ネットワークのサイバーセキュリティ対策
イーサネットネットワークの安全性を維持することは常に課題であり、新たな脆弱性や攻撃手法が絶えず発見されています。ネットワークへの不正アクセスを防ぐための対策は、ITセキュリティポリシーに基づき、ネットワーク管理者による積極的な対応が求められます。
ITセキュリティポリシーの目的は以下の2点です：
- 政府規制への準拠
- 企業や機関のネットワークに保存されている個人情報および業務データの保護
米国の標準である「SP 800-171 Rev. 2（非連邦システムおよび組織における管理された非分類情報の保護）」は、非連邦組織における情報保護のためのガイドラインです。
ネットワークセキュリティポリシーには、以下のような多様なセキュリティ項目が含まれます：
- ネットワーク利用者全員に対するルール
- 許可されるデバイスの種類
- デバイスのセキュリティ対策
- ネットワーク経路の保護方法
- ネットワークの監視方法
- ネットワークデータのバックアップ方法
- ネットワークが侵害された場合の災害復旧計画
イーサネットネットワークにおける注意点
🔐 強力なパスワードの使用
NIST SP 800-171 Rev. 2のセクション3.5.7によると、強力なパスワードは最低8文字で構成され、大文字、小文字、数字、記号をそれぞれ1つ以上含む必要があります。一般的な単語（例：「potato」）やよく使われるパスワード（例：「Pa$5word」）は避けましょう。
🔒 スイッチとルーターの物理的な保護
物理的なセキュリティとは、攻撃者がスイッチやネットワーク機器に物理的にアクセスできないようにすることです。ネットワーク機器はアクセス制限された部屋や施錠可能なキャビネットに保管しましょう。
🛑 未使用ポートの無効化
未使用ポートを無効にすることで、攻撃者がポートに接続してネットワークに不正アクセスするのを防げます。EtherWANスイッチでは、GUIにログインし、Port → Configuration画面で未使用ポートを選択し、「Admin Setting」フィールドで「Link Down」に設定して保存します。
🛡️ 未使用の管理サービスの無効化
EtherWANスイッチでは、Web GUIによる設定のためにHTTPがデフォルトで有効になっていますが、HTTPはデータを暗号化しません。HTTPSやSSHなど、パスワードを必要とする安全な接続方式を使用しましょう。管理インターフェースを無効にするには、System → Management Interfaceに移動し、該当するチェックボックスまたはラジオボタンをクリックして「Update Setting」を押します。
🔄 すべてのデバイスの最新ファームウェアを取得
ネットワーク機器の更新は終わることのないプロセスです。新たな脅威が常に現れるため、最新のファームウェアで機器を保護することが重要です。EtherWANスイッチのファームウェアをアップグレードするには、SFTPまたはTFTPサーバー、または新しいファームウェアファイルを含むUSBフラッシュドライブが必要です。ファイル形式は.TGZまたは.IMGです。System → Firmware Upgradeに移動し、モードとパラメータを選択します。
IEC 62443のセキュリティ要件
EtherWANは産業用オートメーションおよび制御システムのサイバーセキュリティに対応し、IEC 62443に精通しており、産業用制御システムのニーズに応えるプロバイダーとなっています。これらの機能要件は、NIST、ISA、その他の主要メーカーにも見られ、スイッチへのユーザーアクセスの保護やネットワーク上でのスイッチの保護方法に関する指針を提供しています。
IEC 62443-1-1で定義されている7つの基本要件（FR）には、それぞれ4つのセキュリティレベル（SL）があり、これらはIEC 62443-3-3で定義されたシステムセキュリティレベルに基づいています。EtherWANのセキュリティ機能は、IEC 62443-4-2に基づく特定のセキュリティレベルを達成・遵守しています。
IEC 62443-4-2の認証要件を満たすために、EtherWANは以下のスイッチセキュリティ機能を含めています。また、ポートセキュリティ、SNMPv3、DoS保護などのセキュリティ機能も追加され、異なるセキュリティレベル（SL）に対応しています。
機能一覧と詳細：
| 機能 | 詳細 |
|---|---|
| MACアドレスフィルタリング | 特定のMACアドレスをポート単位で許可またはブロック |
| ポートの有効/無効化 | スイッチのネットワークポートを有効または無効にする |
| ストームコントロール（ブロードキャストおよびマルチキャスト） | トラフィック量を監視し、指定値を超えた場合にパケットを破棄 |
| IEEE 802.1x LANアクセス制御 | ユーザーおよびデバイスの認証を設定 |
| RADIUSによるリモート認証 | 中央サーバーを通じたリモートアクセスを許可 |
| SSHによるCLIおよびTelnetのセキュリティ | セキュアシェルによる暗号化通信 |
| SSLによるWebセキュリティ | 安全なリンクを確立 |
| システムログ（リモート/ローカル） | イベントとその重大度を記録（最高レベル） |
| アクセス制御リスト（ACL） | インバウンドトラフィックを選択的に許可または拒否（最高レベル） |
