チュートリアル: ゼロ トラスト原則を使用して OT ネットワークを監視する

ゼロ トラストは、次のセキュリティ原則のセットを設計および実装するためのセキュリティ戦略です。

Defender for IoT では、OT ネットワーク全体のサイトとゾーンの定義を使用して、ネットワークの検疫を維持し、各サブシステムを分離してセキュリティで保護します。

このチュートリアルでは、Defender for IoT とゼロ トラスト原則を使用して OT ネットワークを監視する方法について説明します。

このチュートリアルでは、以下を実行する方法について説明します。

前提条件

このチュートリアルのタスクを実行するには、次のものが必要です。

• Azure サブスクリプションの Defender for IoT OT プラン

• 複数のクラウドに接続 された OT センサーがデプロイされ、トラフィック データが Defender for IoT にストリーミングされます。 各センサーを異なるサイトとゾーンに割り当て、各ネットワーク セグメントを分離してセキュリティで保護する必要があります。 詳細については、「Defender for IoT に OT センサーを追加する」を参照してください。

• 以下のアクセス許可：

  • セキュリティ管理者、共同作成者、または所有者ユーザーとしてAzure portalにアクセスします。 詳細については、「Defender for IoT 向け Azure ユーザー ロールとアクセス許可」を参照してください。

  • 管理者またはセキュリティ アナリストユーザーとしてのお使いのセンサーへのアクセス。 詳細については、「 Defender for IoT を使用した OT 監視のオンプレミス ユーザーとロール」を参照してください。

サブネット間トラフィックに関するアラートを探す

クロスサブネット トラフィックは、サイトとゾーン間を移動するトラフィックです。

サブネット間トラフィックは、内部システムが他のシステムに通知メッセージを送信する場合など、正当な場合があります。 ただし、内部システムが外部サーバーに通信を送信している場合は、通信がすべて正当であることを確認する必要があります。 メッセージが出ている場合、共有できる情報が含まれますか? トラフィックが入ってくる場合、セキュリティで保護されたソースから送信されますか?

各サブシステムを分離してセキュリティで保護するために、ネットワークをサイトとゾーンに分離しており、特定のサイトまたはゾーン内のほとんどのトラフィックがそのサイトまたはゾーンの内部に留まる可能性があります。 サブネット間トラフィックが表示される場合は、ネットワークが危険にさらされていることを示している可能性があります。

サブネット間トラフィックを検索するには:

1. 調査する OT ネットワーク センサーにサインインし、左側の [デバイス マップ ] を選択します。

2. マップの左側にある [グループ] ペインを展開し、[フィルター>>サブネット間接続] を選択します。

3. マップ上で、デバイス間の接続を表示できるように、十分に拡大します。 特定のデバイスを選択すると、右側にデバイスの詳細ウィンドウが表示され、デバイスをさらに調査できます。

   たとえば、デバイスの詳細ウィンドウで [ アクティビティ レポート ] を選択してアクティビティ レポートを作成し、特定のトラフィック パターンの詳細を確認します。

不明なデバイスでアラートを探す

自分のネットワークにどのようなデバイスが接続されていて、それらが誰と通信しているか分かっていますか? Defender for IoT は、OT サブネットで検出された新しい不明なデバイスのアラートをトリガーして、デバイスのセキュリティとネットワーク セキュリティの両方を確認できるようにします。

不明なデバイスには、ネットワーク間を移動する 一時的な デバイスが含まれる場合があります。 たとえば、一時的なデバイスには、技術者のノート PC が含まれており、サーバーを維持するときにネットワークに接続したり、オフィスのゲスト ネットワークに接続する訪問者のスマートフォンが含まれる場合があります。

未承認または不明なデバイスと危険なサイトとゾーンをチェックするには:

1. Azure portalの Defender for IoT で、[アラート] を選択して、クラウドに接続されているすべてのセンサーによってトリガーされたアラートを表示します。 不明なデバイスのアラートを見つけるには、次の名前のアラートをフィルター処理します。

   • 新しい資産が検出されました
   • フィールド デバイスが予期せず検出されました

   各フィルター アクションを個別に実行します。 フィルター アクションごとに、次の手順を実行して、ネットワーク内の危険なサイトとゾーンを特定します。これは、更新されたセキュリティ ポリシーが必要になる場合があります。

   1. サイト ごとにアラート をグループ化して、不明なデバイスに対して多数のアラートを生成している特定のサイトがあるかどうかを確認します。

   2. 表示されるアラートに ゾーン フィルターを追加して、アラートを特定のゾーンに絞り込みます。

不明なデバイスに対して多数のアラートを生成する特定のサイトまたはゾーンが危険にさらされます。 多くの不明なデバイスがネットワークに接続しないように、セキュリティ ポリシーを更新することをお勧めします。

不明なデバイスの特定のアラートを調査するには:

1. [ アラート ] ページで、アラートを選択して、右側のウィンドウとアラートの詳細ページで詳細を表示します。

2. デバイスが正当かどうかがまだわからない場合は、関連する OT ネットワーク センサーについてさらに調査してください。

   • アラートをトリガーした OT ネットワーク センサーにサインインし、アラートを見つけてアラートの詳細ページを開きます。
   • [マップ ビュー] タブと [イベント タイムライン] タブを使用して、デバイスが検出されたネットワーク内の場所と、関連する可能性があるその他のイベントを特定します。

3. 次のいずれかのアクションを実行して、必要に応じてリスクを軽減します。

   • 同じデバイスに対してアラートが再度トリガーされないように、デバイスが正当な場合のアラートについて説明します。 アラートの詳細ページで、[Learn]\(学習\) を選択 します。
   • 正当でない場合は、デバイスをブロックします。

未承認のデバイスを探す

ネットワーク上で検出された未承認の新しいデバイスを事前に監視することをお勧めします。 承認されていないデバイスを定期的にチェックすると、ネットワークに侵入する可能性のある不正なデバイスや潜在的に悪意のあるデバイスの脅威を防ぐことができます。

たとえば、 承認されていないデバイスの確認 に関する推奨事項を使用して、承認されていないすべてのデバイスを特定します。

承認されていないデバイスを確認するには:

1. Azure portalの Defender for IoT で、[推奨事項 (プレビュー)] を選択し、[未承認のデバイスの確認] の推奨事項を検索します。
2. [異常なデバイス] タブに一覧表示されている デバイスを 表示します。これらの各デバイスは未承認であり、ネットワークに対するリスクになる可能性があります。

などの修復手順に従って、デバイスが既知の場合はデバイスを承認済みとしてマークするか、調査後にデバイスが不明な場合はデバイスをネットワークから切断します。

詳細については、「 セキュリティに関する推奨事項を使用してセキュリティ体制を強化する」を参照してください。

脆弱なシステムを探す

古いソフトウェアまたはファームウェアを持つデバイスがネットワーク上にある場合、攻撃に対して脆弱である可能性があります。 有効期間が終了し、セキュリティ更新プログラムがそれ以上ないデバイスは、特に脆弱です。

脆弱なシステムを検索するには:

1. Azure portal の Defender for IoT で、[ワークブック>脆弱性] を選択して、脆弱性ワークブックを開きます。

2. ページの上部にある [サブスクリプション] セレクターで、OT センサーがオンボードされているAzure サブスクリプションを選択します。

   ワークブックには、ネットワーク全体にわたるデータが反映されます。

3. 下にスクロールして、 脆弱なデバイス と 脆弱なコンポーネントの一覧を表示します。 ネットワーク内のこれらのデバイスとコンポーネントには、ファームウェアやソフトウェアの更新プログラムなどの注意が必要です。また、それ以上の更新プログラムが使用できない場合は交換が必要です。

4. ページの上部にある [SiteName ] を選択し、1 つ以上のサイトを選択してサイト別にデータをフィルター処理します。 サイト別にデータをフィルター処理すると、サイト全体の更新やデバイスの交換が必要になる可能性がある特定のサイトでの懸念を特定するのに役立ちます。

悪意のあるトラフィックをシミュレートしてネットワークをテストする

特定のデバイスのセキュリティ体制を確認するには、 攻撃ベクトル レポートを実行して、そのデバイスへのトラフィックをシミュレートします。 シミュレートされたトラフィックを使用して、脆弱性が悪用される前に脆弱性を特定して軽減します。

攻撃ベクトル レポートを実行するには:

1. 調査するデバイスを検出する OT ネットワーク センサーにサインインし、左側の [攻撃ベクトル ] を選択します。

2. [ + シミュレーションの追加] を選択し、[ 攻撃ベクトル シミュレーションの追加] ウィンドウに次の詳細を入力します。

   フィールド/オプション	説明
   名前	シミュレーションのわかりやすい名前 (ゼロ トラストや日付など) を入力します。
   最大ベクトル	デバイス間の接続のサポートされる最大数を含める場合は、 20 を選択します。
   デバイス マップに表示	任意。 を選択すると、センサーのデバイス マップにシミュレーションが表示されます。これにより、後でさらに調査できます。
   すべてのソース デバイスを表示します / すべてのターゲット デバイスを表示する	両方を選択して、センサーで検出されたすべてのデバイスを、可能な限りソース デバイスとターゲット デバイスとしてシミュレーションに表示します。

   [ デバイスの除外] と [ サブネットの除外] は 空白のままにして、検出されたすべてのトラフィックをシミュレーションに含めます。

3. [ 保存] を 選択し、シミュレーションの実行が完了するまで待ちます。 時間は、センサーによって検出されたトラフィックの量によって異なります。

4. 新しいシミュレーションを展開し、検出された項目のいずれかを選択して、右側に詳細を表示します。 例:

   

5. 特に、次のいずれかの脆弱性を探します。

   脆弱性	説明
   インターネットに公開されているデバイス	たとえば、これらの脆弱性は、 インターネット接続のために外部の脅威に公開されているというメッセージと共に表示される場合があります。
   ポートが開いているデバイス	開いているポートは、リモート アクセスに正当に使用される可能性がありますが、リスクになる可能性もあります。 たとえば、これらの脆弱性は、TeamViewer を使用したリモート アクセスが許可されています リモート デスクトップを使用したリモート アクセスが許可されています のようなメッセージとともに表示される可能性があります
   サブネットをまたがるデバイス間の接続	たとえば、 デバイス間の直接接続に関するメッセージが表示される場合があります。このメッセージは単独で受け入れられますが、サブネットを越えるコンテキストでは危険です。

サイトまたはゾーンごとに検出されたデータを監視する

Azure portalで、次の場所からサイトとゾーン別の Defender for IoT データを表示します。

• デバイス インベントリ: サイトまたはゾーン別 にデバイス インベントリをグループ化またはフィルター処理 します。

• アラート: サイトのみでアラートをグループ化またはフィルター処理します。 [ サイト ] 列または [ゾーン ] 列をグリッドに追加して、グループ内のデータを並べ替えます。

• ワークブック: Defender for IoT の脆弱性ワークブックを開き、サイトごとに検出された脆弱性を表示します。 また、サイトやゾーンごとにより多くのデータを表示するために、自分の組織用のカスタム ワークブックを作成することもできます。

• サイトとセンサー: サイトまたはゾーンで一覧表示される センサーをフィルター処理 します。

監視するアラートのサンプル

ゼロ トラストの監視において、次に示す一覧は、注意すべき重要な Defender for IoT アラートの例です。

次の手順

監視の結果に基づいてネットワーク セグメント化を変更する必要がある場合や、organizationのユーザーやシステムが時間の経過と同時に変化する場合があります。

サイトとゾーンの構造を変更し、サイト ベースのアクセス ポリシーを再割り当てして、常に現在のネットワークの現実と一致するようにします。

組み込みの Defender for IoT 脆弱性 ブックを使用するだけでなく、より多くのカスタム ブックを作成して、継続的な監視を最適化します。

詳細については、以下を参照してください:

• Azure portalで Defender for IoT を使用してセンサーを管理する
• サイトベースのアクセス制御を管理する (パブリック プレビュー)
• Azure Monitor ブックを使用して Microsoft Defender for IoT のデータを可視化する