こんにちは！新人IT担当者や、これからセキュリティの勉強をはじめる開発者の皆さん、日々の業務お疲れ様です。「セキュリティ」と言われると、なんだか難解な暗号の数々や、ハッカーが映画のようにキーボードを叩きまくるシーンを想像してしまうかもしれませんよね。
でも実は、サイバー攻撃の世界で一番狙われやすく、そして最も痛い目をみる「盲点」は、もっと身近でアナログな場所にあります。それが「USBポート」です。
今回は、工場やプラントで動く産業用制御システム（SCADA/IoT）の現場を舞台に、USBデバイスを通じた物理的な脅威と、その泥臭くて確実な防御策について、身近な「家の鍵」にたとえながら一緒に学んでいきましょう！
—
1. なぜ「USBメモリ」がサイバー攻撃者の大好物なのか？
皆さんは、街中で「これ、落とし物ですよ」と拾ったUSBメモリを、好奇心から自分のパソコンに挿してしまった…なんて話を耳にしたことはありませんか？ 攻撃者は、まさにその人間の心理や「物理的な隙」を狙ってきます。
ここで、身の回りの防犯にたとえて考えてみましょう。
皆さんの自宅には、頑丈な玄関のドアがあり、ピッキングされにくい最新の鍵がついているとします。窓には二重ロック、防犯カメラもバッチリです。泥棒は正面からはなかなか入れませんよね。
しかし、もし「誰かがうっかり、勝手口の鍵を開けっぱなしにしていた」としたらどうでしょう？ あるいは、「信頼できる業者さんだからと、身元も確認せずに合鍵を渡してしまった」としたら？
SCADAやIoTの現場における「USBデバイスの無防備な接続」は、まさにこれと同じです。
工場内の機械（PLCやHMIと呼ばれる制御端末）は、インターネットとは切り離された「閉じたネットワーク（クローズド環境）」だから安全だ——そう思い込んでいませんか？
しかし、メンテナンス用のノートPCを持ち込んだり、日々のデータ移行のためにUSBメモリを挿したりする瞬間、その閉じた世界へ「外の空気」が入り込みます。攻撃者は、現場の作業員になりすましたり、置き忘れたUSBメモリ経由でマルウェアを送り込んだりして、いとも簡単に「勝手口」から侵入してしまうのです。
—
2. 物理ポートの封鎖：まずは「物理的な鍵」をかけよう
では、この泥棒の侵入経路であるUSBポートをどう守ればよいのでしょうか。最初のステップは、デジタルな設定の前に、文字通り「物理的に塞ぐ」ことです。
家の鍵が開けっぱなしなら、まずは鍵を閉める、あるいは鍵穴自体を塞いでしまうのが一番確実ですよね。それと同じアプローチを産業用機器や管理用PCに行います。
物理的な対策の具体例
- ハードウェア的ポートブロッカー: 使っていないUSBポートに専用のプラスチック製プラグを挿し込み、専用の鍵を使わないと外せないようにする。
- ポートの物理的無効化: 古いPCや制御端末の場合、BIOS/UEFIの設定画面に入り、マザーボードレベルでUSBコントローラー自体を「Disable（無効）」に設定してしまう。
「そんなアナログな方法で意味があるの？」と思うかもしれませんが、インシデントの現場では、この「物理的なひと手間」が最大の抑止力になります。現場の作業員が「あ、ここはUSBが挿せないんだ」と意識するだけでも、セキュリティ意識は大きく変わります。
—
3. エンドポイント制御ソフトの活用：賢い「番犬」を飼う
物理的にポートを塞ぎきれない場合もあります。例えば、「どうしても日々の業務で特定のUSBメモリだけは使いたい」というケースです。すべてを完全にシャットアウトしてしまうと、今度は業務が止まってしまいますよね。
ここで登場するのが、PCのなかで常に目を光らせてくれる賢い番犬、「エンドポイント制御ソフト（EDRやデバイス制御ツールの応用）」です。
これは、家の中に「身元確認のできない人は入れないコンシェルジュ」を置くようなものです。USBメモリが挿された瞬間に、ソフトが自動的にそのデバイスの「身元（ベンダーIDやシリアル番号）」を確認します。
許可されたデバイスだけを通す仕組み
管理者が事前に「社内で承認された特定のUSBメモリ（例: 暗号化機能付きの指定モデル）」の情報をソフトに登録しておきます。それ以外の野良USBメモリが挿された瞬間、番犬が吠え、次のようなアクションを起こします。
1. 即座にUSBからの読み書きをブロックする。
2. セキュリティ管理者にアラート（警告）を飛ばす。
—
4. 実務で役立つ！ Linux環境でのUSBストレージ制御設定例
では、実際に現場のLinuxベースのゲートウェイ端末などで、不正なUSBストレージの自動マウント（接続と認識）を防ぐための設定例を見てみましょう。
インフラ構築の現場では、usb-storage というカーネルモジュール（USBメモリを認識するためのプログラム）自体をロードさせないようにブラックリスト化するのが定石です。
以下の設定ファイルを端末に作成することで、不正なUSBメモリが挿されても、OSがそれを「認識しない（ただの電源供給ポートにしてしまう）」状態を作ることができます。
設定ファイルのサンプル
ターミナルを開き、USBストレージモジュールを無効化する設定ファイルを作成します。
# /etc/modprobe.d/blacklist-usb.conf を新規作成または編集します
# このファイルは、OSが起動する際に特定のドライバ（モジュール）の読み込みを禁止するためのものです。
# USB大容量記憶装置（USBメモリや外付けHDDなど）のドライバ読み込みをブロック
blacklist usb-storage
# 必要に応じて、UAS（USB Attached SCSI Protocol - 高速なUSB転送規格）も同時にブロック
blacklist uas
# 【エンジニアメモ】
# この設定を行うことで、たとえ物理的にUSBポートにメモリが挿されたとしても、
# Linuxカーネルはそれをストレージとして認識せず、無視するようになります。設定を反映させた後は、念のためシステムを再起動するか、以下のコマンドで現在のモジュールを強制的にアンロード（無効化）します。
# 現在読み込まれているusb-storageモジュールを強制的に削除する
sudo rmmod usb-storage
# 削除に成功したか（エラーが出ないか、あるいは lsmod で確認）をチェック
echo "USBストレージの無効化処理が完了しました。現場の安全性が向上します。"このように、わずか数行の設定であっても、OSの根底から「USBというリスク」を排除することができます。
—
5. まとめ：一歩ずつ、確実なセキュリティの習慣を
今回は、SCADAやIoTデバイスを守るための「USBデバイス制御と物理的セキュリティ」について解説しました。
- 物理的な封鎖: プラグやBIOS設定で、まずは「勝手口」を塞ぐ。
- エンドポイント制御: ソフトという番犬を使い、許可されたものだけを通す。
- OSレベルでの制限: ドライバのブラックリスト化などで、システム的な安全性を担保する。
セキュリティ対策に「これで完璧」というゴールはありません。しかし、今日学んだような「足元（物理レイヤー）からのアプローチ」を一つずつ確実に実践していくことが、巧妙化するサイバー攻撃から大切なインフラやデータを守る最強の盾になります。
難しく考えず、まずは身の回りの端末のUSBポートがどうなっているか、確認することから一歩ずつ始めてみましょう！
コメント