工場や制御システムを守る“無駄な動作をさせない”というやり方：場面で学ぶ制御システムセキュリティ講座（5）（2/3 ページ）

[原聖樹／トレンドマイクロ，MONOist]

ロックダウン型セキュリティの代表的な機能

　ロックダウン型セキュリティの代表的な機能について、以下に5つの点を解説する。

1．アプリケーション制御

　ロックダウンでの代表的な機能として、許可されたアプリケーションのみを起動させる起動制御がある。一般的に「ホワイトリスト」としても知られている方式である。通常のウイルス対策製品は、不正なプログラムの情報を保存したブラックリスト（パターンファイル）を保持するが、それに対して動作してもよいプログラムのみをリスト化したホワイトリスト（許可リスト）により、起動の制御を行う方式である。

　ブラックリスト型のウイルス対策では、大容量のパターンファイルを読み込んだり、ウイルス検索の処理が行われたりする際にシステムに大きな負荷が掛かるため、システムの安定稼働を阻害する懸念がある。また、パターンファイルを更新する度に、システムの可用性に影響を与えないか事前検証をしたり、またはクローズド環境で運用する際のパターンファイルの更新が手作業となったりすることから運用に手間が掛かることが多い。

　一方、ホワイトリスト型によるアプリケーション制御の場合は、許可したアプリケーションのみ起動できるため、不正プログラムなど許可されていないアプリケーションの実行を防ぐことができる。また、パターンファイル不要のため、上述した運用上の懸念も無い。

　なお、アプリケーション制御において、よくある質問として「許可リストに登録されたファイルが、不正プログラムによって同じファイル名で上書きをされた場合、ブロックできないのではないか」というものがある。実際には、アプリケーション制御機能を有する製品の多くは、ファイル名だけでなく、ファイルのハッシュ値やパスなどの情報も複合的に保持している。そのため、単純な同一ファイル名での上書きの場合は、そのファイルが起動される際に、ハッシュが異なるため起動がブロックされるため、安全性を保持できるということになる。

2．ファイルの上書き禁止

　前述したアプリケーション制御では、上書きされた不正なファイルの起動は検出できるが、そもそもファイルが（不正に）上書きされること自体も問題である。安定稼働重視する制御システムにおいては、重要なファイルが改ざんされシステムが機能停止に至れば、企業そのものに莫大な損害や物理的な被害が発生する。そのため、これらの上書きそのものを防ぐことが必要になる。また、アプリケーションではなく設定ファイルなども不正な操作や誤操作による上書きを防止したいケースもあるだろう。ロックダウン型では、指定したファイルに対する上書きや変更を防止する機能もあるため、これらの不正な操作や誤操作の防止も可能となる。

3．不正侵入対策

　ネットワークを通じて感染活動を行う不正プログラムは、通信パケットにその攻撃の特徴が現れる。正常なパケットは通過させ、不正パケットのみをドロップすることで安全に通信ができるようにする機能によって、ネットワークからの不正プログラム侵入を防止することができる。

4．USB不正プログラム対策

　不正プログラムはネットワーク経由だけでなく、USBメモリ経由で感染することも多い。多くの不正プログラムは、USBメモリが挿入された際に、自動的に起動するようにUSBメモリのファイルを改ざんしている。これらの自動起動処理を監視することで、意図しない不正プログラムの動作を防止することができる。

5．メモリアクセス制御

　OSの脆弱性を利用した攻撃にバッファオーバーフローを利用するものがあるが、これはメモリ上の命令や文字列の配置が一定となるため、攻撃が可能となるものだ。メモリアクセス制御ではメモリ領域の配列をランダム化することで、攻撃を受けにくくさせることが可能となる。

　これらの5つのポイントのように、単なるアプリケーション制御（ホワイトリスト）の機能に限らず、改ざんや脆弱性を利用した攻撃を防ぐといった複合的な機能を用いて、機器をロックダウンすることで、不正プログラムの侵入・実行をブロックすることが可能となる。

ロックダウン型ウイルス対策ソフトの特徴

　実際にロックダウン型ウイルス対策ソフトには以下のような特徴があるという。

パターンファイル不要

　一度許可するアプリケーションのリストを作成すれば、システムの変更がない限り、そのまま運用が可能である。ウイルス対策製品の運用では必須となるパターンファイル（定義ファイル）の更新やインターネットへの接続が不要となる。

軽い

あらかじめ許可リストに登録したアプリケーションの起動の可否のチェックのみであるため、大量のパターンファイル（定義ファイル）の読み込みや、定期的なチェックが必要な従来のウイルス対策製品に比べシステムパフォーマンスへの影響が小さい。

レガシーOSをサポート

長期間機器が利用される制御システムではWindows2000やXPなど古いOSも存在する。ロックダウン型製品はこれらの古いOSにも対応していることが多く、従来のウイルス対策際品より対応OSの幅が広い。

※）各製品のシステム要件により特徴は変わる

　これまで、パフォーマンス面の懸念や、インターネット接続の問題、古いOSの対応の問題などで、制御システムにウイルス対策製品を導入したくともできなかったケースもあったが、このようにロックダウン型であれば対応ができる。