ゼロ トラストと OT ネットワーク

ゼロ トラストは、次のセキュリティ原則のセットを設計および実装するためのセキュリティ戦略です。

明確に確認する 最小限の特権アクセスを使用する 侵害を前提とする
使用可能なすべてのデータ ポイントに基づいて、常に認証と承認を行います。 Just-In-Time と Just-Enough-Access (JIT/JEA)、リスクベースのアダプティブ ポリシー、およびデータ保護を使用して、ユーザー アクセスを制限します。 被害範囲を最小限に抑え、アクセスを分割する。 エンドツーエンドの暗号化を確認し、分析を使用して可視性を高め、脅威検出を推進し、防御を強化します。

運用テクノロジ (OT) ネットワーク全体にゼロ トラスト原則を実装して、次のような課題に対処します。

  • OT システムへのリモート接続の制御、ネットワークジャンプポストのセキュリティ保護、ネットワーク全体の横移動の防止

  • 依存システム間の相互接続を確認して削減し、ネットワークにサインインする請負業者などの ID プロセスを簡素化する

  • ネットワーク内の単一障害点の検出、特定のネットワーク セグメントの問題の特定、遅延と帯域幅のボトルネックの削減

OT ネットワークに固有のリスクと課題

OT ネットワーク アーキテクチャは、多くの場合、従来の IT インフラストラクチャとは異なります。 OT システムは、独自のプロトコルを備えた独自のテクノロジを使用し、古いプラットフォームと限られた接続と電力を備えている可能性があります。 OT ネットワークには、特定の安全要件や、ネットワークにサインインする外部請負業者など、物理的またはローカルの攻撃に固有の露出がある場合もあります。

OT システムは重要なネットワーク インフラストラクチャをサポートすることが多いため、多くの場合、セキュリティで保護されたアクセスと監視よりも物理的な安全性や可用性を優先するように設計されています。 たとえば、OT ネットワークは、通常のメンテナンスのダウンタイムを回避したり、特定のセキュリティの問題を軽減したりするために、他のエンタープライズ ネットワーク トラフィックとは別に機能する場合があります。

より多くの OT ネットワークがクラウドベースの環境に移行するにつれて、ゼロ トラスト原則を適用すると、特定の課題が生じる可能性があります。 例:

  • OT システムは、複数のユーザーとロールベースのアクセス ポリシー用に設計されていない場合があり、単純な認証プロセスのみを持つ場合があります。
  • OT システムには、セキュリティで保護されたアクセス ポリシーを完全に適用するための処理能力がない場合があり、代わりに受信したすべてのトラフィックを安全として信頼します。
  • エージング テクノロジは、組織の知識を保持し、更新プログラムを適用し、標準的なセキュリティ分析ツールを使用して可視性を取得し、脅威の検出を促進する上で課題を提示します。

ただし、ミッション クリティカルなシステムのセキュリティ侵害は、従来の IT インシデント以外の現実の結果につながる可能性があり、コンプライアンス違反は、政府や業界の規制に準拠するorganizationの能力に影響を与える可能性があります。

OT ネットワークへのゼロ トラスト原則の適用

従来の IT ネットワークと同じゼロ トラスト原則を OT ネットワークに適用し続けますが、必要に応じていくつかの物流変更を加えます。 例:

  • ネットワークとデバイス間のすべての接続が識別および管理されていることを確認し、システム間の不明な相互依存関係を防ぎ、メンテナンス手順中に予期しないダウンタイムが発生しないようにします。

    一部の OT システムでは、必要なすべてのセキュリティ プラクティスがサポートされていない場合があるため、ネットワークとデバイス間の接続を限られた数のジャンプ ホストに制限することをお勧めします。 その後、ジャンプ ホストを使用して、他のデバイスとのリモート セッションを開始できます。

    ジャンプ ホストに、多要素認証や特権アクセス管理システムなど、より強力なセキュリティ対策と認証プラクティスがあることを確認します。

  • ネットワークをセグメント化してデータ アクセスを制限し、デバイスとセグメント間のすべての通信を確実に暗号化してセキュリティで保護し、システム間の横移動を防ぎます。 たとえば、ネットワークにアクセスするすべてのデバイスが、organizationのポリシーに従って事前に承認され、セキュリティで保護されていることを確認します。

    産業用制御および安全情報システム (ICS および SIS) 全体の通信を信頼する必要がある場合があります。 ただし、多くの場合、ネットワークをより小さな領域に分割できるため、セキュリティとメンテナンスの監視が容易になります。

  • 正常性データを使用して、デバイスの場所、正常性、動作などのシグナルを評価し、アクセスをゲートするか、修復のフラグを設定します。 アクセスにはデバイスを最新の状態にする必要があり、分析を使用して自動応答で可視性を取得し、防御をスケーリングする必要があります。

  • セキュリティ メトリックの監視を継続し、承認されたデバイスやネットワーク トラフィックのベースラインなどを確認することで、セキュリティ境界がその完全性を維持し、組織の変化が時間の経過とともに生じてもそれが保たれるようにします。 たとえば、ユーザー、デバイス、システムの変更に応じて、セグメントとアクセス ポリシーを変更する必要がある場合があります。

Defender for IoT によるゼロ トラスト

IoT ネットワーク センサーのMicrosoft Defenderをデプロイして、デバイスを検出し、OT ネットワーク全体のトラフィックを監視します。 Defender for IoT は、デバイスの脆弱性を評価し、リスクベースの軽減手順を提供し、デバイスの異常または未承認の動作を継続的に監視します。

OT ネットワーク センサーを展開するときは、サイトとゾーンを使用してネットワークをセグメント化します。

  • サイト には、特定の住所のオフィスなど、特定の地理的な場所によってグループ化された多くのデバイスが反映されます。
  • ゾーン は、サイト内の論理セグメントを反映して、特定の生産ラインなどの機能領域を定義します。

各 OT センサーを特定のサイトとゾーンに割り当てて、各 OT センサーがネットワークの特定の領域をカバーするようにします。 サイトとゾーン間でセンサーをセグメント化すると、セグメント間で通過するトラフィックを監視し、ゾーンごとにセキュリティ ポリシーを適用できます。

Defender for IoT のデータとアクティビティに最小限の特権でアクセスできるように、 サイトベース のアクセス ポリシーを割り当てるようにしてください。

たとえば、成長している会社がパリ、ラゴス、ドバイ、天津に工場とオフィスを持っている場合は、次のようにネットワークをセグメント化できます。

サイト ゾーン
パリオフィス - 1階 (ゲスト)
- 1 階 (営業)
- 2階(エグゼクティブ)
ラゴス オフィス - 1 階 (オフィス)
- 1~2階(工場)
ドバイオフィス - グラウンドフロア (コンベンションセンター)
- 1 階 (営業)
- 2階(オフィス)
天津オフィス - 1 階 (オフィス)
- 1~2階(工場)

次の手順

Azure portalで OT センサーをオンボードするときにサイトとゾーンを作成し、サイトベースのアクセス ポリシーをAzureユーザーに割り当てます。

Defender for IoT の組み込みワークブックを使用し、独自のワークブックを作成して、経時的にセキュリティ境界を監視します。

詳細については、以下を参照してください:

詳細については、以下を参照してください:

  • 最終更新: