ネットワークエッジを強化：ファイブアイズ機関が重要デバイス保護で企業に助言

エッジデバイスへの攻撃増加が企業ネットワークへの更なる侵入を許す中、ファイブアイズ同盟の機関がセキュリティ強化を呼びかけ

5か国の国家情報機関が、企業に対し、スパイの手口を逆手に取るアドバイスを、一連の文書で提供した。ファイアウォール、ルーター、VPNゲートウェイ、IoTデバイス、インターネット接続サーバー、インターネット接続OT（運用技術）システムなどのネットワークエッジデバイスとアプライアンスをサイバー攻撃から守るためのものだ。

ファイブアイズ同盟は、オーストラリア、カナダ、ニュージーランド、英国、米国の情報機関で構成される。各機関はネットワークエッジの保護という課題に異なる角度からアプローチし、火曜日に報告書を公表した。

「外国の敵対者は、ネットワークエッジデバイスのソフトウェア脆弱性を日常的に悪用し、重要インフラのネットワークとシステムに侵入している。公的・民間組織にとって、その損害は高額で、時間がかかり、評判の面からは壊滅的だ」と、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）はガイダンスの序文で述べている。「これらのガイダンス文書は、侵害前後のより安全でレジリエントなネットワークのためのさまざまな考慮事項と戦略を詳述している」

新文書は、メーカーが設計段階からセキュアなデバイスを構築するのを支援する既存の米国ガイドラインに追加されるものだ。カナダサイバーセキュリティセンター（CCCS）が主導した「エッジデバイスのセキュリティ考慮事項」は、企業IT向けの詳細なToDoリストを提供するだけでなく、リモートワーカー向けセキュリティガイダンス、BYOD（私物デバイス持ち込み）モデルを持つ組織向けガイダンス、エッジデバイスメーカー向けガイダンスへのリンクも含む。

「解決済みの問題」

ネットワーク管理インターフェース（NMI）が不十分に保護された製品のメーカーへの、それとなくない皮肉として、「ベンダーが製品を強化し、NMIがインターネットに公開されていても安全な状態にすることは可能だ。これは解決済みの問題であり、顧客はベンダーにNMIを保護するようデバイスを強化することを要求すべきだ」とも指摘している。

英国国立サイバーセキュリティセンター（NCSC-UK）が主導した「ネットワークデバイスおよびアプリケーション製品のデジタルフォレンジック監視仕様」は、フォレンジック可視性の最小要件に焦点を当てる。何をログ記録すべきか、ログをどう保存・保護すべきか、インシデント発生時のフォレンジックデータ取得要件を詳細に規定。

「このガイダンスに示された最小限の観測可能性とデジタルフォレンジック基準に従うことで、デバイスメーカーとその顧客は、自社ソリューションへの悪意ある活動をより適切に検知・特定できるようになる」と文書は述べる。「デバイスメーカーはまた、ネットワークデバイスとアプライアンスのアーキテクチャに標準機能として組み込むためのベースラインとしてこれを活用し、ネットワーク防衛者のフォレンジック分析を容易にすべきだ」

オーストラリアは2文書を主導：「エッジデバイスの緩和戦略：経営層向けガイダンス」と「エッジデバイスの緩和戦略：実務者向けガイダンス」。オーストラリア信号局（ASD）傘下のオーストラリアサイバーセキュリティセンター（ACSC）が主導し、エッジデバイスの保護、強化、効果的な管理のための緩和戦略とベストプラクティスの概要、および運用・調達・サイバーセキュリティスタッフが実装すべき7つの緩和戦略の技術的詳細を提供。

「オーストラリア信号局（ASD）傘下のオーストラリアサイバーセキュリティセンター（ACSC）は、エッジデバイス侵害インシデントの増加を懸念している」と実務者向けガイダンス。「エッジデバイスはインターネットに露出し、通常監視が難しく、ネットワーク上の他の資産にアクセスできるため、悪意あるアクターにとって魅力的な侵入ポイントかつ標的となる」

最後の文書はCISA主導で、2023年の「設計段階からのセキュア（Secure-by-Design）」原則ガイドの更新版で、実装リソースへのリンクを含む。

「Secure-by-Design原則で設計された製品は、顧客のセキュリティを単なる技術的機能ではなく、コアビジネス要件として優先する」と紹介ページ。「製品開発ライフサイクルの設計段階で、企業はSecure-by-Design原則を実装し、市場投入前に悪用可能な欠陥を大幅に削減すべきだ。出荷時から安全で、多要素認証（MFA）、ログ記録、シングルサインオン（SSO）などの追加セキュリティ機能が追加コストなしで利用可能であるべきだ」

メーカーが準拠すれば「大きな前進」

メーカー向けガイダンスは、IDCのセキュリティ&トラスト担当グループVP、Frank Dickson氏を特に興奮させた。「これは超ビッグディールだ」と氏。「メーカーが譲歩し、これらの要件を遵守すれば、正真正銘の巨大な前進だ」

「これらのデバイスはミッションクリティカルだ」と氏。「にもかかわらず、一部には膨大な量のデータが流れているのに、驚くほど脆弱だ。多くは内部で何が起きているかの可視性を提供せず、顧客はファームウェア更新やプロアクティブな対応でメーカーが良い仕事をしているか評価できない」

GartnerのディスティングイッシュトVPアナリスト、Katell Thielemann氏もガイダンスを歓迎するが、あくまで第一歩だと指摘。

「アドバイザリは、ファイブアイズコミュニティが連携しベストプラクティスを提示した点で前向きだ」と氏。「インターネット接続されたものはデフォルトで露出し、潜在的な標的であることをコミュニティに再認識させるものでもある」

OTはITではない

しかし、インターネット接続されたファイアウォール、ルーター、IoTデバイス、OTシステムを一つのアドバイザリでまとめるのはコミュニティにとって有益ではないと氏は感じており、「それらを『エッジデバイス』と呼ぶのも、エンタープライズITが宇宙の中心で『エッジ』が外にあると仮定しているためだ」と述べる。

「ファイアウォール、ルーター、VPNゲートウェイには当てはまるかもしれないが、OTシステムには当てはまらない」と続ける。「OTシステムはサイバー物理システム（CPS）であり、価値創造の生産とミッションクリティカルな環境を支える。それらはエッジではなく、オペレーションの核心だ」

多くはリモート運用と保守をサポートするためにインターネット接続されているため、「そこでの目標は、それらのシステムにいかに安全にリモートアクセスするかという助言を与えることであり、アドバイザリのトーンは、ITセキュリティツールとプロセスが必ずしも良い考えではない本番現実を対象にすべきだ」

Dickson氏もガイダンスを良い第一歩と評価しつつ、「ログ記録とフォレンジック可視性を許可するなら、問題発生時に実際にそのデバイスで修復、何らかの遮断ができると尚良い」と付け加える。

「これは長年の大問題だ」と氏。「複数のファイブアイズ諸国で大規模な協調行動が取られたことは極めて重要。強力で、声高で、適切で、すべて良いことだ。正直、この発表を知って『ついにこの問題に取り組むのか、ありがとう』と思った」

「本当に大きな組織が数社、将来のエッジデバイス購入要件としてこれを導入すれば、問題は解決するだろう」