パッシブ・ネットワーク・モニタリングは、産業環境における資産のインベントリや脅威・異常検知の標準である。これは、アクティブ・スキャンが潜在的に悪用する可能性のある、安全でない独自のプロトコルを持つレガシー・システムに大きく依存しているため、さらに悪化している。OT システムは多くの場合、重要なインフラストラクチャを構成し、安全性、セキュリティ、必要不可欠なサービスの提供に影響を与える可能性のあるプロセスを制御している。パッシブ・モニタリングでは、干渉を受けずに可視化できるのに対し、IT環境では一般的なアクティブ・スキャニングやプロービング技術は、運用障害や安全上の危険につながる可能性があり、混乱を招く恐れがある。

パッシブ・ネットワーク・モニタリングの仕組み

パッシブ産業用ネットワーク・モニタリング・ツールは、スイッチやルーターのSPANまたはミラー・ポートに接続し、ネットワーク通信を観測することで動作する。 その Nozomi Guardianは、パッシブにローカルネットワークのトラフィックを監視し、デバイスを特定するためのエージェントや質問を使用することなく、包括的なOT IoT 資産の可視性と監視を提供します。継続的にアクティビティを監視し、ネットワーク上で通信している新しい資産を発見し、トラブルシューティングや調査のためにネットワークを可視化し、重要な脆弱性を特定し、サイバーセキュリティの脅威や運用上の問題を検出します。

具体的には、Guardian センサーはパッシブなディープパケットインスペクションを使用し、コンポーネント、接続、トポロジーを含む産業用ネットワークをリアルタイムで自動的に検出します。その後、高度な学習機能により各 ICS に特化したプロファイルを構築し、異常、不審、悪意のある活動を監視するために行動分析を使用します。その結果、サイバー攻撃や重要なプロセスの異常を迅速に検出することができます。

リモート・コレクター

リモートコレクタは、手の届きにくい場所や無人の場所をカバーするように設計されたパッシブモニタのもう1つの形態です。これらの小型で低リソースのセンサーは、ネットワークセンサーと連動し、ネットワークセンサーがコスト効率や実用的でない荒野や沖合、その他の遠隔地や分散した場所（大規模なキャンパス内の変電所や小規模なプラントなど）からデータをキャプチャします。Nozomi Networks リモートコレクターは、このトラフィックをキャプチャ、重複排除、圧縮、暗号化してから、関連するGuardian センサーに送信して処理します。 

ワイヤレスセンサー

無線センサーは、無線技術が一般的になっている産業環境において活用すべきパッシブ・モニタリングのもう一つの形態である。ブルートフォース攻撃、スプーフィング、ブルージャッキングのような無線特有の脅威を検出するのは難しく、攻撃を実行しているデバイスの位置を特定するのはさらに難しい。

WiFiとBluetoothに加えて、プロセス制御ネットワークは、低消費電力でセンサーとコントローラ間の信頼性の高い通信を促進するように設計された特殊な無線プロトコルに依存しています。これらのプロトコルは、システム運用と監視の両方を可能にするデータの収集、連結、送信において重要な役割を果たしている。例えば、IEEE 802.15.4規格は、スマートビルディングではHVACや照明システムのリアルタイム監視に、農業では作物の収量を最適化するためのワイヤレス灌漑システム制御に使用されている。

ガーディアン Guardian Air センサーは、OT およびIoT 環境向けに設計された業界初の無線セキュリティセンサー 、サーモスタットからロボット、ドローンまで、これまでは有線ネットワークに接続された場合にのみ検出されていた無線資産の可視性を提供します。800MHz～5895MHzで動作する無線スペクトラム技術（WiFi、Bluetooth、IEEE802.15.4、LoRaWAN、Zwave、セルラー、ドローン）を常時監視し、三角測量によって脅威を検知・位置特定することで、迅速な対応を可能にします。

産業環境におけるアクティブ・モニタリング技術

ネットワークセンサーはサイバーの主力です。しかし、ネットワークセンサーを追加することが現実的でなかったり、環境を理解しトラブルシュートするために追加の詳細が必要であったりするシナリオは常に何十と存在します。今日の産業環境では、パッシブネットワーク、リモートコレクション、ワイヤレスモニタリング、アクティブポーリング、エンドポイントセキュリティ技術を組み合わせて安全に利用することができます。Nozomi Networks プラットフォームは、このようなあらゆる方法を提供し、アクティブに通信していないときでも、すべての資産とそのリスクレベルを継続的に可視化します。

アクティブ・クエリ

アクティブクエリとは、エージェントレスで非侵襲的な技術であり、組込みIoT OTデバイスを含む特定の対象資産について、パッシブセンサーからは得られない詳細な情報を収集するために使用できる。以下 Smart PollingNozomi Networks プラットフォームではNozomi ポーリングと呼ばれ、デバイスのプロトコルの知識に基づいてデバイスに問い合わせを行い、デバイスの安定性に影響を与えることなく有用な情報を返すために特別なメッセージや命令を活用します。

Smart Polling 次のような用途に使用できる：

• 居場所のない不正なデバイスを含む、通信不能な資産の特定
• 悪用される前に弱点を見つける
• プロセスフローと変数の変化に関する詳細を収集する
• お客様の環境における全体的なリスクをよりよく理解する 

OT エンドポイント・セキュリティ・エージェント

IT セキュリティにおいて、エンドポイントエージェントは、アンチウィルス保護とパッチ適用のためにどこにでもある。しかし残念なことに、IT に特化したエージェントをOT デバイスに導入した否定的な経験から、必要とされるエンドポイント・モニタリングの導入はほとんど行われていない。従来のICSネットワーク・モニタリング・ソリューションは、パデュー・レベルやファイアウォール間の南北トラフィックを監視していたが、ゾーン内のデバイス間、特にパデュー・レベルの低いデバイス間の東西通信は、長い間盲点となっていた。さらに、エンドポイント・モニタリングは、ユーザーのアクティビティやイベントを発生時に相関させる唯一の方法です。

OT、クレデンシャルの窃取やその他の悪意ある行動を伴う悪意ある攻撃は確かに発生しますが、多くの脅威は、従業員や権限を与えられたサードパーティの技術者が、しばしばリモートで出入りすることによる不注意なミスに関与しています。エンドポイントのセキュリティがなければ、ネットワーク上でコマンドが実行されるまで、誰がいつ何をしようとしているのかを知る術はない。それでは遅すぎる。 

2023年発売 Nozomi Arcは、OT エンドポイント特有の高可用性要件を保護することを目的に作られた、安全で無停止のセキュリティエージェントです。例えば、ホストOSのカーネルレベルでは動作せず、マシンをリブートすることもなく、システムリソースの消費も非常に軽微です。