産業用ITにおけるハードウェアファイアウォールの重要性

工場の現場では、リスクの性質が異なる

産業用IT環境は、従来のエンタープライズネットワークといくつかの共通点を持つが、その相違点の方が重要である。メールサーバーが侵害されれば、業務上の支障が生じるだけだが、プログラマブルロジックコントローラ（PLC）が侵害されると、生産ラインの停止、設備の損傷、あるいは安全上の危険を招く可能性がある。その影響の規模は本質的に異なる。この根本的な違いこそが、オペレーショナルテクノロジー（OT）固有の特性を踏まえたセキュリティ対策を必要とする理由である。

ハードウェアファイアウォール装置は、ソフトウェアベースの代替手段がなかなか達成できないレベルの分離を実現します。これらは企業ネットワークと産業制御ネットワークの間に配置され、両者間を通過できるトラフィックについて厳格なルールを適用します。この分離は、悪意ある攻撃者を外部から遮断するだけではなく、業務側で発生した問題が生産に影響を及ぼすのを防ぐことも目的としています。たとえば、DHCPサーバーの誤設定やITネットワーク上でのブロードキャストストームによって、製造ラインが停止してしまってはなりません。ハードウェアファイアウォールは、こうした境界を維持するのに役立ちます。

なぜ産業用プロトコルには専門的な取り扱いが必要なのか

標準的なファイアウォールはTCP/IPを理解しています。HTTPやSMTPなど、一般的なエンタープライズ向けプロトコルも問題なく処理できます。しかし、産業用ネットワークは異なる「言語」を話します。Modbus、Profinet、EtherNet/IP、DNP3など、数十種類に及ぶ産業用プロトコルが、物理プロセスを直接制御する命令を伝送しています。汎用のファイアウォール装置では、こうしたプロトコルをまったく認識できない場合があり、未知のトラフィックとして扱って、ブロックしたり、検査せずに通過させたりしてしまうことがあります。

産業向けハードウェア型ファイアウォールには、プロトコルを認識するディープパケットインスペクション機能が備わっています。これらの装置は、産業用プロトコルのメッセージ構造を理解し、異常を検出できます——たとえば、不正なリクエスト、順序が乱れたコマンド、あるいは通常の運用から逸脱したトラフィックパターンなどです。この機能が重要である理由は、産業システムに対する攻撃の多くが、ネットワーク層の脆弱性ではなく、むしろプロトコル自体の弱点を悪用しているためです。アプリケーション層を可視化できないファイアウォールでは、こうした脅威に対して防御できません。

性能の式：遅延が重要

企業向けネットワークでは、数百ミリ秒単位の遅延が発生しても、通常はユーザーが気づくほどの影響はありません。一方、産業用制御ネットワークでは、はるかに厳しいタイミング要件が求められます。たとえば、モーション制御ループでは数ミリ秒ごとの更新が必要になることがあります。また、安全インタロックシステムでは、あらかじめ定義された時間枠内での応答が必須です。通信経路のどこかで過剰な遅延が発生すると、システム全体が機能不全に陥ります。

産業用途向けに設計されたハードウェアファイアウォールは、こうした課題に対処するため、複数の仕組みを採用しています。パケット処理を汎用CPUではなく専用ハードウェアにオフロードし、状態テーブルをディスクではなく高速メモリ上に保持します。さらに、検査ルールの適用も効率的に行い、測定可能な遅延を引き起こさないようにしています。その結果、性能を損なうことなくセキュリティを確保できます。一方、共有ハードウェア上で動作するソフトウェアファイアウォールでは、特に負荷が高まった状況下で、このような保証を常に実現できるとは限りません。

セグメンテーションによるセキュリティ戦略

IEC 62443規格は、多くの産業セキュリティ実務者が既に認識していた事実を正式に定式化したものです。すなわち、ネットワークは複数のゾーンに分割すべきであり、ゾーン間の通信は厳密に制御されるべきであるという点です。ハードウェアファイアウォール装置は、こうしたゾーン境界におけるセキュリティポリシーの実施ポイントとして機能します。この規格のセキュリティモデルの核となる要件である「制限されたデータフロー」を実現するのが、これらの装置です。

実際のネットワーク分離（セグメンテーション）の形態は、施設ごとに異なります。一部の組織では、ITとOTを完全に分離し、ハードウェアファイアウォールを唯一の接続ポイントとしています。他にも、OTネットワーク内にさらに複数のゾーンを設定するケースがあります。たとえば、安全関連システムと制御システムを分離したり、パッチ適用が不可能なレガシ機器を隔離したりするなどです。各境界に配置されたハードウェアファイアウォール装置が、定められたルールを強制的に適用し、通信を記録するとともに違反行為をブロックします。このような階層的な防御アプローチにより、単一の侵害によって引き起こされる被害の範囲を限定できます。たとえ攻撃者がITネットワークに侵入したとしても、重要な生産システムに到達するまでには、さらに複数の障壁が立ちはだかります。

ファイアウォールが欠如している場合に起こること

米国メキシコ湾岸地域にある化学処理プラントが、この教訓を痛感しました。同施設は数十年にわたり拡張を重ね、ネットワーク接続型の制御システムを段階的に導入してきましたが、その一方でネットワークセキュリティへの投資は十分に行われていませんでした。その結果、ITネットワークとOTネットワークは実質的に単一のフラットなネットワークと化していました。ある日、ITサーバーで実施された通常のソフトウェア更新により、予期せぬネットワークトラフィックが発生し、制御システムで断続的な通信障害が生じました。悪意ある攻撃ではなく、誤動作したアプリケーションによるブロードキャストストームにすぎませんでした。しかし、生産への影響は直ちに及び、多大な損失を被りました。

工場は、生産能力を落としたまま数日間かけて原因の特定に取り組んだ。最終的な対策として、ITネットワークとOTネットワークの間にハードウェアファイアウォール装置を導入し、適切なセグメンテーションルールを設定した。この経験から、見過ごされがちな重要な点が浮かび上がった。すなわち、セキュリティとは、単に攻撃者からの防御だけではなく、日常的なIT作業が産業システムに意図せず影響を与える事態に対しても、運用の安定性を維持することでもあるのだ。

専用ハードウェアの実用的なメリット

ハードウェアファイアウォール装置は、セキュリティ上の利点にとどまらない。明確な管理境界を提供する点も大きなメリットである。ネットワーク担当チームは、ITネットワークがどこで終わり、OTネットワークが始まるのかを一目で把握できる。インシデント対応もよりスムーズになり、ファイアウォールのログから、どのトラフィックがいつ境界を越えたのかが正確に確認できる。また、コンプライアンス監査においても、同様の明確さが活かされる。

これらの機器自体は、連続稼働を前提に設計されています。可動部品がなく、受動冷却方式を採用しており、多くの構成で電源の冗長化も実現しています。こうした設計上の選択は、実際の使用環境——すなわち、空調完備のサーバールームではなく、産業現場——を反映しています。温度変化、振動、粉塵は、こうした現場では日常的な現象です。このような条件下で使用されるよう設計されたハードウェアは、セキュリティ用途に転用された汎用機器と比べて、寿命が長く、故障も少ないのです。