産業用IoTデバイスの堅牢化：サイバー攻撃を防ぐ多層セキュリティアーキテクチャ

2016年、10万台以上の侵害デバイスからDynへの分散型サービス妨害（DDoS）攻撃が発生し、IoTエンドポイントの脆弱性が露見しました。この攻撃は世界中の重要なオンラインサービスを混乱させ、ネットワークセキュリティと、増え続けるコネクテッドデバイス生態系の保護への新たな焦点を生み出しました。[Dyn]

本ブログでは、産業用IoTネットワークデバイス――ルーター、スイッチ、屋外無線アクセスポイント――を高度な脅威から守る多層プロダクトセキュリティアーキテクチャを検証します。従来の防御を回避しようとする攻撃者に対しても、データ漏洩とソフトウェア侵入リスクを低減する堅牢化要件を概説します。

悪意ある攻撃はコンシューマーIoTに限定されません。最近、ノースカロライナ州の製造工場が、運業務妨害と身代金要求を目的とした改ざんファームウェア展開によるコストのかかる生産停止を経験しました。このインシデントは、Ponemonによる2017年データ漏洩コスト調査で指摘される傾向である、データ漏洩攻撃の財務的・運用的インパクトを示しています。[Ponemon]

産業用IoT設計者は、デバイスとプラットフォームの完全性――アクセス制御ポリシー、脅威検知、緩和メカニズム――をルーター、スイッチ、屋外無線ポイントに直接組み込む必要があります。これらの要素に対処しなければ、アイルランドで見られたようなデータ漏洩やより広範なインフラ侵害への足がかりを攻撃者に与えることになります。[Ireland]

Cisco Trustworthy Systems At-a-Glanceによれば、脅威ランドスケープは進化しており、デバイス堅牢化は信頼できるシステムへの不可欠な第一歩です。以下を防御します：

• ハードウェア改ざんと不正デバイス： 許可されないハードウェアのネットワーク参加を防ぎ、異常動作をもたらす偽造コンポーネントリスクを排除
• ソフトウェア改ざん： データ流出やデバイス機能改変を狙う悪意コードをブロック
• 不正ユーザーアクセス： デバイスとネットワークへの不正制御を得ようとする特権アカウントを制限
• 不正ネットワークアクセス： スニッフィング、偵察、中間者（MITM）攻撃など、データ機密性と完全性を脅かす攻撃を阻止
• プロトコル操作によるDDoS： ARP、DHCP、ルーティング、レイヤー3-4スプーフィングやヘッダー操作を含む、正当トラフィックを圧倒するフラッドを緩和
• アプリケーション層マルウェア： ウイルス、ランサムウェア、プロトコル悪用によるデータ破損や運用停止をガード、特にフォグ/エッジ環境で重要

産業用IoTセキュリティの構築方法

Cisco産業用IoTポートフォリオは、Ciscoセキュア開発ライフサイクルを用いてゼロから設計されています。各ハードウェアプラットフォームにはACT2チップセットが組み込まれ、IEEE 802.1AR準拠のセキュアユニークデバイスアイデンティティと、製造時にプロビジョニングされたX.509証明書チェーンを提供。この組み込み証明書がブートチェーンの信頼の錨となり、ブートコード完全性の継続的検証を可能にします（図1参照）。[CSDL]

ソフトウェア完全性はイメージ署名とセキュアブートで強制されます。主な機能：

• ゴールデンブートローダーイメージは読み取り専用フラッシュに永久格納、エポキシ封止、改ざん検知、署名済み
• FPGAブートローダーは署名され、ACT2に埋め込まれた証明書によるCiscoセキュアブートで検証

このアーキテクチャは、ブートシーケンスの改変、非認証デバイスからのブート、完全性チェックのバイパス、持続的悪意コード注入を防護します。図2に示すブートプロセスの各段階が暗号学的にチェーンされ、システム全体で完全性を保証します。

ブート後、デバイス完全性はCisco IOSソフトウェア完全性保証で検証可能。プラットフォーム固有コマンドはドキュメントで詳述。[CSIA]

その後、Cisco IOS堅牢化ベストプラクティスに従ったソフトウェア設定の堅牢化が、ユーザーアクセスとネットワーク制御プレーンを悪用から保護します。

完全は達成できませんが、既知脅威への防御と未知リスクの緩和を図るプロアクティブなアプローチが、最も効果的な戦略です。

皆様の知見を歓迎します。貴組織が直面する課題をコメントで共有してください。