サイバーセキュリティは、決して簡単に解決できる課題ではありませんが、重要インフラ業界においては、防御側の取り組みは他とは一線を画しています。
まず、敵対者たちについてですが、彼らは一攫千金を狙うような日和見的な犯罪者ではありません。
ここで言及しているのは、政府の資源を活用して活動する国家支援のグループや、ランサムウェアから長期的なスパイ活動に至るまで、さまざまな目的を持つ組織的なサイバー犯罪ネットワークのことです。
「事態の深刻さ」を「重大」と表現するだけでは不十分だ。FBIの「2024年インターネット犯罪報告書」によると、重要インフラ組織からの通報は4,800件以上に上った。この数字は一見多くないように思えるかもしれないが、1年間という期間で捉えると、統計的に見れば、これは1日あたり13件、2時間に1件のペースで攻撃が発生していることを意味する。特に防衛機関の場合、攻撃が成功すれば、国家主権が直接脅かされることになる。
これほど深刻な脅威環境下では、英国のNCSC（国家サイバーセキュリティセンター）のように、厳格で妥協の余地のないコンプライアンスの枠組みの下で運用されているのは当然のことである。
同時に、NCSCに準拠したセキュリティソリューションは、システム全体に展開可能でなければならない。防衛組織は多層的な構造をとっているため、その保護策はモジュール式であり、最初に必要性を認識した部門だけでなく、組織全体に適用できるものでなければならない。
こうした状況下で、NATOの主要海軍部隊はOPSWAT と提携しOPSWAT 明確な使命OPSWAT 。それは、単一の師団の枠を超えて拡張可能であり、広範な導入の基盤となり得る、認証済みでNCSCに準拠したCDS（クロスドメインソリューション）を実現することでした。
規制上の柔軟性がまったくない状況下で、複数のファイル形式およびブランチに対応するスケーラブルなCDSアーキテクチャの設計
当社の顧客は、当初は解決不可能と思われた課題に直面していました。
異なる分類レベル間のIMPEX（輸出入）データフロー向けに、NCSCの厳格なネットワーク分離要件に準拠したCDSソリューションを構築しました。このソリューションは、複数の防衛部門にわたって拡張性と再現性を備え、幅広いファイル形式に対応し、サイバー脅威に対して可能な限り高い耐性を維持することが求められていました。
各レイヤーを順に見ていきましょう。
承認済みのIMPEXクロスドメインゲートウェイは存在しませんでした
政府および防衛機関内の機密ネットワークでは、IMPEXデータフローに関する正式に承認されたルールが必要であり、これらはIMPEXクロスドメインゲートウェイを通じて適用される必要があります。当初、当社の顧客のシステム内には、そのようなゲートウェイは存在しませんでした。
実際には、これはIMPEX業務において承認されたデジタルプロセスがまったく存在しなかったことを意味します。それがなければ、顧客は追跡可能かつ監査対応可能な方法で、機密区分を越えてデータを移動させることはできませんでした。
複数のファイル形式に対応するための検査機能
さまざまな機密分類が異なるネットワークを介して、複数のデータタイプが移動していました。ユーザーファイル、セキュリティパッチ、ハードウェアのファームウェア更新、コンテナ化されたアプリケーション、そして軍用のカスタムソフトウェアなど、これらすべてが同じ境界を越える必要がありました。悪意のある要素が極秘環境に侵入していないことを確実にするため、データは徹底的に検査されなければなりませんでした。
しかし、データが大きくなり複雑になればなるほど、そのデータがクリーンであることを確認するのは難しくなる。一部のファイル形式は、通常の文書として扱うことができなかった。パッチ、インストーラー、ファームウェア、スクリプト、および軍用のカスタムソフトウェアについては、静的スキャンだけでは機密環境に導入された際にどのように動作するかを証明できなかったため、動作検査が必要だった。同時に、検査範囲に少しでも抜けがあれば、境界そのものが危険にさらされる可能性があった。
厳格な基準により、ネットワークの完全な分離が求められた
NCSCフレームワークでは、分類レベル間でデータをどのように移動させるべきかについて、厳格なルールが定められています。その中核となるのがSEF（セキュリティ強制機能）であり、マルウェアの検出からフォーマットの検証に至るまで、あらゆる側面を網羅するセキュリティチェックです。
NCSCの管轄下で業務を行うこの顧客は、ネットワーク分離（SECRET／OPENの機密区分）に関する厳格なルールを策定する必要がありました。機密環境と非機密環境の間で通信が行われることは決してあってはならず、CDSゲートウェイが絶対的な障壁として機能しなければなりません。
SEFのスキャンを通過できなかった場合、悪意のあるファイルが機密ネットワークに侵入したり、機密情報が漏洩したりする恐れがあります。
より広範な導入に適したソリューションの構築
その要件は、決して単一の問題を解決することだけにとどまらなかった。
この政府機関は、複数の部門、機関、拠点、および指揮系統にまたがっており、顧客が導入したクロスドメインソリューションは、これらすべてで機能する必要がありました。
ある状況下でのみ機能するものは、部署の別の部門に同様の課題を残してしまうことになる。顧客には、一貫した標準となり、組織全体に展開できるシステムを構築する必要があった。
「失敗の余地がない」場合：多層型でNCSC認定を受けたクロスドメインアーキテクチャ
顧客から提示された課題は、単一の製品では解決できないものでした。
その代わりに、OPSWAT 、複数の製品や技術によって支えられた多面的なアーキテクチャをOPSWAT 。このアーキテクチャでは、各レイヤーが「分類の境界を無検査のまま越えるものが一切ない」という包括的な目標の達成に向けて機能しています。
MetaDefender Optical DiodeDiode™による物理的なネットワーク分離
このアーキテクチャの基盤は、ネットワークレベルで一方向のデータフローを強制するハードウェアデータダイオードに依存していた。設定ミスが生じたり迂回されたりする可能性のあるソフトウェアベースの制御とは異なり、ハードウェアダイオードでは逆方向のデータフローが物理的に不可能となる。
物理的な制約により、NCSCが要求するネットワークの完全な「SECRET」と「OPEN」の分離が保証されます。
MetaDefender Optical Diode は、ITネットワークとOTネットワーク間の、ハードウェアによって強制される安全な一方向データ転送を実現するように設計Optical Diode 、機密レベルが低いネットワークからのトラフィックが保護された環境へ流入することを物理的に不可能にします。
MetaDefender Core™プラットフォームによる多層的なファイル処理
境界を越えるすべてのファイルは、MetaDefender Core によって傍受・検査され、その検査の精度は宛先環境に合わせて調整されます。
SECRETネットワークに流入するファイルは、フルスタックを通過します。具体的には、検出率を高めるための複数のエンジンによるマルチスキャンと、隠れた脅威を排除するDeep CDR™テクノロジーがSandbox 。また、Adaptive Sandbox は、不審なファイルに対してエミュレーションベースの動的解析Sandbox 、静的検査や従来のVMベースのサンドボックスでは検出されにくい、回避的なマルウェアの挙動を強制的に明らかにします。
より低いセキュリティレベルの環境へ移動するファイルは、複数のマルウェア対策エンジンによってスキャンされるのみであり、これによりすべてのデータフローにおいて一貫した保護が確保されます。
MetaDefender Core OPSWAT高度な脅威検知・防止Core 。Deep CDR™テクノロジー、Metascan™Multiscanning、およびAdaptive Sandbox を組み合わせることでSandbox 重要インフラ全体におけるファイルワークフローSandbox セキュリティSandbox 。
MetaDefender Managed File TransferTransfer™テクノロジーによる自動ファイル転送
MetaDefender Managed File Transfer 、顧客が扱うあらゆる種類のデータのインポート／エクスポートを自動化し、ガバナンスが確保され、監査可能なパイプラインを構築します。
手動で動くものはなく、追跡されないものはなく、検査レイヤーを迂回するものは一切ありません。
MetaDefender Managed File Transfer 、ポリシーに基づく制御と統合された脅威防止Managed File Transfer 、組織間、システム間、あるいはセキュリティゾーン間で機密ファイルを安全に転送Managed File Transfer 。
NCSC認定アーキテクチャ
OPSWAT製品を基盤とするこのアーキテクチャは、NCSCが定めるクロスドメインデータフローに関するセキュリティパターンに準拠しています。これは、政府認定を受けた初のIMPEXソリューションとなったことを意味し、一から設計し直すことなく、組織内の他の部門においても一貫した標準として採用することが可能となります。
一度きっちり構築し、100万件以上の日次ファイル処理に対応する
本質的に、CDSとは、あらゆるファイル形式にわたり、実際の防衛作戦で求められる規模において、最も厳格な規制の下でも機能するシステムを構築するために、適切な要素を組み合わせていくという課題である。
その環境は容赦のないものです。高度に洗練され、強い意欲を持つ敵対者が存在し、コンプライアンス上の不備に対しては一切の許容がなく、ミスを犯す余地もありません。
当社のお客様にとって、大規模なCDSの導入はすでに解決済みの課題です。私たちは協力して、1日あたり100万件以上のファイルを処理できる拡張性を備えた、認定済みのモジュール式アーキテクチャを構築しました。
これが単純そうに聞こえるのは、OPSWAT 20年以上にわたり、重要インフラが抱える最も過酷な環境において、ファイルのセキュリティに注力OPSWAT からに他なりません。
貴社が同様のクロスドメインの課題に直面している場合でも、あるいはより一般的な重要インフラのファイルセキュリティ問題に直面している場合でも、OPSWAT その解決を支援する豊富な経験OPSWAT 。ぜひご相談ください。
