムウェアの被害を受けた事例もあります。例えば、徳島県では2021年10月につるぎ町立半田病院、2022年6月には鳴門山上病院がランサムウェアの攻撃を受けました。両病院とも電子カルテシステムが使用不能に陥り、業務に大きな支障をきたしました。
現代においてセキュリティは、事業全体に影響する「経営リスク」の一つとなるため、対策の推進が必須です。攻撃対象や、侵入経路が多様化していることから、従来の境界防御の考え方だけではサイバー攻撃の脅威からの防御が難しくなっており、新たな考え方を取り入れる必要があります。
セキュリティ対策の重要性が増す一方で、従来の境界防御だけではサイバー攻撃の脅威から守り切れない状況が到来しています。現状の対策として、セキュリティは性善説から性悪説へ、耐性力だけでなく回復力、ゼロトラスト、サイバーレジリエンスという考え方が浸透してきている傾向です。
ゼロトラストとは、「すべてのアクセスを信頼せずにセキュリティ対策を行う」という考え方です。従来の境界制御では、ネットワークを外側と内側に分けて、一度認証を通り内側に入ってきたアクセスは信頼する考え方でセキュリティ対策を行っていました。ゼロトラストの実現方法には、多要素認証など認証の強化や各種デバイスのログ監視、デバイスの状態によるアクセス制御などがあります。
サイバーレジリエンスとは、サイバー攻撃が防ぎきれないことを前提として、攻撃に対する組織の耐性力・回復力を指す用語です。具体的には、サイバー攻撃の脅威に対する予測と絶え間ない対策（耐性力）や、サイバー攻撃の被害が発生した場合の迅速・確実な対応、これらを実現する組織の耐性整備などが挙げられます。
ここで、従来のセキュリティ対策では防御しきれない主なサイバー攻撃として、「ゼロデイ攻撃」「マルウェア」の概要を再確認しましょう。
ゼロデイ攻撃とは、ソフトウェアの脆弱性が発見されてから対策されるまでの間に、その脆弱性を狙い撃ちにするサイバー攻撃です。ゼロデイ攻撃は、事前に防御しようがないため、攻撃を受ける側は、一日も早く脆弱性の対策パッチを当てるなどの対策をするしかありません。
マルウェアとは、攻撃を受けるコンピュータ利用者の不利益になる悪意あるプログラムの総称です。悪意あるプログラムには、コンピュータウイルスやワーム、トロイの木馬、スパイウェアなどの種類があります。
マルウェアは、電子メールの添付やネットワーク経由、ソフトウェアの脆弱性を狙って侵入し、情報の抜き取りやデータ改ざんなどを実行するのが主な手口です。前段で取り上げたランサムウェアもマルウェアの一種で、コンピュータを暗号化するなどして使えなくなったうえでコンピュータを人質に取り金銭を要求します。
サイバー攻撃の対象は、オフィスや家庭で使われている機器以外にも拡大傾向です。「次世代型の工場」とも呼ばれる、スマートファクトリーを狙う動きもあります。従来の工場では、産業用ロボットや自動組立機などが用いられ、製造実行システム（MES）やERPで管理およびネットワーク化されるのが一般的です。
しかし、このネットワークは工場内で完結するように設計されているため、インターネットで外部へ接続する必要性がありませんでした。現代では、スマートファクトリー化の実現のために、インターネットに接続するIoT機器の活用が欠かせません。
もし、IoT機器に脆弱性が発見されれば、ゼロデイ攻撃の標的にされる恐れがあります。例えば、工場内のローカルネットワークのIoT機器へリモートアクセスして、メンテナンスのためにUSBメモリ挿入したとしましょう。
これらを侵入経路としたマルウェアに感染したIoT機器が踏み台にされるケースがあります。このような攻撃は、境界防御だけで守り切れないため、デバイスレベルのセキュリティ対策も必要です。
上述したように、ネットワークに対してだけでなくデバイスレベルでもセキュリティ対策を講じる必要があります。デバイスレベルでウイルス対策を実行するソフトウェアには、大別すると「拒否リスト方式」「許可リスト方式」の2種類です。以降で、詳しく解説します。
拒否リストとは、定期的に更新される定義ファイル（拒否リスト）に基づき、疑わしいコードやデータをブロック・駆除する方式のセキュリティ対策です。従来のウイルス対策ソフトの多くは、拒否リスト方式でセキュリティ対策を行っていました。
しかし、拒否リスト方式では、次々とコードが変更されるマルウェアや、定義ファイル配布前に攻撃してくるゼロデイ攻撃の対策としては課題があります。さらに、この方式では定義ファイルの更新や、定期スキャンが必要になるため、運用コストや機器の安定稼働が懸念材料です。
許可リスト方式は、実行を承認されている信頼性の高いコードのみを許可するリストを作成し、リスト掲載以外のアクセスは拒否するセキュリティ対策の方式です。許可リストも必要に応じて許可コードを追加するなどのメンテナンスは必要ですが、拒否リストの定義ファイルのように頻繁な更新までは必要ありません。
許可リスト方式なら、マルウェアやゼロデイ攻撃対策にもなります。また、定期スキャンが不要なため、運用コストを抑えられ、機器の安定稼働の妨げになる懸念材料を減らすことが可能です。
産業機器で圧倒的なシェアを誇る許可リスト方式のウイルス対策ソフトウェアといえば、Trellix（旧McAfee）Application Control / Embedded Control です。コンテックは、IoTゲートウェイ、金銭処理機、レガシーOS機器の延命などのプロジェクトで納入実績が多数あります。Trellix（旧McAfee）Application Control / Embedded Controlの実装ならコンテックにお任せください。
デジタル化が進む中で、産業機器のプラットフォームは汎用デバイスと汎用OSの組み合わせに移行し、汎用プロトコルによってネットワーク接続されることが当たり前になりました。 その一方でサイバー攻撃の多様化から産業機器が狙われるケースが増加、セキュリティ対策を義務化する動きも出てきています。産業機器固有の課題を解決するコンテックのデバイスセキュリティ ソリューションを是非ご活用ください。
TPMとは、TCG（Trusted Computing Group）が定義した仕様に準拠したセキュリティチップです。従来、ストレージ内に格納していた暗号キーなどの情報を安全に格納・管理することができる機能です。OSや他のハードウェアから独立して機能するため外部からの攻撃にも強いのが特長です。TPMの機能はデバイスのさまざまなセキュリティ対策に応用することができます。代表的なものにWindowsの「BitLocker」があります。
BIOS攻撃とは、BIOSのセキュリティホールをついた攻撃です。BIOSは、Basic Input Output Systemの略でパソコン起動時、最初に実行されるプログラムを指します。BIOSを攻撃されてしまうと、パソコンが起動できなくなるため、やっかいです。
ウイルス対策ソフトウェアであっても、BIOSに感染したコンピュータウイルスは検出できません。最悪の場合、BIOSを格納しているフラッシュROMなど、ハードウェアを交換する必要があります。
デバイスレベルのセキュリティを高めようという取り組みは、TCG (Trusted Computing Group) のTPM (Trusted Platform Module) や、NIST (米国国立標準技術研究所) SP800 によってガイドラインが策定され、これに準拠した製品が各メーカから提供されるという形で取り組まれてきました。NIST SP800は、米国防省と取引をしている全世界の企業に対して、同ガイドラインへ準拠する要求があり、今後は米国政府だけの取り組みにとどまらず、主要国でも米国に追随する動きがはじまっています。
NIST SP800-147は、BIOSの保護によりデバイスの信頼性を担保するガイドラインです。コンテックでは、BIOSライトプロテクト、デジタル署名、暗号化、パスワードといった保護機能を搭載したNIST SP800-147準拠のセキュアBIOSを搭載した製品を提供しています。
セキュリティリスクを総合的にとらえ、前述のサイバーレジリエンスの観点で拡張したガイドライン NIST SP800-193 もリリースされています。また、組織全体の体制や取り組みにも及ぶ総合的なセキュリティ基準 NIST SP800-171もリリースされました。コンテックでは、BIOS改変の検知・回復の機能を搭載するNIST SP800-193 準拠の産業用コンピュータの開発も行っています。
技術コラムTOPへ戻る
技術コラムなどのお役たち情報を含めた最新情報をメルマガでお届けしています。（ メルマガサンプル表示 ）
詳細はこちら
今すぐ登録