ネットワークで困ること

　もし、工場にネットワークが必要ないというのであれば、ここは読み飛ばしてもらって構わないが、IIoTを実現するのであれば、ネットワーク化されていないということは考えづらい。

　工場内のネットワークは、正常動作のために用意されているもので、意図せぬ何か（例えば、マルウェア）が悪いことをする想定をして設計されているわけではないが、ITの世界で有効とされる対策や手段は、基本的に有効と考えていいだろう。

　「基本的に」とあえて書いたのは、“生産を止める可能性のある対策”は十分に吟味してから実施しなければならないためである。そして、ネットワークが機能しなくなると困ることは「工場が機能しなくなる」ということに尽きる。自動化してあるということは、ネットワークを使って機械や装置をつないで連携しながら動作するように仕込んであるからで、これが機能しなくなるということは「製造ラインが止まる」ことを意味する。つまり、工場にとって致命的な問題ということになる。

　では、ネットワークが止まらないようにするために取り得る対策を考えてみたい。まず、ネットワークの構造を見てみよう。OSI参照モデル（Open System Interconnection Reference Model）では7層構造になっている。以下に挙げる技術は、対応するレイヤーによって異なるので、組み合わせて使うことになる。

ネットワークのセグメント化：

　多くの場合、工場のネットワークは、ラインごとに論理的あるいは物理的に分離されていないことが多い。そのため、これを分離することで隣接する他のラインやシステムに被害が拡大するのを遅らせることができる。

　かつて、幾度もの大火に見舞われた江戸の町には延焼を遅らせるための「火除け地」と呼ばれる空き地が整備されていたが、ネットワークのセグメント化は同様の効果をもたらすと期待されている。ただし、セグメント化しても必要な生産指示の情報や、工程間での情報の受け渡しに影響が出ないように考慮する必要がある。また、DMZ（DeMilitarized Zone：非武装地帯）を設置するなどの要件が「ISA99」に記されているので、ネットワーク構成の全体像を参照してほしい。

ファイアウォール：

　ファイアウォールはネットワークの境界、セグメント同士が接する境に設置され、アクセス制御に用いる。後述するIPSやIDSの機能を持つものもあるが、ネットワーク層でのアクセス制御を行うためのものである。

　「防火壁」という意味合いでファイアウォールと名付けられたものの、これがあれば類焼を防ぐことができるわけではなく、以下にあるように複数の対策が必要となっている。

IPS／IDS：

　それぞれ“Intrusion Protection System”と“Intrusion Detection System”を略したもの。前者（IPS）は外部からの侵入を検知して阻止し、後者（IDS）は侵入を検知するが何もしない。

　ここでいう侵入とは、外部からネットワーク内部の機器やシステムへの通信を指すが、IPSで誤検知が発生すると正しい情報やデータ、指示などが伝わらずに正常な動作を妨げる可能性がある。そのため、一般的には影響が出ないIDSを導入することがよいとされる。もちろん、全ての通信があらかじめ把握できているのであれば、IPSを用いても問題にならないはずである。これらは主にトランスポートおよびセッション層の通信を制御、監視するためのものである。

WAF（Web Application Firewall）：

　WebサーバへのXSS（クロスサイトスクリプティング）攻撃や、SQLインジェクション攻撃などから保護するためのもので、IPS／IDSよりも上位のアプリケーション層の通信を監視、制御する。

データダイオード：

　電気的な装置を用いてネットワークの通信を単一方向にのみ行うためのものであり、原子力施設や化学プラントなどで利用されている。米Owlの「Dual Diode」やイスラエルWaterfall Securityの「Unidirectional Security Gateway」など、さまざまな製品がある。

セキュリティイベントの監視：

　制御ネットワーク内での通信を監視することで、HMI、PLCや操作盤の誤操作や誤動作、マルウェアの感染に伴う異常な通信などを検知する仕組み。多くの場合、「センサー」と呼ばれるネットワークを流れるパケットを取り込むための機能と、取り込んだパケットの中身を解析する機能とを組み合わせたものとなっている。ITネットワークでは「SIEM（Security Information and Event Management）」と呼ばれる専用のシステムがあるが、SIEMは制御ネットワークで利用される多様な産業用プロトコルを解析できないため、専用のシステムが登場してきている。