プライベート5Gネットワークは、工場、エネルギー施設、交通システム、その他の産業現場間でデータの共有やデバイスの接続方法を変えます。工場やシステム設計者はプライベート5Gネットワークを活用し、カバレッジ、トラフィック管理、レイテンシー、接続デバイスのアクセス・管理をより細かく制御できます。
しかし、プライベート接続は必ずしも安全な接続を意味するわけではありません。
産業用ゲートウェイは、フィールドデバイス、運用技術(OT)システム、ITネットワーク、クラウドサービスの仲介役を務めます。この中央的な立場のため、産業用ゲートウェイの安全な通信は、デバイス認証やプロトコル変換から暗号化された伝送、リモートメンテナンス、ライフサイクル管理に至るまで、データパス全体にわたって対応しなければなりません。
なぜ産業用ゲートウェイが重要なセキュリティ境界なのか
産業用ゲートウェイは以下に接続することができます:
・PLCおよびリモート端末ユニット
・スマートメーターと環境センサー
・産業用コントローラおよびI/Oモジュール
・SCADAおよびエネルギー管理プラットフォーム
•プライベート5Gアクセスネットワークまたはエッジプラットフォーム
•パブリックまたはプライベートクラウドプラットフォーム
データの転送に加え、ゲートウェイはプロトコル変換やエッジコンピューティングを行うことがあります。モデル依存)、データフィルタリング、アラーム処理、ローカルストレージなどが含まれます。
ゲートウェイが侵害された場合、攻撃者は本番データにアクセスしたり、通信を妨害したり、設定を操作したり、OT環境とIT環境間を移動したりする可能性があります。したがって、ゲートウェイセキュリティは複数の通信リンクを保護する必要があります。
包括的な戦略には以下が含まれます:
・デバイスおよびユーザーの認証
・ネットワークセグメンテーション
・データの暗号化
・管理者権限制御
・エッジのアプリケーションセキュリティ
・ファームウェアおよび構成の管理
・運用および物理領域の信頼性
1. プライベート5Gネットワークへのアクセス制限
安全な通信ネットワークの最初の設計原則は、ネットワークの認可ユーザーを把握することです。
プライベート5GアプリケーションはSIMベースの認証情報、証明書、加入者プロファイルを提供する場合があります。プライベート5Gネットワークとゲートウェイファームウェアでサポートされています。)、産業ゲートウェイに関連する政策管理などが含まれます。これらのコントロールはアプリケーションレベルのセキュリティで強化されるべきであり、唯一のコントロールとして提供されるべきではありません。
以下の実践が推奨されます:
• 各ゲートウェイに固有の認証情報を提供すること
・デフォルトのユーザー名とパスワードの削除を確実にすること
・管理アクセスは送信元アドレスによって制御されます
•権限はユーザーロールに基づいて割り当てられます
•アカウントおよびインターフェースは使用しない場合無効化されます
• 利用可能な場合、証明書ベースの認証の利用
•生産、管理、企業のトラフィックを分けています。
ネットワークスライシング(プライベート5Gネットワークでサポートされている場合。)はさまざまな用途で隔離を実現するために使用できます。例えば、機械制御トラフィック、ビデオ監視、保守アクセスのための別々の論理リソースを提供できます。ファイアウォール、ルーティング、アイデンティティに関する後続のポリシーはスライシングをサポートしなければなりません。
2. エッジからアプリケーションへのデータを暗号化する
民間の5Gネットワーク内であっても、機密性の高い産業データは輸送中に保護されるべきです。
用途によっては、産業用ゲートウェイの安全な通信が使用されることがあります。特定のTesproモデル、ファームウェア、プロジェクト構成に基づいて確認してください):
•TLS上のMQTT
•HTTPS
•セキュアOPC UA構成
•IPsecまたはSSL VPNトンネル
・証明書ベースのサーバー認証
•暗号化されたリモート管理セッション
Modbus RTUのようなレガシープロトコルは、もともと暗号化や認証を備えて設計されていませんでした。産業用ゲートウェイはローカルのシリアル接続を通じてデータを収集し、それを暗号化された上流チャネルを通じて送信できます。
これは元のフィールドプロトコルのセキュリティを高めるものではありませんが、セルラー、エンタープライズ、クラウドネットワークを越えてデータが移動する際の露出を減らします。
3. OT、IT、管理トラフィックセグメント
産業用ゲートウェイは、機械とビジネスネットワーク間で無制限の接続を形成してはなりません。
よく設計されたアーキテクチャは以下の通りを分けます:
・フィールドデバイス通信
•エッジアプリケーショントラフィック
・リモートメンテナンスセッション
•エンタープライズシステムアクセス
•クラウドバウンドデータ
・ゲストまたは第三者接続
ファイアウォールルールは、特定のプロトコル、ポート、宛先、通信方向に合わせて設定されるべきです。例えば、機器データをMQTTブローカーに公開するために必要なゲートウェイは、エンタープライズネットワークへの無制限アクセスを設定すべきではありません。
セグメンテーションは、侵害された認証情報、ソフトウェアの脆弱性、不十分なシステム構成のリスクを低減します。
4. ハーデン・ゲートウェイ行政
産業用ゲートウェイは産業用コンピューティングデバイスとして分類されるべきであり、単純なセルラーモデムとして扱うべきではありません。
基本的な硬化には以下のものが含まれます。
・未使用のネットワークサービスを無効化する
・デフォルトの認証情報の削除
・SSHおよびHTTPSによる管理アクセスの制限
・応募最小権限アクセス制御
・承認された構成がバックアップされていること
・管理変更の監査ログ作成
・ファイアウォールおよびルーティングポリシーの定期レビュー
・ファームウェアアップデートのインストール検証
運用上必要でない限り、リモートアクセスは避けるべきです。メンテナンスセッションは、認可されたVPN、ジャンプサーバー、または集中型リモートアクセス制御システムを通じて行うべきです。
組織には選択したゲートウェイが対応しているか確認してください署名付きアップデートのサポート、セキュアブート、監査ログ、証明書、ロールバック保護といった必要な機能です。
5. エッジアプリケーションとデータストレージセキュリティ
ハードウェアやファームウェアのサポートによってドライバーが変わる」と述べました。
一部のプログラム可能な産業用ゲートウェイは、ハードウェアやファームウェアのサポートに応じて、特定のカスタムアプリケーションやプロトコルドライバーを実行可能です。これにより柔軟性は向上しますが、カスタムアプリケーションはソフトウェアに伴うリスクも伴います。
ソフトウェアに関連するリスクを軽減するために、エッジアプリケーションは以下をすべきです:
・最小限の権限で運営すること
・フィールドデバイスから送信されるデータの検証
・ソフトウェアライブラリの使用を制限する
・システムリソースへのアクセス制御
・一時的に保存されたデータの保護を確保する
・ネットワーク上で送信された不要なデータを廃棄する
・ソフトウェア開発と本番環境を異なる環境で活用する
ネットワーク接続を必要としない(オフライン)処理を使って、ネットワークが壊れても機能を維持することは可能ですが、これによりローカルに保存されたデータに対する保護制御が欠如してはなりません。
6. 能動的および受動的レジリエンスの確保
高信頼性のハードウェアの使用は、産業用ゲートウェイに関連する安全な通信において最も重要な要素の一つです。
頻繁なリセット、不安定な電力、過剰な熱、電磁干渉、サージイベントはセキュリティサービスを妨害したり、デバイスを予測不能な状態に陥らせたりします。
産業展開では以下を考慮すべきです:
•動作温度要件
・入力電圧の安定性
・サージおよび逆極性保護
・適切な接地
・囲い保護
・管理されたキャビネットアクセス
・バックアップ通信経路
・接続切断後の復旧
サイバーセキュリティと運用の信頼性は、特に無人または地理的に分散した施設では、一緒に計画されるべきです。
テスプロ'5Gプライベートネットワークプロジェクトにおける価値
Tesproの価値は、個々のゲートウェイの供給にとどまりません。より広い役割は、産業用ユーザーがレガシーフィールド機器と最新の5G、エッジ、クラウドアーキテクチャを接続するのを支援することです。
レガシー機器と5Gの橋渡し
多くの工業施設は今もRS485、RS232、Modbus、BACnet、M-Busなどの確立された技術に依存しています。テスプロのゲートウェイフィールドレベルシステムとIPベースの5Gネットワーク間の橋渡しシステムとして機能します(M-Busなどのプロトコルのサポートは特定のゲートウェイモデルで確認が必要です)。
これにより、レガシーシステムの近代化が可能になります。通常、すべてのコントローラー、メーター、センサーを取り外して交換する必要はありません。
エッジベースのデータ管理のサポート
S選出されたTesproゲートウェイプラットフォームは支援可能ですローカルデータ収集、プロトコル変換、フィルタリング、バッファリング、アプリケーション処理などが含まれます。
機器近くで選択された情報を処理することで、オペレーターは以下のことができます:
・不要な上流トラフィックの削減
・応答時間の改善
・ネットワーク中断時の基本操作を継続する
・どのデータが中央プラットフォームに送信されるかを制御
適応型セキュリティアーキテクチャの実現
産業プロジェクトごとにサイバーセキュリティの要件は異なります。製造工場、発電所、スマートビル、遠隔のエネルギーサイトでは、異なるVPN、認証方法、ルーティングポリシー、クラウドプロトコルが必要になることがあります。
Tesproの構成可能なプラットフォームにより、システムインテグレーターは固定された展開モデルに頼るのではなく、実際のネットワークアーキテクチャを中心にセキュリティ制御を構築することができます。
産業展開条件の支援
プライベート5Gアプリケーションはしばしば制御されたサーバールームを超えて広がっています。ゲートウェイは道路脇のキャビネット、工場、変電所、再生可能エネルギー施設、無人施設に設置されることがあります。
工業グレードの耐温性、電気的保護、安定した携帯電話接続が、これらの環境での通信維持に役立っています。
結論
5Gプライベートネットワークにおける産業用ゲートウェイの安全な通信は、アイデンティティ、暗号化、セグメンテーション、管理、アプリケーション、ハードウェア、ライフサイクル管理における協調的な保護に依存しています。
Tesproは、従来の産業用機器を5Gネットワークに接続し、エッジベースのデータ処理をサポートすることでこれらのプロジェクトに貢献しています。選択したゲートウェイモデル、ファームウェア、プロジェクト構成によって異なります),構成可能なセキュリティアーキテクチャを可能にし、産業環境に適したハードウェアを提供します。
最も効果的な導入は、これらのゲートウェイ機能に明確に定義されたアクセスポリシー、暗号化された通信、制限されたリモートメンテナンス、制御された更新、継続的な監視を組み合わせることです。
よくある質問
Q1。従来の産業用機器がプライベート5Gネットワークと連携することは可能でしょうか?
プライベート5Gアーキテクチャのためのプロトコル処理およびIP側接続を担当しています。
はい、ゲートウェイがプライベート5Gアーキテクチャに必要なシリアルインターフェース、プロトコル処理、IP側接続をサポートしている場合はそうです。
Q2。プライベート5Gネットワークにおける産業用ゲートウェイの役割は何ですか?
産業用ゲートウェイは制御された接続性フィールドデバイス、運用技術(OT)システム、エンタープライズシステム、クラウドサービスにまたがっています。
Q3。産業用ゲートウェイとの安全な通信を確保するための方法にはどのようなものがありますか?
認証機構、データ暗号化、ファイアウォール、ネットワークセグメンテーション、リモートアクセス許可の組み合わせを活用しましょう。
Q4。産業用データはプライベート5Gネットワークで保護されていますか?
自動的には。アプリケーションレベルの暗号化とアクセス制限が必要です。
Q5。ゲートウェイとの安全な通信を提供するプロトコルにはどのようなものがありますか?
TLS、HTTPS、安全なOPC UA、さまざまなVPNプロトコルを備えたMQTTは安全な通信方法やプロトコル設定。.
