「ネズミがケーブルかじって全てダウン」は昔話でない

昔ながらの「機械の故障」が企業のセキュリティにとどめを刺す

セキュリティ対策のおかげで身動きが取れない組織は、物理的なセキュリティ対策を見過ごしてしまう。だが、この原始的な故障に対する優先度は依然として高いことを忘れてはならない。

公開 2016年05月11日 12時00分

著者

Ernie Hayden

[TechTarget]

印刷する

どんなに高度なセキュリティ技術や脅威情報を持っていても、「壊れたルーター」には無力だ

　「社内のセキュリティ評価にネットワークの物理的なハードウェアテストを含める必要はない。リモートスキャンを行い、コンサルタントがファイアウォールのルールセットを再確認すれば十分だ」といった意見を企業のIT担当者が口にすることが増えている。

　しかし、このような考えはセキュリティ問題の一部分しか理解していないため、組織のネットワークにおけるセキュリティに深刻な問題を引き起こす可能性がある。そこまで深刻な事態にならないとしても、IT部門の担当者が「機械はいつも全て順調」という誤った安心感をもってしまう危険性はある。

　セキュリティ対策では、重要な項目として、機密性と整合性、そして、可用性を考慮しなければならない。その優先度は機密性＞整合性＞可用性となるが。最近では、可用性を最も優先する意見も増えている。確かに最近のITと運用テクノロジー（Operational Technology、OT）ネットワークでは、どちらも可用性の重要性が高い。だが、その可用性も、「物理的なセキュリティ対策」とのバランスを取らなければならない。

併せて読みたいお勧め記事

企業が誤解しやすいネットワークセキュリティ

なぜ物理ネットワークのセキュリティを忘れてしまうのか

　セキュリティ評価において、ネットワークの物理面に目を向けておかないと、簡単に回避できたはずの課題に向き合うことになる。

　あるWebサイトで、ユーザー企業がソフトウェア設定の評価と物理ネットワークにおけるセキュリティ評価の両方を求めたことがある。ソフトウェア設定の評価では、開いているポートやサービスに対して（Linuxが用意しているコマンドの）Nmapスキャンチェックを行い、ワークステーションに対してはTenable Network Securityの「Nessus」スキャンなどを行った。こうしたスキャンでは、セキュリティに深刻な脆弱（ぜいじゃく）性を確認しなかった一方で、あるスイッチのハードウェア機構に重大な問題を発見した。

　それは、1つのスイッチを小さなくぼみの中に設置したため、その部分が高温になるという問題だった。そのスイッチには、カテゴリー5ケーブルや電源ケーブルがもつれた状態で接続していた。さらに悪いことに、スイッチは2枚の小さな木の板の上に不安定な状態で設置していた。これはスイッチ周りを冷却するために風通しを確保するための処置だが、熱と振動によって、このスイッチに障害が起きる可能性は非常に高い。また、ラベルの付いていないケーブルが絡み合った状態で接続していたので、ケーブルに断線などの問題が起きたときの修復作業を難しくしていた。

　別の建屋では、ポートに接続した重要なオフィスネットワークの物理的な問題を調査した。このケースでは、ボイラー室に2つのスイッチと1台のルーターを積み重ねて設置していた。しかも、スイッチとルーターはラックに据え付けておらず、古い木製の机、ではなく、さらにその机に山積みになった書籍の上に直接おいていた。ただでさえ暑いボイラー室で、熱い蒸気が中を伝う配管のすぐ近くに設置した机に山積みとなった古本の上に、不安定な状態で重ねられたスイッチとルーターは、高い確率でネットワークアレイに障害が起きるはずだ。

　このような例は、ネットワークハードウェアの調査を行うと、かなりの確率で露見する。「暑さで壊れそうなルーター」はリモートスキャンでも「ping」スイープでも検出できない。

ネットワークハードウェアの保全を優先すべし

　ネットワークのセキュリティ評価報告書を準備する場合、ハードウェアの脆弱性を探すために、標準のNmap、Nessusなどのサイバースキャンを含めるようにすべきだ。さらに、コンサルタントにお願いするか、そこまでできなくても社内スタッフで、ネットワークを文字通り見回って、以下の点をチェックするようにしたい。

ネットワークの配線図が物理ポートの接続経路を全て正確に表している
開かれたポートに未承認のケーブルが接続していない
スイッチ、ルーター、ハブ、タップなど、ネットワークを構成するハードウェアが全てネットワーク配線図に記載してある
ネットワーク構成とケーブルが、構造上安全（配線をまとめている、ラックに収容している、など）で、装置の発熱や凍結の危険がない
全ての通気孔が清潔で、冷却ファンが正しく機能している

　ネットワークハードウェアのセキュリティをロケット工学と同じように考えることは難しいが、サイバースキャンと組み合わせたチェックに労力と時間を割く価値はある。「本の山からスイッチが落ちて壊れました」とCIO（最高情報責任者）やCISO（最高情報セキュリティ責任者）に報告することを考えれば、その価値に納得できるだろう。

印刷する