OTセキュリティ製品の比較の見方は？工場を止めない方式と確認項目

OTセキュリティ製品を比べるときは、製品名の前に、通信を見るだけの方式か、通信の途中に入れる方式か、端末に入れる方式かを決めます。工場を止めるかどうかは、この方式と置き方で影響の出方が変わるからです。

今日やることは、守りたいラインについて3行⁠のメモを作ることです。1行目は、機器の一覧があるか。2行目は、更新できない古いパソコンがあるか。3行目は、夜間の警告を誰が見るか。この3つで、見るべき方式と必要な体制がかなり絞れます。

方式の違いは何？

IPAの産業用制御システム向け侵入検知製品等の導入手引書（2023年6月）⁠は⁠、検知の方法を、ネットワーク監視型、エージェント型、ヒストリアン型に分け、ネットワーク監視型をさらにインライン型と受動型に分けています。ここでは現場で迷いやすい3つ⁠を比べます。

工場向けOTセキュリティの製品比較で方式ごとの製品を確かめ、通信の見張りを広く検討するならNDRの製品比較、不正な通信を止める仕組みならIDS／IPSの製品比較も見ておきます。

通信を見るだけなら、生産は止まらない？

実際の通信を止める可能性は小さくなりますが、影響がゼロとは言えません。IPAの手引書は、受動型は実際の通信がセンサーを通らないと説明する一方で、次の注意点を挙げています。

• スパンポート（スイッチの通信をコピーする口）⁠は⁠、スイッチに高い負荷がかかると通信の一部が欠けることがある
• ネットワークタップ（配線から信号を分ける装置）⁠は⁠、設置と障害対応のときにネットワークを一時的に止める必要がある
• 製品から機器へ問い合わせるアクティブモードやポーリングは、頻度や台数によってネットワークの負荷が高まる可能性がある

3つ目は確認を忘れやすい点です。製品によっては、受動の監視に機器への問い合わせを足せます。Tenable One OT Exposureの公式ページは、受動的な監視と安全性をうたうアクティブクエリの組み合わせを説明しています。使う場合は、設備メーカーと相談し、対象と時間を限って有効にするかを決めます。

たとえば、夜間も連続で動く樹脂成形のラインに監視を入れる場合を考えます。スイッチの設定でコピーが取れるならスパンポート、スイッチが古く口がないならタップという選択になります。タップを選ぶなら、設置を定期保全の日に合わせます。この調整を先に決めておくと、製品選びの段階で「工場を止めない」⁠の中身を具体的に話せます。

Microsoft Defender for IoTの公式資料は、エージェントレスの監視を説明しています。通信のミラーリングの方法の資料には、対応するSPANなどの方法が書かれています。こうした資料で、自社のスイッチに合う方法があるかを先に確かめられます。

通信の途中に入れる方式で、先に見る点は？

インライン型は不正と判断した通信を止められます。IPAの手引書⁠が説明するとおり、受動型との一番の違いはこの遮断です。その代わり、経路の途中に入るので、機器の故障や誤った判断がラインに影響する場合を考えておきます。

確かめる点は3つです。故障や電源断のときに通信を通すのか止めるのか。誤検知で正常な通信を止めないよう、最初は検知だけで動かせるのか。設置場所の温度や盤内の寸法に合うのか、です。

TXOneのEdgeIPSの公式ページは、全セグメントのハードウェアバイパスをEdgeIPS Proの特徴としています。これは型番ごとに違う場合があるので、検討する型番のデータシートで確かめます。MoxaのEDR-G9010シリーズは、産業用プロトコルの検査とIEC 62443-4-2の認証を公式に示しています。

端末に入れる方式は、いつ検討する？

更新できない古いパソコンが、ラインの操作や設定に残っている場合です。TXOneのStellar Protectの公式ページは、Windows 2000からWindows 11までを対象とし、許可したアプリだけを動かすロックダウンの機能を説明しています。

ただし、IPAの手引書は、エージェントの動作によって既存のアプリの不具合や通信の遅れが起きる可能性を挙げています。OS名だけでなく、CPU、メモリ、動かしている監視ソフトの版まで製品側に伝えて確かめます。設備メーカーの保守の条件に、ソフトの追加を禁じる項目がないかも確認が必要です。メーカーの許可がなければ、端末に入れる方式は使えない場合があります。

時系列のデータで見る方式は、どう考える？

IPAの手引書が3つ目に挙げるヒストリアン型は、機器の間でやり取りされるデータやコマンドの時系列を集めて、普段との差を見る方法です。パケット単位でなく、通信の状態の変化で判断する点を長所としています。短所は、専用のサーバを置く費用がかかることと、そのデータが改ざんされると検知に影響する可能性があることです。

手引書は、どの方法にも一長一短があり万能なものはないとしています。製品の説明で1つ⁠の方式だけを勧められたら、残りの方式で見えなくなるものは何かを聞いてみます。

見積もりの前に確かめる項目は？

各社の資料を比べやすくするため、次の項目を問い合わせの文面に入れます。

監視の担当は特に先に決めます。IPAの手引書は、製品は導入後すぐ使えるわけではなく、警告の設定に学習が必要な場合が多いと説明しています。専門性が足りない会社には、監視の運用がセットになったサービスの活用を有用としています。

導入の流れは、同じ手引書の導入検討、構築、試験運用、本格運用の4段階が参考になります。試験運用の期間に、誤検知の出方と、誰がどう対処するかを確かめます。各社の資料だけでは分からない相性があるので、最後は自社の設備で確かめてください。

比較の前に片づけておくことは？

機器の一覧と通信の流れがあると、見積もりの精度が上がります。現状を把握する手順は制御システムのリスク分析ガイド⁠、機器の基本の点検は初期パスワードと更新の点検手順⁠で書いています。機器を作る側の立場でも考えるならIoTセキュリティガイドラインの読み順⁠が参考になります。ほかの記事は工場とIoTのセキュリティ⁠にまとめています。