産業用スイッチはセキュリティ保護の一部を担えますが、接続するだけでデータが自動的に暗号化されるわけではありません。誰が接続できるか、誰が管理できるか、どのサービス間で通信を許可するか、障害後にどのように復旧するかを、それぞれ個別に管理する必要があります。VLAN、アクセス制御、暗号化、物理的保護は役割が異なります。具体的な対応機能は、機種、ファームウェア、設定の各ドキュメントで確認する必要があります。
セキュリティと信頼性を混同しない
金属製筐体、広い温度範囲、冗長電源は、主に現場環境への対応と運用上の信頼性に関わるものであり、侵入への耐性を直接証明するものではありません。ネットワークセキュリティは、不正アクセス、誤設定、悪意のあるトラフィック、データ漏えいに重点を置きます。両者は関連しますが、互いに代替することはできません。まず、コントローラ、カメラ、保守用コンピュータ、管理プラットフォームを一覧にし、相互に通信する必要があるものと、接続すべきでないものを明示します。その後の設定はすべて、こうした実際の業務上の関係に基づいて構築する必要があります。
ポートの接続許可：まず不要な入口を減らす
未使用のポートを無効化し、接続できる場所を制限し、機器の対応機能に応じてポート認証やその他の接続許可対策を設定します。MACアドレスの制限は無秩序な接続の削減に役立ちますが、MACアドレスは偽装不可能な本人確認情報ではありません。802.1Xを使用する場合も、端末、認証サーバー、スイッチのすべてが対応している必要があります。認証機能を持たない産業用端末には明確な例外ポリシーが必要であり、認証を有効にしただけでネットワーク全体を保護できたと考えてはいけません。現場のキャビネット、光配線、予備インターフェースも管理する必要があります。
VLANで境界を分け、ACLでサービスを制限する
VLANは異なるサービスを異なるレイヤー2のブロードキャストドメインに分離しますが、それによってデータが自動的に暗号化されるわけではありません。相互通信にルーティングを使用する場合も、アクセスルールが必要です。ACLは、アドレス、プロトコル、ポートに基づいてトラフィックをフィルタリングします。設定時には、サービスが本当に必要とする経路だけを許可し、許可される場合と拒否される場合の両方をテストしてください。産業用制御プロトコルは複数のポートを使用したり、逆方向の接続を能動的に開始したりする場合があるため、名称だけを基にルールを作成することはできません。重要な制御ネットワークに関わる場合は、ファイアウォール、ゾーン分離、監視対策と組み合わせた体系を構成する必要があります。
管理プレーンを保護し、パスワードを初期状態のままにしない
管理プレーンは機器設定を変更するための入口であり、通常の業務トラフィックから分離し、アクセス元とアクセスできる担当者を制限する必要があります。機種が対応している場合は、保護された管理プロトコルを優先し、未使用の旧来のサービスを無効化し、アカウントと権限を個別に設定します。パスワードの更新、証明書、時刻同期、ログの保存、ファームウェアの入手元の検証も保守に含める必要があります。管理プロトコルが暗号化されているかどうかと、業務メッセージが暗号化されているかどうかは別のことであり、混同してはいけません。
保護対策には実際の検証が必要
許可された端末を使って、本番サービスが継続して利用可能であることを確認し、次に管理下のテスト機器を使って、禁止された経路が実際に遮断されていることを確認します。ブロードキャストストーム制御、設定バックアップ、電源断からの復旧、管理者権限をテストし、設定バージョンと操作記録を保存します。ACLやVLANを変更する前に、セキュリティ設定によって保守チャネルまで遮断されることを避けるため、ロールバック手段を準備してください。スイッチは、端末のパッチ適用、アプリケーション認証、バックアップの代わりにはなりません。真に実用的な対策には、人、機器、プロセスの連携が必要です。
例：保守用コンピュータから、認可されたコントローラだけにアクセスする
同じ現場に、生産用コントローラ、映像端末、保守用コンピュータがあるとします。まず、通信が必要な対象をグループ分けし、その後でVLAN、ルーティングの境界、アクセスルールを決めます。すべての機器を接続し、後からポート認証がサービスを自動的に判別してくれると期待することはできません。保守用コンピュータには、必要な管理アドレスへのアクセスだけを許可し、それによって映像端末に制御設定を変更する権限が与えられないようにします。検証時には、許可されたアクセスの証拠を保存するとともに、禁止された経路が拒否されたことを示す結果も保存します。遠隔保守には、独立した管理下の入口を経由してアクセスします。スイッチの管理ポートを公衆ネットワークに直接公開しないでください。一時的な保守が終了したら、一時アカウントとルールを撤回し、記録を更新します。
原理の参考資料：公式技術資料。本記事の構成図は、特定の製品仕様を示すものではありません。機種を選定する際は、その機種のマニュアルを確認してください。
中国語の技術記事から翻訳。原文の初回公開日：2024-11-26。原文の最終改訂日時：2026-10-13T19:28:50+08:00。 中国語の原文を読む
