OT環境におけるファイル配布に潜むリスク

ほとんどのOT環境において、重要なシステムにファイルを取り込む際には、特定の一連の手順が踏まれます。まず、ベンダーがファームウェアを持ち込んだり、請負業者がパッチを持参したり、あるいは保守チームが設定の更新を行ったりすることから始まります。ファイルはスキャンされ、承認された後、引き渡されます。しかし、これらの手順と、ファイルがPLC（プログラマブル・ロジック・コントローラ）やHMI（ヒューマン・マシン・インターフェース）に到達するまでの間のどこかで、セキュリティチームはそのファイルの存在を完全に失念してしまうのです。

この課題に対処するために、さまざまなアプローチが採用されています。ネットワークベースのソリューションは、ITシステムとOTシステム間のファイル移動を処理し、キオスクベースのワークフローは、持ち込み地点でリムーバブルメディアを検査します。しかし、この問題の一部は依然として解決されていません。それは、ファイルが検証された後、重要なシステムへ転送されている間に、そのファイルがどうなるかという点です。

ほとんどのOT運用事業者では、堅牢な検査ワークフローが組み込まれています。一般的に、リムーバブルメディアや一時的なデバイスは、隔離されたOT環境に入る前にスキャンされ、承認記録が残されます。これらの管理措置は必要不可欠ですが、共通の限界があります。それは、「信頼すべき瞬間」が1つだけ生じてしまうという点です。

従来のOTシステムは、外部から送られてくるデータを精査するようには設計されていませんでした。PLC、HMI、および従来のエンジニアリングワークステーションは、通常、EDR（Endpoint Detection and Response）エージェントを実行したり、受信したファイルが当初の承認内容と一致しているかを確認したりすることができません。デバイスが接続されると、デフォルトでファイルへのアクセスが可能になります。

こうした制約により、重要システムにおけるファイル配布のセキュリティは、すべてのオペレーターが手動による検証手順を確実に実行するかどうかによって左右されることになる。すべてのオペレーターが、すべての拠点においてすべての手順を確実に実行することを前提とするのは、プロセス上の仮定であり、セキュリティ対策ではない。

今や、問いは「このファイルはスキャン時に問題がなかったか？」から、「重要なシステムに展開される時点で、それが依然として同じファイルであることを確認できるか？」へとシフトすべきである。

規制の厳しい業界では、承認から導入までの間にファイルに変更がないことを確認することが不可欠です。ファイルが検査ポイントを通過した後は、そのファイルに変更がないかどうかを確認する仕組みが整っていなければなりません。

OT環境においては、この問題は依然として未解決のままであり、現在のワークフローの大部分には、検証後の変更を検出する仕組みが欠けています。エラーや意図的な改ざんにより、検証後にファイルが変更された場合、OTターゲットシステムはそれを検出できません。スキャン記録は有効なままであり、承認も引き続きログに記録されます。 3日前に安全であると検証されたが、その後変更されたファイルは、3日前に安全であると見なされ、その後変更されていないファイルと全く同じように見えます。これを配布するオペレーターには、その違いを見分ける確実な方法がありません。

検証は、MetaDefender Kiosk で完了するわけではありません。スキャン後にデプロイ前に検証済みのファイルが変更された場合、そのファイルは自動的にブロックされ、非表示になります。その場合、このファイルをアクセス可能にするには、再度検証に合格する必要があります。

この仕組みによりファイルの整合性が保証されるため、オペレーターが手動でこの作業を行う必要がなくなります。これにより、セキュリティモデルは「一度スキャンして配布する」方式から、「展開されるまで継続的に検証する」方式へと移行します。