歴史的に,重要インフラにおけるOT ネットワークや ICS システムを監視するセキュリティセンサーにとって,エンドユーザーに許される唯一のアプローチは受動的アプローチであった.リスクを最小化するために,OT ネットワークの条件は,そのようなデバイスが積極的に監視に関与できないことであった.
リアルタイムのパッシブモニタリングにより、トラフィックに干渉したり運用を妨げたりすることなく、これらのネットワークの状況を可視化できます。ネットワーク上でどのような情報が、いつ、どのようにやり取りされているかを把握することは、資産インベントリ、脆弱性管理、運用の可視化、およびサイバー攻撃への防御に役立ちます。しかし、絶えず変化し続けるサイバー脅威の状況においては、パッシブモニタリングだけでは不十分な場合があります。
このブログでは,アクティブ監視を含むパッシブ監視を強化する方法と,これらの様々な方法論の利点について説明します.また,Nozomi Networks プラットフォームが,OT およびIoT システムの安全性を確保するための包括的な監視手法を提供していることについても説明します.
設定ファイルと外部データ統合でパッシブ・モニタリングを強化できる
パッシブ・モニタリングを強化するために,システム構成ファイル(利用可能な場合)をインポートして,資産インベントリを充実させることができます.構成ファイルは,特定のシステムにバインドされた静的情報のスナップショットです.もちろん,制限もあります.ベンダーによっては,この情報を共有していない場合があり,情報が最新でない場合はファイルが古くなっているためです.
OT やICS環境には,外部のサードパーティーベンダーの技術も多数含まれている.外部データ統合は,サードパーティ・ベンダーの資産に関する情報を既存の資産情報と統合し,資産インベントリを最新の状態に保つために必要です.外部データを取り込む際の課題は,常に利用できるとは限らないサードパーティのテクノロジーに依存し,ソースによって精度のレベルが異なる可能性があることです.
パッシブ・モニタリングの利点は,既存の通信に依存することで継続的なネットワークモニタリングを提供できることである.しかし,パッシブ・モニタリングには限界があり,正確な資産インベントリ,脆弱性評価,非通信デバイスの可視性に影響を与える可能性がある.アクティブ・モニタリングは,パッシブ・モニタリングの限界のいくつかに対処します.
OT & におけるアクティブ検出IoT
OT ,IoT 環境にアクティブ・モニタリングを導入するには,文化的な転換が必要である.純粋なスキャンは,スループットの増加とエンドポイントのCPUサイクルの悪用を意味し,ネットワークのパフォーマンスと安定性に影響を与える.
いくつかのソリューションは,アクティブクエリによるアクティブ検知やエンドポイントセンサーによるアクティブ検知によって,純粋なスキャンに伴うスループットの向上やCPUサイクルの無駄遣いの問題に取り組んでいる.
アクティブ・クエリーとエンドポイント・センサによるアクティブ検出
古典的なスキャンとは異なり,アクティブ・クエリーを介したアクティブ検知は,デバイスの安定性に影響を与えず,有用な情報を返すことが知られている特別なメッセージや命令を活用し,デバイスのプロトコル機能の知識に基づいてデバイスを質問することを目的としている.これは,エージェントベースのソリューションがホストできない組み込みデバイスには必須です.
アクティブ・クエリによるアクティブ検知は,OT/IoT 組み込みデバイスが使用されている場合や,ITデバイスが使用されていてエンドポイント・センサが使用できない場合に適しています. アクティブクエリによるアクティブ検知では,以下のメリットが得られます：
- 組み込み機器での最大限の可視性
- Windows / Linux / macOSデバイスでの視認性の向上
- 脆弱性評価の強化.例えば,CCTVカメラのベンダー,製品名,ファームウェアのバージョンは,パッシブ検知では入手できない.これらの情報を能動的に取得することで,脆弱性が算出されます.
それでは、エンドポイントセンサーによるアクティブ検出について説明しましょう。エンドポイントセンサーを導入することで、ネットワーク検出、インストールされたマシン内のトラフィック監視、および資産検出を組み合わせ、エンドポイントに至るまでの可視性が向上します。このセンサーは、対象マシン上に設置されていなければ実現できない機能を提供します。 これにより、パッシブ監視が提供する大規模なネットワーク監視がローカル監視によって補完され、対象マシン自体がセンサーとして機能するようになります。これには、エンドポイント自体から（前述の）アクティブクエリを介してアクティブ検出を実行する可能性も含まれます。
エンドポイントセンサーによるアクティブ検知では,次のような利点があります：
- Windows/Linux/macOSデバイスを最大限に可視化する独自のホストベース検出機能
- 脆弱性評価の強化
- スイッチやタップに依存することなく,エンドポイントセンサーから直接トラフィックモニタリングを使用することで,完全なローカル可視性を実現.
- オフラインデータ収集により,ネットワーク上で通信していない資産の完全な可視化
- エンドポイントから実行できる「アクティブなクエリーによるアクティブな検出」のすべての利点
OT &IoT のパッシブ＆アクティブ検知のパワーを組み合わせる.Nozomi Networks
Nozomi Networks プラットフォームは,パッシブ・モニタリングとアクティブ・モニタリングの両方を組み合わせ,ネットワークとエンドポイントの安定性を損なうことなく,最大限の可視性と保護を提供する.
Nozomi Guardianおよびリモートコレクターセンサーは,OT およびIoT 環境のパッシブモニタリングを提供します.パッシブ・モードに設定すると,追加のトラフィックを生成することなく,ネットワーク上のミラーされたトラフィックを処理します.Guardian ,200を超えるプロトコルと数千のデバイスに関する当社の知識ベースを活用し,より正確な資産識別,脆弱性評価,ネットワーク統計,行動分析を実現します.
Guardian また,設定ファイルのインポートもサポートしています.主要なオートメーションベンダーの設定ファイルのスキーマの知識があれば,資産とネットワーク情報をマッピングして,より正確な資産インベントリを作成できます.SCD(IEC 61850変電所の資産識別と構成に使用)のような標準化された構成ファイルもサポートされています.資産管理ソリューションを含む外部ソースからの資産情報をGuardian に統合することで,サードパーティの資産に関する最新情報を得ることができます.
Guardian Airまた,無線ネットワークを受動的に監視することも可能です.Guardian Air のデータをVantage と統合することで,包括的な可視化が可能になる.
Guardian/リモートコレクターが提供するバルクネットワーク監視は,イネーブラとして受動的にネットワークを監視します.ローカル・エンドポイント・ベースのネットワークモニタリングは Arcこれは,インストールされたデバイスからのエッジ通信監視を可能にし,スイッチの再構成の制限を克服し,サポートされたエンドポイントをNozomi Networks センサーに変換します.
アクティブ・クエリによるアクティブ検知は, プラットフォームで行われる. Smart PollingNozomi Networks Smart Polling は, によって保護されたエンドポイントからも使用でき, インターフェースがプロセス/ ネットワークをポーリングすることを許可されていないセグメント化されたネットワークに,かつてないリーチを与える.Arc Guardian IoT
さらに、ホストベースの独自の検知機能が追加され、 Arc 、ネットワークベースの検出機能を補完し、精度とコンテキストを最大限に高めるために、シグマルール、ユーザーアクティビティの相関分析、USBの物理的アクセス検出など、独自のホストベースの検出機能が追加されています。さらに、データ統合や設定ファイルのインポート機能も活用できます。
