産業用ネットワークの相互接続性により、エンジニアがどこからでもルーターのリモート管理を容易にしています。しかし、リモートアクセスを利用すると、産業用ルーターは認証情報収集、悪意のあるソフトウェア、不正な改変、DoS攻撃に対して脆弱になる可能性があります。
産業用ルーターはIT、OT、セルラーネットワークをブリッジするため、不安定な展開はRTU、PLC、SCADAシステムなどの資産をさらにリスクにさらす可能性があります.
1. デフォルトの認証情報を削除する
さまざまな認証情報攻撃ベクトルは、デフォルトの認証情報にアクセスする必要があります。デフォルトの認証情報は広く知られており、ブルートフォース攻撃時に多くの認証情報の解決策となり得ます。
ルーター展開前:
・すべてのデフォルト認証情報を置き換える。
・各産業用ルーターに固有の認証情報を割り当てる。
・認証情報を投稿・共有しないでください。
•工場出荷時のデフォルト/一時アカウントを無効にする。
・システム稼働後に一時的なインストーラーアカウントを消去すること。
・認証情報はパスワードマネージャーに保存する必要があります。
プライバシー強化とセキュリティのベストプラクティスのパスワードを必ず活用しなければなりません。強力でユニークなパスワードを使用し、対応している管理者アカウントには多要素認証を有効にしてください.
2. ロールベースアクセス制御
すべてのユーザーが管理者レベルの権限を持つ必要はありません。
ロールベースアクセスモデルの例としては以下のものがあります。
・管理者:ファイアウォール、VPNおよび類似のシステム設定を管理するユーザー。
•エンジニア:設定された運用制限を閲覧・修正できるユーザー。
•オペレーター:デバイスの状態やアラームを確認できるユーザー。
•監査ユーザー:ログや設定を閲覧でき、監査も行うことができるユーザー。
•ロールベースのアクセスは、ミスやアカウントの侵害の影響を軽減します.
権利は一定の間隔で評価され、離職した従業員の勘定や完了・終了したプロジェクトの勘定は削除されるべきです。
3. 暗号化されたリモート接続
管理トラフィックはプライベートで安全な接続を通過すべきです。
使用できるいくつかのコントロールは以下の通りです:
・ルーターにアクセスする前のVPN使用について
• 単純なHTTPよりも安全なHTTP(S)の優先
• Telnetよりセキュアシェル(SSH)の優先
・古い暗号化フレームワークのサポートが無効化または削除されました
・取り消しリスト/デジタル証明書は尊重されます
・リモートアクセスは指定されたVPNゲートウェイのみに許可されています
一般的に使われるVPNプロトコルにはIPsecやOpenVPNがあり、選択は組織のセキュリティポリシーに沿って行われ、産業用ルーターや中央管理システムによってサポートされるべきです。
一般的なセキュリティ対策として、ウェブ管理ページ、SSH、その他の管理サービスはインターネットに露出してはなりません。
4. ソースアドレスによるアクセス制御
産業用ルーターのリモート管理は、信頼できる管理拠点からのみ有効にすべきです。
曝露を最小限に抑える方法は以下の通りです:
・管理許可リストの使用
•適切な場合は、地域ごとの制限を追加の管理として適用してください
・指定された管理サーバーへのトラフィック制限
•プライベートAPNへの接続制限
・未知のWANインターフェースからのすべての接続を終了する
・未使用のインバウンド接続の終端
「デフォルトで拒否」ポリシーを使うファイアウォールは、広範な許可と脅威ブロックポリシーを使うファイアウォールよりも安全性が高いです。
5. 分離管理および生産ネットワーク
管理トラフィックは、運用制御トラフィックと同じネットワークを通過してはなりません。
効果的なセグメンテーションの例は以下の通りです:
・排他的な管理VLANの使用
・ITの分離OTネットワーク.
・産業用DMZ内でのリモートアクセスサービスの配置。
・ファイアウォールを活用してネットワークゾーン内でセグメンテーションを実装すること。
・異なるフィールドインターフェースと管理インターフェースの使用。
•PLC通信の外部ネットワークへの曝露を制限する.
効果的なセグメンテーションは、ネットワークへの攻撃の横伝播を減らし、ユーザーアカウントやワークステーション、さらにはルーターなど、ネットワーク上の個々のノードが侵害されることによる脅威を軽減します。
6. 使用されていないサービスを無効化する
サービスを無効化することで攻撃ベクトルの数が減ります。
ルーターの設定を評価し、必要に応じてサービスを無効にしてください。障害者には以下のサービスが検討されるべきです:
・テルネット
•HTTPおよびFTPサービス
・未使用のクラウドおよびWi-Fi管理サービス
・シリアルゲートウェイ、ディスカバリープロトコル、VPNサービス
リモート管理が専用インターフェースやVPN経由で行う場合、本番環境向けのLANポートでは管理インターフェースを無効にすべきです。
7. ファームウェアおよび構成のセキュリティ確保
産業用ルーターは、企業の脆弱性や変化管理プロセスに完全に統合されるべきです。
ベストプラクティスは以下の通りです:
・メーカーからのセキュリティアップデートに注目すること。
・ルーターのファームウェアバージョンに関するドキュメントの管理。
・信頼できるウェブサイトのみがファームウェアのダウンロードに使用されます。
・署名またはハッシュ検証の使用。
・アップデートはまず、本番プロセスの一部でないデバイスに適用されます。
・更新は運用チームの意見を取り入れてスケジュールされます。
•安全でバージョン管理された構成バックアップを保持し、暗号化とアクセス制御で保護しましょう.
・ロールバックが確立されます。
産業用ファームウェアのテストは、しばしばかなりの注意をもって行われており、それには正当な理由があります。産業用ファームウェアがPLC、SCADAサーバー、その他産業用通信に使用されるすべてのデバイスと互換性があることが極めて重要です。
8. 構成のバックアップによるセキュリティ上の影響
ルーターの設定ファイルには、以下のようなさまざまな機密データが含まれている場合があります:
・VPN認証情報
•ファイアウォールルールセット
・ノード間通信アドレス
•ユーザーアカウント
・携帯電話通信の設定。
•ルーティング情報。
・デバイス用の証明書。
設定バックアップは暗号化され、アクセスのために制御されるべきです。企業はバックアップが復元可能かどうかを頻繁に確認すべきです。
9. ログおよびセキュリティ通知システムの設定
ログ記録は、リモートでの活動やシステム設定の変更を監視することを可能にします。
記録したい活動の例は以下の通りです:
•システムアクセス(成功・失敗の両方)
•アカウントロックアウト
・VPNセッションの確立
・ファイアウォールの変更点
・システムのファームウェアのアップグレード
・構成変更とエクスポート
・予期しないシステムの再起動
•SIMカードのフェイルオーバーイベント
・LANまたはWANインターフェース構成の変更
可能な限り、ログは中央集権的なログシステムやセキュリティ情報・イベント管理(SIEM)システムに送信してください。通知を設定し、継続的なログイン失敗、予期せぬ設定変更、異常なネットワーク活動に対応するための運用チームを支援します。
どうやってテスプロTR-245リモート接続をサポートしています
そのテスプロ TR-245適切なセキュリティポリシーを適用して導入すれば、産業用ルーターのリモート管理に実用的なハードウェア基盤を提供します。
機能には以下が含まれます:
・デュアルSIMバックアップ付き5Gセルラー接続
・4つの100 Mbps LANポート
• RS485とRS232インターフェース1台
・デュアルバンドWi-Fiおよび内蔵GNSS
・OpenVPN、L2TP、PPTP向けのVPNクライアント/サーバーサポート
• 12–36 V DC入力
・動作温度は-40°Cから75°Cまで
・IP65定格保護
・Modbus RTU/TCP、BACnet、M-Bus、IEC 61850、DLMS、OPC UAのサポート
セキュリティに敏感な展開には、従来のPPTPではなくOpenVPNを使いましょう。Microsoftは、PPTPやスタンドアロンL2TPはセキュリティ機能が限られているため推奨していません。
締めの言葉
効果的な産業用ルーターのリモート管理は、セキュリティ機能を備えたルーターを選ぶこと以上の要素に依存します。組織は接続できる者を管理し、すべての管理セッションを暗号化し、ネットワークゾーンを分離し、不要なサービスを無効化し、ファームウェアを維持し、活動を監視し、現場設備を保護しなければなりません。
技術的な管理、定期的な監査、厳格な運用手順を組み合わせることで、産業組織はリモート管理の恩恵を享受できます。同時に、重要な設備や生産プロセスに対するサイバーセキュリティの脅威を最小限に抑えることができます。
よくある質問
Q1。産業用ルーターリモートアクセスの管理とは何ですか?
産業用ルーターのリモートアクセス管理により、認可されたユーザーによるルーターのリモート監視、設定、トラブルシューティングが可能になります。
Q2。ルーターのリモート管理は安全ですか?
ルーターのリモート管理は、VPN、ファイアウォール、強力な認証、ネットワークセグメンテーションと組み合わせて実装すれば安全です。
Q3。ルーターの管理ポートをインターネットに公開しても安全ですか?
いいえ。ルーターの管理ポートは、安全なVPNか信頼できる管理ネットワークでのみ利用可能であるべきです。
Q4。どのプロトコルが望ましくないのでしょうか?
Telnet、HTTP、FTPは暗号化されていないプロトコルの例であり、可能な限り避けるべきです。
Q5。多要素認証の利点は何ですか?
パスワードが盗まれたり侵害された場合、多要素認証は追加の障壁として機能します。
