こんにちは！OT（制御システム）やIoTの世界へようこそ。
普段、私たちが何気なく使っている電気やガス、水道、そして工場の自動化ライン。これらを裏側で動かしているのが、SCADA（スカダ）をはじめとする産業用制御システム（OT）です。
ところで、ITの世界では「パソコンやスマホに新しいセキュリティの更新プログラム（パッチ）が出たら、すぐに再起動してアップデートしましょう！」とよく言われますよね。
でも、これが24時間365日止めてはいけない工場の心臓部（OT環境）だったらどうでしょう？
「今からこの巨大なバルブの制御コンピュータを再起動しまーす。あ、20分ほど工場全体を止めますね」なんて、現場の担当者さんに言ったら、冷や汗どころか大目玉を食らってしまいますよね。
今回は、そんな「パッチを当てたいけれど、システムを絶対に止められない！」という、現場の泥臭いジレンマを鮮やかに解決する「仮想パッチ（Virtual Patching）」の仕組みについて、家の防犯にたとえながら優しく紐解いていきましょう。一歩ずつ、一緒に学んでいきましょうね！
—
1. 家の鍵にたとえる「OT環境のパッチ問題」
まずは、身近な「家の鍵」を想像してみてください。
あなたが住んでいる家に、ある日「玄関の鍵のシリンダー（内部構造）に、特殊な針金を使えば簡単に開けられてしまう致命的な欠陥（脆弱性）が見つかりました」というニュースが入ってきました。
ハウスメーカーからは、「新しい頑丈な鍵に交換してください」という手紙が届きます。これがITの世界でいう「パッチ適用」です。
- ITの家なら： 「じゃあ今夜、数分だけ鍵を取り替えよう」と簡単にできます。
- OT（工場）の家なら： その玄関は、何千人もの作業員が昼夜を問わず休むことなく出入りする巨大な要塞の門です。「鍵を交換するから、今日のところは全員門の外で12時間待って！」なんて、絶対に言えませんよね。門を閉めた瞬間、工場の生産ラインが止まり、大損害になってしまいます。
「じゃあ、この危なっかしい鍵のまま、泥棒が入ってくるのを指をくわえて見ているしかないの？」
いいえ、そんなことはありません。ここで登場するのが、今回主役の「仮想パッチ」なんです！
—
2. 仮想パッチってなぁに？ 泥棒を玄関で食い止める「用心棒」
仮想パッチのアイデアは、とてもシンプルで実用的です。
「家自体の鍵（OT機器の内部プログラム）を今すぐ直すのが無理なら、玄関のすぐ手前に屈強な用心棒を立たせて、怪しい動きをする奴だけを追い返せばいいじゃない！」という発想です。
この「用心棒」の役割をしてくれるのが、ネットワークの交通整理をするIPS（不正侵入防止システム）やWAFなどのセキュリティ機器になります。
たとえば、悪意のある攻撃者が、工場の機械を勝手に暴走させるために、ネットワークを通じて特定の危険なコマンド（呪文のようなもの）を送ってきたとします。
OT機器本体のプログラムを直していなくても、その手前の用心棒（IPS）が「おっと、その呪文はこのシステムの弱点を突く悪いやつだな！通さないよ！」と、パケット（通信のデータ）をその場でパッと遮断してくれるのです。
これが、実体を伴わない（本体を改造しない）という意味を込めて「仮想パッチ」と呼ばれる理由です。システムを止めることなく、まるでパッチを当てたかのように脆弱性を守ることができるんですね。
—
3. 実践！ネットワークの用心棒（Snortルール）の設定を見てみよう
「用心棒って具体的にどうやって動いているの？」気になりますよね。
ここでは、OT環境のネットワークでよく使われるオープンソースの侵入検知・防止ツール「Snort（スノート）」を例に、仮想パッチが実際にどのような設定で動いているのかを覗いてみましょう。
たとえば、古いSCADAシステムで「特定の特殊なリクエスト（例: OVERRIDE_SAFETY_LOCKという危険なコマンド）を送りつけられると、パスワードなしで装置が勝手に動いてしまう」という致命的な脆弱性があったとします。
このとき、次のようなルールをIPS（用心棒）に覚え込ませます。
# 【Snortルールのサンプル】
# 意味：社外の怪しい通信から、工場のPLC（制御装置）を守るための仮想パッチルール
alert tcp any any -> 192.168.10.50 502 (
msg:"[VIRTUAL-PATCH] SCADA Safety Lock Bypass Attempt Detected";
content:"OVERRIDE_SAFETY_LOCK";
depth:20;
sid:1000001;
rev:1;
action:drop;
)パラメーターの優しい解説
alert tcp any any -> 192.168.10.50 502- どこからともなく（
any）、工場の心臓部であるPLC（IPアドレス192.168.10.50、ポート番号502はModbusという産業用プロトコルの定番です）に向かって飛んでくる怪しいTCP通信を見張りますよ、という意味です。 content:"OVERRIDE_SAFETY_LOCK";- 通信の中身（ペイロード）を覗き見して、もしこの危険なキーワードが含まれていたらかぎ分ける、という用心棒の嗅覚にあたります。
action:drop;- 「怪しいキーワードを見つけたら、その通信をゴミ箱にポイっと捨てて（遮断して）、通信させないようにする」という一番大事な命令です。
このように、OT機器本体のプログラムを一歩も触ることなく、ネットワークの境界線上で悪意ある通信をブロックしてしまうのが、仮想パッチのテクニックです。
—
4. 万能ではない？ 仮想パッチの「限界」と現場のリアル
「じゃあ、もう全部仮想パッチでいいじゃん！本体のアップデートなんてしなくてよくない？」と思ったそこのあなた。さすが鋭い視点ですね！
実は、この仮想パッチにもいくつか大きな「限界」や「盲点」があります。
① 暗号化された通信（TLS等）の中身は見えない
最近のスマートなOT・IoTデバイスでは、通信データが暗号化（カギをかけた状態）されていることが増えています。
用心棒であるIPSから見て、通信の中身が真っ黒な暗号化の封筒に入っていたら、「あ、怪しい呪文が書かれているな」と中身を読み取ることができません。結果として、スルリとすり抜けてしまうリスクがあります。
② あくまで「絆創膏（ばんそうこう）」である
怪我をしたときに貼る絆創膏と同じで、仮想パッチは根本的な治療（ベンダーによる脆弱性の修正パッチ適用）ではありません。
「システムの改修ができる次の定期メンテナンス（数ヶ月後の工場全停止のタイミングなど）まで、どうにか泥棒が入らないように持ちこたえさせるための一時的な延命措置」という位置づけを忘れてはいけません。
—
まとめと、これからのセキュリティへ向けて
今回は、止められないOT環境の強い味方「仮想パッチ」について、家の防犯や用心棒にたとえて解説しました。
- OT環境ではシステムを止められないジレンマがある。
- 仮想パッチは、機器本体をいじらずに、ネットワークの入り口（IPS等）で危険な通信をブロックする「用心棒」のような仕組み。
- あくまで一時的な延命措置（絆創膏）なので、長期的なパッチ適用の計画とセットで運用することが大切。
セキュリティの世界は奥が深く、時には泥臭い判断を迫られることも多いですが、仕組みを一つひとつ紐解いていけば怖くありません。
一歩ずつ、安全で堅牢なシステムを作っていきましょうね！それではまた次回の記事でお会いしましょう！
コメント