コンプライアンス
電力網のセキュリティ強化に「East‑Westトラフィック」の可視性が求められる理由
電力網インフラや基幹OTネットワークでは、攻撃者による水平移動・内部活動が大きな脅威となります。対策として、「East‑Westトラフィック」を可視化することが重要です。
はじめに
電力インフラは、これまでになく高度にネットワーク化されています。大規模電力系統（BES：Bulk Electric System）の運用を担う組織では、自動化や遠隔運用、送配電網の近代化を実現するために、運用・制御技術（OT：Operational Technology）や産業制御システム（ICS：Industrial Control System）、企業IT環境を相互に連携させる動きが加速化しています。
このように多システムを相互に接続させる仕組みは、運用効率を高める一方で、新たなサイバーセキュリティ上のリスクを生み出します。
重要インフラに対する攻撃が初期侵害だけで終わることは、ほとんどありません。侵入に成功した攻撃者は、内部システム間を横断的に移動しながら（水平移動・内部活動：Lateral Movement）、密かにネットワーク構成を把握し、権限昇格（Privilege Escalation）を行った上で、高価値な運用資産を見つけ出そうとします。
電力網の運用を保護するセキュリティ責任者が対峙する課題は、「攻撃者の侵入を防ぐこと」のみにとどまりません。侵入を許してしまった場合にも、そこから先の攻撃活動を食い止めることが重要です。さらに、組織として求められる広範な規制やコンプライアンスにも準拠し続ける必要があります。
こうした経緯もあり、現代の電力網環境を保護するためには、「電子セキュリティ境界（ESP：Electronic Security Perimeter）」の内部で行われるシステム間通信（East-Westトラフィックと呼ばれる）を可視化することが、不可欠となっています。なお、「電子セキュリティ境界（ESP） 」とは、「ルーティング可能なプロトコルを通してBES サイバーシステムと接続しているネットワーク集合の論理的境界（日本語翻訳）」と定義されています。
さらに「NERC CIP-015」といった規制の導入により、BESを支える運用ネットワークの内部監視を強める必要性が、一層明確に示されています。
電力網インフラに対するサイバーリスクの高まり
BESの事業者は、現代社会に欠かせない重要インフラの一部を管理しています。そこに含まれる発電、送電、配電関連のシステムは、従来の運用・制御技術（OT）と最新のITシステムを組み合わせた複雑なデジタル環境の上に成り立っています。
こうした集約型の構成は、サイバーセキュリティ上の新たな課題を生み出します。
第1に、IT環境とOT環境の相互接続が進んだ結果、かつては分離されていたシステムも、現在では企業ネットワークや遠隔監視プラットフォーム、クラウドベースの分析基盤と連携するようになっています。
第2に、多くの運用環境では依然としてレガシーシステムが使われており、パッチ適用のサイクルが長期化しがちです。結果、脆弱性が長期的に放置されてしまう場合があります。
第3に、電力網の運用を支えるエコシステム全体が、複雑な関係のもとに成り立っています。たとえば電力事業者は、機器ベンダーや請負業者、サービスプロバイダ、技術パートナーなどを含め、サプライチェーン上に多様な提携関係を築いています。攻撃者の目から見れば、この広大なエコシステムの中に、侵入経路として狙えそうなポイントが多数存在することになります。
そして攻撃者は、こうした状況をより巧妙に悪用しようと画策しています。一度の活動で大きな損害を与えるよりも、むしろ、標的環境内を慎重かつ段階的に移動しながら価値の高いシステムを見極め、その上で、最終的な目標を実行する方が一般的です。
このような活動を見逃すことなく検知するためには、「内部監視」を強めることが特に重要です。
電力網環境において「水平移動・内部活動」が特に危険な理由
電力網環境におけるセキュリティ侵害の影響は、ITシステムをはるかに超えた領域に波及します。
攻撃者が企業ネットワークへの侵入に成功した場合、そこから水平移動・内部活動を行い、発電・送電インフラの運用制御システムに手を伸ばす可能性があります。ひとたびOT環境内に入ってしまえば、運用の妨害、制御システムの不正操作などを通じて、社会的に不可欠なサービスの阻害に至るケースも考えられます。
先述の通り、こうしたシステムは相互接続されているため、攻撃者は内部ネットワーク間を横断的に移動することで、アクセス範囲を迅速に拡大させる可能性があります。
以上を踏まえると、電力網インフラの保護を担うCISOやOTセキュリティ責任者、プラント運用者にとっては、水平移動・内部活動を早期に検知し、阻止するための体制を整えることが重要です。そうすることが、運用信頼性の維持に繋がります。
「East‑Westトラフィック」の可視化が重要な理由
運用環境の内部では、システム同士が常に相互通信を行っています。こうした内部通信は、一般に「East‑Westトラフィック」と呼ばれています。
具体例として、以下のような通信が含まれます。
- 産業制御システム同士の通信
- OT機器と監視プラットフォーム間におけるデータのやり取り
- 運用システムと企業アプリケーション間の連携
- ベンダーシステムとインフラ環境間の接続
こうした通信は運用や制御のために必要なものですが、攻撃者の目には、侵入経路として映る可能性があります。
ネットワーク内部に侵入した攻撃者は、「East‑Westトラフィック」を頻繁に悪用し、以下のような目的を達成しようとします。
- システム間を横断的に移動（水平移動・内部活動）
- 価値の高い運用資産を特定
- 権限昇格
- 制御システムにアクセス
従来型のセキュリティアーキテクチャでは、多くの場合、ネットワークの「境界」を出入りする「North-Southトラフィック」の監視に注力しています。しかし、それだけでは、運用ネットワークの内側で発生する不審な挙動を見過ごしてしまう可能性があります。
さらに、従来型ITセキュリティツールの多くは、OT環境の表面的な情報を捉えることに終始しています。たとえば、IPトラフィック自体は発見できるものの、背景知識の不足により、産業用通信の解釈にまで踏み込んだ分析は困難です。
運用環境では、DNP3やIEC 61850、OPC、Modbusといった産業用のプロトコルや通信が利用されています。また、SCADAシステムやエンジニアリング・ワークステーション、コントローラ、監視プラットフォームなどの間で、さまざまなサービスやポートを通したやり取りが行われています。
セキュリティチームでは、こうしたプロトコルやポート、内部システム間の通信を横断的に可視化することで、異常を早期に検知し、重要な運用システムへの影響を未然に防げる可能性が高まります。
セキュリティ規格「NERC CIP - 015」の意義
「北米電気信頼性公社（NERC：North American Electric Reliability Corporation）」によるセキュリティ規格「重要インフラ保護（CIP：Critical Infrastructure Protection）」は、BESの運用や保護を担う組織を対象に、サイバーセキュリティの強化を促す意図で策定されたものです。
脅威が高度化するに伴い、運用環境内部での監視強化や可視性の確保に向けた取り組みが、規制の枠組みにも明確に表れています。
「NERC CIP‑015」をはじめとする規格の導入は、初期侵入後に水平移動・内部活動が行われるケースが多いという実態を踏まえたものであり、運用ネットワークの内部通信を可視化する重要性を裏付けています。
BESの所有者や運用者にとって、こうした可視性の確保には、以下のような対応能力が含まれます。
- 電子セキュリティ境界（ESP）内部の通信を監視
- 異常なネットワーク挙動を検知
- 不正なデバイスや接続を特定
- 脅威の可能性を迅速に調査
企業や組織では、内部通信に対する可視性を高めることで、セキュリティ体制を改善できるだけでなく、「NERC‑CIP」による監視要件の変更にも対応しやすくなります。
電力網環境を保護するための近代的アプローチ
水平移動・内部活動のリスクに対処する上では、IT環境とOT環境の双方を横断的に可視化できるアプローチが望まれます。従来型セキュリティソリューションの多くが企業IT環境を主軸として設計されているのに対し、「TrendAI Vision One™」は、産業用のプロトコルやポート、OTシステム通信に踏み込んだ深い可視性を提供します。これによってセキュリティチームでは、運用システム間のやり取りや状況を明確に把握し、水平移動・内部活動を示唆する異常な挙動を迅速に検知できます。
「TrendAI Vision One™」のセキュリティプラットフォームを活用することで、企業や組織では、複雑なインフラ環境の全体を通して内部活動を監視し、不審な挙動を検知するとともに、迅速な対応に繋げることが可能です。
企業のIT環境を主軸に設計された従来型セキュリティツールに対し、TrendAI Vision One™は、OTの特性に配慮した監視能力を備えています。また、運用ネットワークの全体を対象として、産業用プロトコルやポート、システム間のやり取りも含めた可視性を提供します。
これにより、BES環境を担当するセキュリティチームでは、発生した通信トラフィックを特定するとともに、その通信が運用上期待されるものであるかを判断できるようになります。
さらに、TrendAI Vision One™は、AI技術を駆使することで数千件に及ぶネットワーク間のやり取りや産業用プロトコル通信、そのパターンを解析することが可能であり、可視性を一段と高められます。これにより、たとえ正常な運用トラフィック内に不審なデータが紛れ込んでいる場合でも、それを浮かび上がらせ、水平移動・内部活動の兆候を的確に検知します。
企業や組織では、TrendAI Vision One™の統合プラットフォームを活用することで、IT環境とOT環境の双方を含めた内部通信を監視し、その状態を明瞭に把握することが可能です。
主な機能
内部ネットワーク通信の可視化
ネットワーク監視技術を活用することで、運用環境内でのシステム間通信を可視化します。これにより、「East‑Westトラフィック」を逃さず検査し、異常な挙動を効果的に検知できるようになります。
不審または異常なトラフィックの検知
AI駆動の検知機能を駆使することで、ネットワーク内部の活動や、産業用プロトコルに基づく挙動を分析します。これにより、水平移動・内部活動やシステム侵害を示唆するパターンを識別します。
TrendAI Vision One™は、「OTを考慮した監視機能」、「AI駆動の脅威検知」、「露出管理」、「ITネットワークと運用ネットワークをまたいだ相関分析」を組み合わせることで、脅威の迅速な検知や、インシデント調査の円滑化を手厚くサポートします。さらに、重要インフラの保護に役立つ情報を提供します。
管理対象外または未知の情報資産の発見
露出管理の機能により、従来の資産インベントリから漏れやすかったデバイスを特定しやすくなります。たとえば、請負業者の端末や、運用ネットワークに接続されたベンダーシステムなどが含まれます。
脆弱なシステムの保護
運用環境では、パッチ適用のサイクルが長期化し、その間に脆弱性が露出する傾向にあります。ネットワークベースの保護技術は、こうした危険な状況に置かれたシステムを守る上で効果を発揮します。
調査や対応の自動化
セキュリティチームでは、ITやクラウド、運用環境にまたがるイベントを互いに関連付けて把握することで、急浮上する脅威の調査や対応を迅速に進められるようになります。
一連の機能を組み合わせることで、システム内に生じがちな「盲点」を削減するとともに、電力網の運用を支えている環境の全体にわたって防衛力を高めることが可能です。
BESの所有者や運用者が次に取るべき対応
電力網インフラを狙ったサイバー脅威は、進化し続けています。対策として、企業や組織では、防衛体制を強化し、内部活動の監視や脅威の早期検知に向けて取り組む必要があります。
セキュリティ責任者が取り組むべき課題の具体例を、以下に示します。
- 内部運用ネットワークにおける通信の可視性を向上
- 水平移動・内部活動を示唆する異常な挙動を検知
- OT環境に接続された管理対象外または未知のデバイスを把握
- 相互接続されたベンダー・エコシステムによって生じる露出リスクを軽減
- IT環境とOT環境の双方を監視できるセキュリティプラットフォームを導入
BESの運用チームでは、内部の可視性や検知能力を高めることにより、重要インフラ環境内で攻撃者が横断的に移動するリスクを大幅に軽減できます。
電力網インフラの全体にわたる防衛強化
水平移動・内部活動の脅威を阻止するためには、運用環境内におけるシステム間通信を明確に把握できるようにすることが重要です。そのためにも、深い領域にまで切り込んだ可視性が望まれます。
電力網インフラの保護を担うセキュリティチームでは、異常な活動を迅速に検知し、潜在的な脅威を調査した上で、運用への影響を未然に防ぐ能力が求められています。
BESを支えるIT環境とOT環境の双方を保護し、監視体制を強める手法について、検討されてみてはいかがでしょうか。ご相談がおありの場合は、ぜひ、こちらからお問い合わせください。
参考記事
Why East-West Visibility Matters for Grid Security」
By: Vitaliy Shtym
翻訳：清水 浩平（Core Technology Marketing, Trend Micro™ Research）