セキュリティの強化

Stratus ztC Edge システムではセキュアな Out-Of-Box Experience (OOBE) が提供されますが、以下の説明に従ってさらに追加の構成を行うことにより、最高レベルのセキュリティを確保することが可能です。

セキュリティの設定においては、保護と使いやすさのバランスを保つことが重要です。ztC Edge システムは、これらの要素のバランスを保つ一連のデフォルト設定が行われた状態で出荷されます。さらにセキュアなシステムを展開するには、以下のガイドラインに従ってください。計画から構成、運用、廃止に至るまで、システムのライフサイクル全体にわたって継続的にセキュリティを評価することができます。

下記の情報は、"CIS Controls" のバージョン 7.1 に基づくセキュリティ強化のための手引きです。これは、IT システムとデータのセキュリティ保護に関するベストプラクティスのリーダーとして知られるコミュニティベースの非営利団体 Center for Internet Security (CIS) によって開発された、セキュリティ強化のための推奨事項です。"CIS ベンチマーク" は、セキュアな製品のベースラインを検証し作成するためにも使用されます。CIS Controls の一覧は、下記の「標準化団体のベストプラクティスと標準」に記載されています。

以下の情報には、産業制御システムのサイバーセキュリティ標準 ISA/IEC 62443 に基づくセキュリティ強化の手引きも含まれています。この標準は国際計測制御学会 (ISA: International Society of Automation) によって当初作成されたもので、国際電気標準会議 (IEC: International Electrotechnical Commission) による改訂が続けられています。ISA/IEC 62443-4-2 にはデータの機密性や意図的な脅威の行為者・敵対者に基づいた各種のセキュリティレベルがあり、推奨項目を実施し緩和制御を適用することによって、必要なセキュリティレベルのコンプライアンスを達成するのに役立ちます。ISA/IEC 62443-4-2 の要件の概要は、下記の「標準化団体のベストプラクティスと標準」に含まれています。

このトピックは以下のセクションで構成されています。

セキュリティガイドライン
高度なセキュリティガイドライン
標準化団体のベストプラクティスと標準

セキュリティガイドライン

次のセクションでは、ztC Edge システムのセキュリティガイドラインについて説明します。

注: Stratus では以下のガイドラインをテスト済みで、サポートしています。Stratus によって明示的に承認されていないその他すべての更新や変更は、システムの正常動作に影響する可能性があります。
これらのガイドラインに関して疑問な点があり、システムにサービス契約が適用される場合には、Stratus 認定サービス業者まで問い合わせてください。詳細については、ztC Edge サポートページ (https://www.stratus.com/services-support/customer-support/?tab=ztcedge) を参照してください。

セキュリティ強化のガイドラインを実施する際、以下を考慮してください。

このセキュリティガイドラインは、ztC Edge コンソールおよびホストオペレーティングシステムで実行される管理タスクに適用されます。ztC Edge コンソールは、ztC Edge システムの大半の機能についての管理とモニタリングをリモートの管理コンピュータから行うことができる、ブラウザベースのインタフェースです (「ztC Edge コンソール」を参照)。ホストオペレーティングシステムは、システムの各ノード上で稼働します。ホストオペレーティングシステムのコマンドラインには、PM の物理コンソールからローカルに、あるいはセキュアシェル (SSH) クライアントを用いてリモートでアクセスできます (「ホストオペレーティングシステムにアクセスする」を参照)。
構成を変更する前に、後で必要に応じて復元できるように現在の設定を記録しておきます。また、どのような変更を行うかもすべて記録してください。この情報はトラブルシューティングで必要となる可能性があります。
特にホストオペレーティングシステムにおいて、デフォルトのシステム設定を変更する際は、両方のノードで変更を行わなければなりません。そうでない場合、不整合が生じた結果システムの正常動作に影響を及ぼす可能性があります。同様に、root のパスワードやホストオペレーティングシステムのその他のユーザアカウントの設定を変更する場合にも、両方のノードで行う必要があります。下記のガイドラインは、どのような状況でこれらの変更が必要となるかを示しています。
システムソフトウェアをアップグレードしたりシステム内のノードを交換するときに、システム強化のための変更がすべて移行されないことがあります。同様に、一部の設定は複数のノードで共有されるため、共有リソースに競合が生じる可能性もあります。したがって、これらの手順を完了した後は、システムの各ノードについて、正しい設定が適用され正しく動作していることを検証する必要があります。
セキュリティガイドラインでは、ztC Edge システムと Stratus Redundant Linux ソフトウェアの構成に関する詳細が記載されているナレッジベース記事を直接参照する場合もあります (例: KB-nnnn)。Stratus のカスタマサービスポータルおよびナレッジベースにアクセスするには、既存のサービスポータル資格情報を使用するか、「ナレッジベースの記事にアクセスする」の手順に従って新しいユーザアカウントを作成してください。

ポートとプロトコル

システムに対してネットワーキングや通信に関する変更を行うすべての管理者は、Stratus Redundant Linux で使用されるポートやプロトコルについて精通している必要があります。詳細については、KB-9357 を参照してください。

ネットワークセグメンテーション

ztC Edge システムは、信頼済みのデバイスか、デバイス同士の通信に明示的な許可が必要とされるネットワークのみに接続してください。ネットワークセグメンテーションの詳細については、NIST の特別刊行物 800-125B および 800-39 を参照してください。ztC Edge システムで利用できるイーサネットネットワークの詳細については、「ネットワークアーキテクチャ」を参照してください。

IP テーブルとファイアウォール

システムの IP テーブルパケットフィルタ処理を有効化して、通常の操作で使用されないポートをすべてブロックします。悪意のある行為者が、未使用のインタフェースをバックドアとして潜在的なセキュリティ脆弱性を利用することがあります。未使用のポートの IP テーブルを有効化して、エクスポージャを制限してください。

IP テーブルの実装方法の詳細については、「iptables を管理する」を参照してください。

注:

ztC Edge システム内の ping には ICMP プロトコルが使用されます。ICMP トラフィックをドロップするように IP テーブルを設定すると、フォールトトレランスやフェールオーバーのサポートが正しく機能しなくなります。
ホストオペレーティングシステムへの接続には SSH プロトコルが使用されます。SSH トラフィックをブロックするように IP テーブルを設定すると、システム管理者がホストオペレーティングシステムにアクセスできなくなります。

ユーザアカウントの作成

システムへのアクセスが承認されている各ユーザについて個別のユーザアカウントを作成し、デバイスの使用に関するユーザのロールを検討します。個別のユーザアカウントを維持することで監査や否認防止も可能になり、ログの確認によってデバイスにアクセスしたユーザや構成を変更したユーザを判定することができます。

ユーザの設定を構成する方法の詳細については、「ユーザとグループを構成する」を参照してください。

注:

デフォルトの admin アカウントの設定を編集して名前とパスワードを変更する必要がありますが、このアカウントを削除することはできません。
パスワードを忘れた場合の回復機能を有効にするには、admin も含めて各ユーザアカウントの電子メールアドレスを指定する必要があります。また、メールサーバも有効化する必要があります。手順は「メールサーバを構成する」を参照してください。そうでないと、システムがパスワードのリセットメールを送信できません。

パスワードの作成

システムのデフォルトのパスワードは変更する必要があります。

ztC Edge コンソールの展開時、admin に新しいパスワードを指定するためのプロンプトが表示されます。ztC Edge コンソールのパスワードポリシーでは、パスワードが以下の条件を満たしている必要があります。

パスワードは最低 8 文字です。
大文字と小文字の両方を含めなければなりません。
ユーザ名と同じであってはいけません。

ホストオペレーティングシステムの初回ログイン時、root に新しいパスワードを指定するためのプロンプトが表示されます。ホストオペレーティングシステムの root のパスワードを変更する際は、両方のノードで手作業によって変更する必要があります。詳細については、「ホストオペレーティングシステムにアクセスする」を参照してください。

注: ホストオペレーティングシステムの root のパスワードを変更する際は、パスワードを忘れないようにしてください。root のパスワードを紛失した場合、これを復旧するにはノードを交換するか再インストールしなければなりません。

ホストオペレーティングシステムにおけるパスワードの質を管理する方法の詳細については、「高度なセキュリティガイドライン」を参照してください。

最小権限

各ユーザのアクセスを、その役職やロールに該当する機能のみに制限します。

最小権限を実施することにより、権限のないユーザがそのロールより上のサービスにアクセスできないようにします。

各ユーザの権限を定義するロールの構成方法の詳細については、「ユーザとグループを構成する」を参照してください。

Active Directory

Active Directory 統合によって、認証と承認を一か所でまとめて行うことができます。Active Directory では、パスワードの複雑度を指定するグループポリシーを作成し、ローカルのセキュリティポリシーに基づいて適用できます。

ztC Edge システムを Active Directory ドメインに追加する方法の詳細については、「Active Directory を構成する」を参照してください。

時間の同期

時間の同期は重要です。これにより一括参照点が提供され、運用とセキュリティのプロセスが確実に同じ期間内で動作するようにできます。時間の参照によって、アプリケーションを更新する際にチェックと使用の時刻における信頼が得られ、日付と時刻に基づいてキーと証明書がまだ有効かどうかを確認できます。

ztC Edge システムに初めてログオンするときに、ネットワークタイムプロトコル (NTP) サービスを有効化してシステムクロックを自動的に設定してください。NTP は、既知の信頼される NTP サーバを参照するように構成します。詳細は、「日付と時刻を構成する」を参照してください。

注: NTP の設定を正しく構成するには、必ず ztC Edge コンソールを使用してください。ホストオペレーティングシステム内で手動で構成することは避けてください。

セキュアな接続

デフォルトでは、ztC Edge コンソールは HTTPS プロトコルによるセキュアな接続のみをサポートするように構成されています。

ztC Edge システムで HTTPS を有効化すると、一般的な Web セキュリティ攻撃を防ぎ、個々の Web セッションにある程度の機密性を提供することが可能です。HTTPS は Web セッションのトラフィックを暗号化し、データの整合性を確保して、Web トラフィックの全体的なセキュリティを向上させます。

HTTPS が有効な場合、TLSv1.2 のみがサポートされます。これは現在推奨される最強の暗号化スイートです。暗号化方式には次が含まれます。

TLSv1.2:
暗号化方式:
TLS_DHE_RSA_WITH_AES_128_CBC_SHA (dh 4096) - A
TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 (dh 4096) - A
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 (dh 4096) - A
TLS_DHE_RSA_WITH_AES_256_CBC_SHA (dh 4096) - A
TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 (dh 4096) - A
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 4096) - A
TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA (dh 4096) - A
TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA (dh 4096) - A
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (secp256r1) - A
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (secp256r1) - A
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (secp256r1) - A
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (secp256r1) - A
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (secp256r1) - A
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (secp256r1) - A

また、メールサーバやその他のタイプのサーバソフトウェアを使用する際も、セキュアな暗号化接続を有効化してください。ztC Edge システム上でのメールサーバ用の暗号化された接続の構成と有効化の詳細については、「メールサーバを構成する」を参照してください。

SSL 証明書を更新する

ztC Edge システムには自己署名された SSL 証明書が付属していますが、これを任意の購入済みの、あるいは提供されている証明書に更新することができます。SSL 証明書の変更によって、信頼の元を顧客から指定されたものに更新できます。詳細については、KB-9792 を参照してください。

SNMP の構成

簡易ネットワーク管理プロトコル (SNMP) は、アラームの受信、トラップの送信、およびシステムステータスのモニタリングに使用される標準プロトコルです。SNMP は、階層型に構成された管理情報ベース (MIB) に格納されているシステム定義情報を使用します。

セキュリティ上の理由から、顧客にとって ztC Edge システムのホストレベルで SNMP を無効化することが望ましい場合があります。必要な場合は iptables にルールを追加して (「iptables を管理する」を参照)、UDP ポート 162、161、199 および TCP ポート 162、199 をブロックし、すべての SNMP 接続を無効化することができます。

あるいは、SNMP の制限ありの構成を使用することもできます。すると SNMP 構成ファイルで SNMP v1 と v2 が無効化され、SNMPv3 のみが構成されます。詳細については、「SNMP 設定を構成する」を参照してください。

注: デフォルトでは、ztC Edge システムが SNMP v1 と v2 が有効な状態になっています。セキュリティ確保のためこれらのバージョンは無効化し、バージョン 3 のみを有効にする必要があります。

バックアップ

セキュリティイベントが発生した場合のために、バックアップを準備しておくことが重要です。ユニットを既知の良好な状態に戻して運用を継続することができます。作成したすべてのバックアップはセキュアな場所に保存する必要があります。

VM とそのゲストオペレーティングシステムをバックアップするには、「仮想マシンをエクスポートする」を参照してください。SMBIOS UUID、システムシリアル番号、および MAC アドレスが元の VM と一致する同一の VM を復元するには、「OVF ファイルから仮想マシンを交換/復元する」を参照してください。

[基本設定] ページで構成した ztC Edge システムの基本設定をバックアップするには、設定をローカルのストレージデバイスかクラウドに保存します。詳細については、「システム基本設定を保存または復元する」を参照してください。

デュアルノード構成の冗長な ztC Edge システムでは、各ノードがもう片方のノードのバックアップとしても機能します。ノードに障害が発生した場合、システム内の現在ライセンスが適用されているノードを交換することができ、システムは稼働中のノードからの Stratus Redundant Linux ソフトウェアの正確なコピーと仮想マシンを使用して、そのノードを自動的に復元します。

自動ローカルサイト復旧

自動ローカルサイト復旧 (ALSR) 構成は、2 つの別々のサイトにある 2 台の物理マシンを接続します。これはディザスタトレラントな展開方法で、ハードウェアの冗長性だけでなく、それを含む物理的なコンピュータ室や建物の冗長性も維持されます。地理的に離れているため、ALSR 構成にはコンポーネント配置の入念な計画と、より複雑なネットワークトポロジが必要とされます。ALSR 構成にはクォーラムサービスを使用するよう、Stratus では強く推奨します。これは、 ALSR 構成によって A-Link ネットワークが他の障害発生シナリオにさらされる可能性があるためです。 ALSR 構成は、1 つのノード用に構成されているシステムでは利用できません。)

詳細については、「ALSR 構成を作成する」を参照してください。

監査

ローカルポリシーによる監査を実施して、サイバー攻撃の検知、理解、およびそこからの復旧に必要となるイベントのログを定期的に収集し、管理します。

[監査ログ] ページには、ztC Edge コンソールにおけるユーザアクティビティのログが表示されます。このページを開くには、左側のナビゲーションパネルで [監査ログ] をクリックします。(ztC Edge システムで発生したイベントのログを表示するには、「[アラート履歴] ページ」を参照してください。)

ログの情報には次が含まれています。

時刻 — アクションの日付と時刻。
ユーザ名 — アクションを開始したユーザの名前。
発信元ホスト — ztC Edge コンソールを実行していたホストの IP アドレス。
アクション — ztC Edge コンソールで実行されたアクション。

監査ログ情報の表示には snmptable を使用することもできます (詳細は、「snmptable でシステム情報を取得する」を参照してください)。

ログを使用して ztC Edge システムの継続的なモニタリングを行います。サービスコールの際に迅速なサービスを確保するため、システムのサポート通知と定期レポートも有効化して、Stratus にシステムの稼働状態に関する情報が随時提供されるようにします。詳細については、「リモートサポート設定を構成する」を参照してください。

ログインバナー通知

ログインバナー通知を構成して、ztC Edge コンソールユーザ向けの重要な通知を含めます。詳細については、「ログインバナーを構成する」を参照してください。

アップグレード

Stratus Redundant Linux を定期的にアップグレードして、古いコンポーネントに起因するセキュリティ脆弱性が悪用されるのを未然に防ぎます。アップグレードの頻度と方法についての情報は、ローカルのセキュリティポリシーを参照してください。

注意事項: ztC Edge システムの CentOS ホストオペレーティングシステムを、Stratus 以外のソースから更新しないでください。Stratus Redundant Linux ソフトウェアと一緒にインストールされる CentOS リリースのみを使用してください。

ztC Edge コンソールの [アップグレードキット] ページでは、お使いのシステムを新しいバージョンの Stratus Redundant Linux ソフトウェアにアップグレードするためのアップグレードキットのアップロードと管理を行えます。USB メディアにアップグレードキットをコピーして、このメディアをシステムソフトウェアの再インストールに使用することもできます。

[アップグレードキット] ページを開くには、ztC Edge コンソールの左側のナビゲーションパネルで [アップグレードキット] をクリックします。

Stratus Redundant Linux ソフトウェアのアップグレードの詳細については、「アップグレードキットを使用して Stratus Redundant Linux ソフトウェアをアップグレードする」を参照してください。USB メディアの作成の詳細については、「システムソフトウェアの USB メディアを作成する」を参照してください。

物理的なセキュリティ

悪意のあるユーザがノードにアクセスするのを未然に防ぐため、それぞれの ztC Edge システムをセキュアな場所にインストールしてください。

悪意のあるユーザを特定できるよう、該当エリアに立ち入るスタッフを識別する監査可能なシステムを導入してセキュリティを確保します。

ztC Edge ノードを含むあらゆるデバイスにとって、不正の検出やアラート機能だけでなく、物理的なセキュリティも重要な役割を果たします。

高度なセキュリティガイドライン

以下のセクションでは、ztC Edge システムの高度なセキュリティガイドラインについて説明します。

パスワードの質に関する推奨事項

パスワードを設定する際の推奨事項には次が含まれます。

最小のパスワード長を少なくとも 8 文字に設定し、大文字、小文字、数字、特殊文字の 4 種類のうち 3 種類の使用を義務付けます。
パスワードを定期的にリセットするようユーザに義務付けます (30 日、60 日、または 90 日ごとなど)。パスワードの更新履歴の所定の期間内におけるパスワードの再利用を禁止することもできます。

ホストオペレーティングシステムのパスワードの質の設定を手動で更新するには

注: パスワードの質の設定はシステム内の両ノードに適用します。

ホストオペレーティングシステムにログオンします。手順は「ホストオペレーティングシステムにアクセスする」を参照してください。
テキストエディタで /etc/pam.d/system-auth ファイルを開きます。
pam_pwquality.so モジュールを適切な設定に変更します。たとえば、次のような設定を使用します。

password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= minlen=8 lcredit=-1 ucredit=-1 dcredit=-1 ocredit=-1 enforce_for_root

この例の場合、以下の値が設定されます。

minlen=8 は、最小のパスワード長を 8 文字に設定します。

lcredit=-1 は、パスワードに含まれる小文字の最小数を 1 に設定します。

ucredit=-1 は、パスワードに含まれる大文字の最小数を 1 に設定します。

dcredit=-1 は、パスワードに含まれる数字の最小数を 1 に設定します。

dcredit=-1 は、パスワードに含まれる記号 (@、#、!、$、% など) の最小数を 1 に設定します。

enforce_for_root は、root ユーザがパスワードを設定している場合でも、複雑度のポリシーが必ず適用されるようにします。
パスワード履歴を制限するには、pam_pwhistory.so モジュールを適切な設定で追加するか変更します。たとえば、次のような設定を使用します。

password requisite pam_pwhistory.so debug use_authtok remember=10 retry=3
/etc/pam.d/system-auth ファイルを保存します。

ホストオペレーティングシステムでのパスワードポリシーの詳細については、次の CentOS マニュアルを参照してください。

https://wiki.centos.org/HowTos/OS_Protection#Password_Policies

同時ユーザの管理

監査ログを継続的に監視して、マシンにログオンしたユーザと、それらのユーザがまだアクティブかどうかを確認できます。

システムを現在操作しているユーザを識別し、その利用状況を正当化し監査します。

ウイルス対策

ウイルス対策やマルウェア検出のためにネットワークベースの分析を継続的に行います。

ネットワークベースの侵入検知システムは ztC Edge の機能を補うもので、セキュリティ機能の動作を検証するのに役立ちます。検知システムは、悪意のある操作を検証するために調査が必要となる、異常なネットワークトラフィックを検出しなければなりません。

SSH アクセスの制限

/etc/ssh/sshd_config のいくつかのパラメータは、SSH でシステムにアクセスできるユーザとグループを制限します。ファイルに以下のパラメータが 1 つも存在しない場合、ファイルを編集して 1 つ以上のパラメータを設定し、アクセスを制限します。

AllowUsers

AllowUsers パラメータは、特定のユーザが SSH を用いてシステムにアクセスすることを許可するオプションをシステム管理者に提供します。リストにはユーザ名をスペースで区切って指定します。このパラメータでは数字のユーザ ID が認識されません。許可されたユーザのみがホストからログインできるように指定してユーザアクセスをさらに制限する場合、エントリを user@host の形式で指定することができます。

AllowGroups

AllowGroups パラメータは、特定のユーザグループが SSH を用いてシステムにアクセスすることを許可するオプションをシステム管理者に提供します。リストにはグループ名をスペースで区切って指定します。このパラメータでは数字のグループ ID が認識されません。

DenyUsers

DenyUsers パラメータは、特定のユーザが SSH を用いてシステムにアクセスすることを拒否するオプションをシステム管理者に提供します。リストにはユーザ名をスペースで区切って指定します。このパラメータでは数字のユーザ ID が認識されません。システム管理者が特にホストからのユーザアクセスを拒否してユーザアクセスをさらに制限する場合、エントリを user@host の形式で指定することができます。

DenyGroups

DenyGroups パラメータは、特定のユーザグループが SSH を用いてシステムにアクセスすることを拒否するオプションをシステム管理者に提供します。リストにはグループ名をスペースで区切って指定します。このパラメータでは数字のユーザ ID が認識されません。

SSH を使用してシステムにリモートでアクセスできるユーザを制限することによって、承認を受けたユーザだけがシステムにアクセスできるようにします。

MaxAuthTries

MaxAuthTries パラメータは、各接続ごとに許可される認証試行の最大回数を指定します。ログインエラーのカウントがこの半数に達すると、詳細を示すエラーメッセージが syslog ファイルに書き込まれます。

MaxAuthTries パラメータを小さい数に設定すると、SSH サーバに対するブルートフォース攻撃が成功する確率を最小限に抑えることができます。推奨される設定は 4 ですが、この値はサイトのポリシーに従って設定してください。例:

MaxAuthTries 4

IgnoreRhosts

IgnoreRhosts パラメータは、RhostsRSAAuthentication または HostbasedAuthentication で .rhosts ファイルと .shosts ファイルを使用しないように指定します。

このパラメータを設定すると、ユーザが SSH を使って認証する際にパスワードの入力が義務付けられます。例:

IgnoreRhosts yes

HostbasedAuthentication

HostbasedAuthentication パラメータは、認証が .rhosts または /etc/hosts.equiv で成功したパブリックキーのクライアントホスト認証を使用して、信頼されるホストを介して許可されるかどうかを指定します。このオプションは SSH プロトコルのバージョン 2 のみに適用されます。

/etc/pam.conf でサポートが無効化されている場合 .rhosts ファイルは無効ですが、SSH で .rhosts ファイルを使用できないようにすることによって追加の保護層を提供できます。例:

HostbasedAuthentication no

sshd_config パラメータの詳細については、sshd_config(5) のマニュアルページを参照してください。

標準化団体のベストプラクティスと標準

このトピックに記載されている情報は、以下のベストプラクティスと標準に基づいています。

CIS Controls バージョン 7.1

CIS Controls は、現在最も一般的で危険度の高い脅威を食い止めるために作成された、優先すべきベストプラクティスと標準のセットです。これは各国のセキュリティ専門家によって編み出されたもので、その後も毎年改良と検証が続けられています。さらに詳しい情報は CIS のサイト https://www.cisecurity.org に記載されています。

CIS Controls は以下のとおりです。

Basic (基本)

ハードウェア資産のインベントリとコントロール
ソフトウェア資産のインベントリとコントロール
継続的な脆弱性管理
管理権限のコントロールされた使用
モバイルデバイス、ラップトップ、ワークステーションおよびサーバに関するハードウェアとソフトウェアのセキュアな構成
監査ログの保守、監視および分析

Foundational (基盤)

電子メールと Web ブラウザの保護
マルウェア対策
ネットワークポート、プロトコル、およびサービスの制限とコントロール
データ復旧能力
ファイアウォール、ルータ、スイッチなどのネットワークデバイスのセキュアな構成
境界防御
データ保護
Need-to-Know に基づいたアクセスコントロール
ワイヤレスアクセスコントロール
アカウントの監視とコントロール

Organizational (組織)

セキュリティ意識向上トレーニングプログラムの実施
アプリケーションソフトウェアセキュリティ
インシデントの対応と管理
ペネトレーションテストおよびレッドチームの訓練

ISA/IEC 62443-4-2

ISA/IEC 62443-4-2 には、制御システム能力のセキュリティレベルを満たすための 7 つの基本要件 (FR) に関連する技術的なコンポーネント要件 (CR) の詳細が記載されています。さらに詳しい情報は IEC のサイト https://www.iec.ch/ に記載されています。

基本要件は以下のとおりです。

識別と認証制御 (IAC)
利用制御 (UC)
システム完全性 (SI)
データ機密性 (DC)
制限されたデータフロー (RDF)
イベントへのタイムリーな対応 (TRE)
リソース可用性 (RA)

1. 識別と認証制御 (IAC)

ユーザの識別と認証機構を組み合わせて使用し、コンポーネントのアクセス制御を実施します。アクセスを要求するユーザの身元確認は、不正なユーザによるコンポーネントへのアクセス取得を未然に防ぐために必要です。認証は、ログインを行いパスワードを使って ztC Edge システムに入る個々のユーザに対して、アクセス制御リストから行われます。

2. 利用制御 (UC)

ユーザの識別と認証が済んだ後、コンポーネントは、許可されるアクションをそのコンポーネントの承認される利用だけに制限する必要があります。ztC Edge システムには最小権限の概念を実施するロールが定義されています。さまざまなレベルのアクセス制御をもつ複数のユーザを作成することで、コンポーネントの承認される利用を定義することもできます。

3. システム完全性 (SI)

稼働時および非稼働時のソフトウェアと物理コンポーネントの両方において、デバイスの完全性が損なわれてはなりません。ztC Edge システムでは、ユニットが信頼される状態からブートまたは起動されることを確認するセキュアブートを実装しているほか、アップグレードの前にはソフトウェアコンポーネントのデジタル署名が検証されます。データの不正な操作や変更を未然に防ぐには、システム完全性を確保することが重要です。

4. データ機密性 (DC)

通信チャネル上の情報やレポジトリに保管されているデータの機密性を確保し、不正な開示から保護することが目的です。ztC Edge システムは Web 通信用に TLS v1.2 を含む HTTPS に加え、暗号化付きの SSH と SMTP も提供しており、悪意のある人物から情報を確実に保護します。

5. 制限されたデータフロー (RDF)

制限されたデータフローによって、ゾーンや導管を介して制御システムをセグメント化し、不要なデータフローを制限します。ztC Edge ネットワークアーキテクチャでは、ネットワーキングの構成によって指定されるルーティングやスイッチングがサポートされます。これにより、担当のシステムエンジニアによる定義に基づいて情報フローの管理を行います。ztC Edge システムのネットワーキング能力を活用することで、ネットワークセグメンテーションによるデータフローの制限が可能になります。

6. イベントへのタイムリーな対応 (TRE)

システムがセキュアな状態から動作を開始した場合でも、脆弱性やセキュリティイベントが発生する可能性はあります。ztC Edge システムではセキュリティインシデントに対応して問題を迅速に解決し、調査結果を報告するため、製品セキュリティインシデント対応 (PSIR) チームを用意しています。ztC Edge システムの提供するアラートログを使用すると、適切なチャネルに通知して、セキュリティインシデントを示す可能性のある構成変更を伝えることができます。ログには調査に十分な情報が含まれており、e アラート通知は電子メールで送信されます。

7. リソース可用性 (RA)

この制御は、コンポーネントがさまざまなサービスの拒否イベントから確実に回復できるようにすることが目的です。ztC Edge システムの高可用性は「always on」状態を提供するための基盤です。産業制御システムでは、ときに生命の安全に関わることもあるため、高可用性を維持することが不可欠となります。組み込みの仮想化および可用性層、自動化されたデータ保護、アプリケーションの復旧といった機能を備えた Stratus Redundant Linux は、最新の仮想化されたコンピューティングにおける IT への依存度を大幅に削減します。自己保護および自己監視の機能を通じて計画外のダウンタイムを減らし、ビジネスクリティカルな産業アプリケーションに継続的な可用性を確実に提供します。