東京・大手町の高層ビル群（出典：写真AC）
前回の内容で説明しきれなかった、制御システムインフラ（＝ネットワーク）のホワイトリスト制御について説明します。
■ホワイト、ブラック？！
最初にネットワークの観点からホワイト・ブラックリストについて説明します。
・ホワイトリスト：ネットワークを使っていいもの・ブラックリスト：ネットワークを使ってはいけないもの
非常に簡単です。でも実際に制御するに当たってはいくつかポイントがあります。サスペンスドラマに例えると、犯人がブラック、犯人が分かるまでに怪しい動きをする人物がグレー、そして明らかに疑うに値しない人物がホワイトです。つまりホワイトリスト制御は、疑うに値しないもの：ホワイトのみをシステムに参加させる方法です。
■ホワイトリストの対象
では実際の制御システムにおいてどんなものを対象としてホワイトと定義するのか、ここがポイントになります。対象を大別すると以下の3つです。
1）ネットワークにつなげる“デバイス“2）ネットワークに流れる“通信“3）デバイス、サーバーなどで動作する“アプリケーション”
ネットワークにつなげるデバイス
ネットワーク機器に接続するデバイスのIPアドレス、もしくはMACアドレスを対象に判別します。通常、IT（一般の企業ネットワーク）ではPC、スマートフォンなどがネットワークにログインする際、ユーザーIDとパスワードなどでネットワークに入ることができますが、制御デバイスの多くはそのような機能を持っていないため、ネットワーク機器にあらかじめ許可した端末（ホワイト端末）のアドレスを設定し、設定された端末のみアクセスを許可します。ネットワーク側でサポートする機能です。
ネットワークに流れる通信
こちらもネットワーク機器で制御する機能になりますが、アクセスする端末のアドレスだけでなく、その端末が使用する通信プロトコルを制限します。これはネットワーク機器の性能によって制限する機能が異なりますが、UDP/TCPの使用ポート番号でアクセスする通信を決定する機能が一般的です。最近のゲートウェイタイプの製品では、さらに上位のアプリケーションで利用するメッセージなどで判断することが可能です。
デバイス、サーバーなどで動作するアプリケーション
こちらは主にOSを持つものに対して、Agentと呼ばれるソフトをインストールして制御するものになります。アンチウイルスなどのソフトはブラックリスト制御で、悪い動きを封じ込めることになりますが、ホワイトリストの場合は認められたもののみプロセスやレジスタ、そして通信プロトコルのみを許可し、それ以外の動作は実行させない仕組みになります。
制御システムでの組み合わせ
上記の各種ホワイトリスト制御をビルの制御システムに対して実装したイメージを以下に表示しました、ご覧ください。
赤枠の部分、ネットワークにつなげるデバイスのアクセスを制御する部分です。この部分はセキュリティ機能付きのイーサネットスイッチで実現します。制御データをイーサネットプロトコルで通信をするデバイス（PLC-GW、もしくはPLC）が所定の場所に接続されていることを確認し、各制御ネットワークへの接続を許可します。このとき、未登録の端末がシステムネットワークに接続されると、通信を遮断するとともに接続を試みた場所をアラームとして管理者に通知します。内部犯行などを防ぐ際に有効です。
緑枠の部分、各ネットワークに流れる通信を制御する部分です。ゲートウェイ製品（主にUTMなどと呼ばれる製品）で制御します。最近のゲートウェイ製品は制御プロトコルのホワイトリスト機能をサポートしている製品も多くあります。この製品を設置するとシステムで許可された通信しか他のネットワークに流さないので、万が一、感染した端末やハッキング端末からの通信を検知した場合、その通信を遮断するので、悪意のあるリモート操作や他のシステムへの脅威拡散などを防ぐことができます。
青の部分、デバイス、サーバーなどで動作するアプリケーションの制御部分です。WindowsやLinuxなどのOSが搭載されている端末にAgentツールをインストールし、動作可能アプリケーションの制限をかけることが可能になります。このことにより、管理者などが未認可アプリケーションのインストールの試みや、感染してしまった端末が他の端末に対して感染を促すような動作などを防ぐことができます。
説明した通り、上記のホワイトリスト対策の長所は異なります。組み合わせで利用することにより、より強靭（きょうじん）なサイバーセキュリティ対策を実現することが可能です。これを私は制御システムの多層化防御と呼んでいます。
またそれぞれの対策を連動させることにより、管理者の負担を軽減することが可能となります。その連携のつなぎ目を補うのはSDN（Software-Defined Networking）という技術です。次回は私たちアライドテレシスが取り組んでいる制御向けのSDNソリューションについて解説していきます。
（了）
