インダストリアルIoTにおけるデータセキュリティは、進むべき唯一の道
セキュリティの話題がトップ記事に扱われないことはありません。運用技術（OT）と情報技術（IT）が出会うインダストリアルIoT（IIoT）において、セキュリティの必要性はさらに明らかです。引用される多くの有名なセキュリティ違反が存在し、間違いなくさらに多くの違反が開示されていないことを考慮すると、OT／ITの境界線の保護は常に監視対象となっています。
インターネットの到来前、セキュリティを保つデフォルトのソリューションは空隙を埋めることであり、これはセキュリティ要件の異なるシステムを物理的に切り離すことを意味しました。現在の多くの人々は、分野を越えて接続を使用しデータを共有する必要性を感じており、空隙を埋めるアプローチは廃れています。また、通常の産業コントロール分野では、物事がほぼリアルタイムで起きる必要があります。そのため、レイテンシーを増やすセキュリティ対策の導入はさらに困難であると言えるでしょう。
通常、OSIモデルは、セキュリティに関する議論で使用されています。トップの第7層に位置するのは、アプリケーション層です。攻撃者は、ウェブページまたは他のユーザーに直接面する場所を通して、この地点からネットワークへアクセスすることが一般的です。一番下の第1層は物理層（PHY）であり、ケーブルで物理的に転送できる電気、光、または無線（RF）信号にデータを変換します。ソフトウェアを使用して高いOSIレベルを保護するために、より多くの努力が傾けられる中、PHYおよびハードウェアベースのセキュリティが注目されつつあります。
OSIモデル
OSI（開放型システム間相互接続）モデルは、すべてのデータが物理層を通ることを示しています。物理層にデータダイオードを追加することで、サイバー攻撃からの防御を強化できます。
物理層におけるセキュリティ
ハッカーも被害者も、これまで物理層のスタックがいかに脆弱であったか認識しています。私たちが目や耳にする巧みなハッキング行為の多くは、誰かが未保護のUSBメモリ（または同様のデバイス）を、保護された端末へ挿入することが起点となっています。これにより、OSIモデルの上層に位置するソフトウェアベースの防御の大半が効果的に迂回されます。もちろん、物理層への攻撃を開始するために、脅威が物理的に存在する必要はありません。
巧みなサイバー攻撃は層間の移動が必要な場合もありますが、最終的にすべてのネットワークアクセスは、光、有線、または無線ネットワーク接続など、物理層で行われます。物理層における脅威を検知するためにDPI（ディープ・パケット・インスペクション）を追加することは今でも困難であるため、通常は第2層～第7層に追加されます。これにより、セキュリティを確保する責任は、OSIモデルの最上部に位置するファイヤウォールなどの技術に課されます。
エアギャップが有効でない物理層においてセキュリティが必須のシステムの場合、選択肢はほとんどありません。データダイオードと呼ばれる技術は、インターネットが到来する前にシステムを保護するために開発されたものであり、過去の遺物だと述べる人もいます。しかし、Amazon Web Services（AWS）でさえ、「インダストリアルIoTソリューションにおけるセキュリティの10個の黄金律」と題するブログの投稿において、一方向ゲートウェイ、つまりデータダイオードの使用を進めています。
この名称は、その機能を正確に表したものであり、データは一方向にのみ流れます。では、 双方向のデータの流れが自然な時代に、データダイオードに意味があるのでしょうか？
データダイオードおよび一方向ゲートウェイ
データダイオードは機能的に比較的簡単であり、一方向の発信データのみを許可し、返信または受信データをブロックします。双方向プロトコルで動く世界で、このアプローチの短所は明らかです。同様に、セキュリティの視点から見ると長所は明らかです。
データダイオードを介したネットワーク接続では一方向の性質により確認メッセージを受信できないため、送信はすべて純粋な信頼の上で行われます。そのため、 接続する相手側に敵意を持つ人が存在しうる場合、強力な暗号化が必要であることは明らかです。
最強のセキュリティを必要とするアプリケーションの場合、状況によって、データダイオードの使用は必須であり、これはデータベースのミラーリングまたはバックアップのためのIT環境でも役に立つことがあります。人工知能が稼働し大量のデータを必要とする現在の世界で、さらに分析するためにデータダイオードを使用してデータをクラウドへ送信する価値は明らかであり、まだデータダイオードが価値を提供できる分野の1つです。
現代のデータダイオードは、一方向ゲートウェイと呼ばれることがあり、これはおそらく現代のネットワークトポロジーと、より共鳴性があります。「産業用制御システム（ICS）セキュリティガイド」 と題するNIST（アメリカ国立標準技術研究所）の特別刊行物800-82は、一方向ゲートウェイ（およびデータダイオード）をICSとITネットワークの境界での導入が進んでいるハードウェアベースのデバイスと述べています。
これらシステムでは通常、ソフトウェアはプロトコルサーバーおよびバイスのエミュレーションに使用されています。これは、ほとんどのプロトコルが正しく機能するために必要とするハンドシェーキングを提供します。要求を受け取る側のデバイスが適切にそれを核にしない場合、接続が切れます。このハンドシェーキングをエミュレートして接続を維持するために、プロキシが使用されます。
これは「グローバル情報保証認定（GIAC）」と題する論文で扱われたトピックであり、この中で市販のネットワークコンポーネントを使用して簡単な低コストのデータダイオードを導入する方法が紹介されています。事例では、まず双方向ネットワーク接続を構築し、次に接続の片側を物理的に断絶しています。著者は、リターンパスなしに接続を維持するために必要なプロトコルハンドシェーキングをエミュレートする問題を扱っていますが、ここで提示されているソリューションは安全に扱うことができないことを強調しています。
もう1つ、「TCP／IPトランスペアレントFPGAベースのネットワークダイオードの設計」と題する別の事例では、FPGAを使用してデータダイオード をどのように導入できるかを示すことにより、この概念をもう1段階進めています。また、双方向通信の類似性を維持する必要性にも取り組んでいます。
データダイオードの実例
現在利用できる多くのデータダイオード、つまり一方向ゲートウェイはFPGAを使用しています。これは、FPGAファブリックの構成可能なハードウェアを1つのソフトウェア要素として密接に組み合わせることにより、一方向ネットワーク接続を使用して明らかな短所を克服できる証拠です。
現在利用できる多くのデータダイオードは、高度に安全なアプリケーションで使用することが許可されており、これは今でも主な市場となっています。この大半がラックベースの機器は、サーバーの近くに設置され、一方向に流れることが意図されたすべてのデータを渡します。各メーカーは、データパスとの隔離を維持しつつ並行する制御パスをエミュレートまたは導入する独自のアプローチを持っています。
これらデバイスにおいて、一般的に光相互接続が好まれています。というのは、本質的に隔離性があるからです。しかし、これは小型の端末に組み込まれ、光メディアコンバータの小型化、軽量化、および低コスト化が進むまで、IIoTのエッジで使用される可能性はありません。
1つの代替法は有線接続であり、ここでFPGA 技術が役に立つかもしれません。現代のデータダイオードの主な機能は、TCP／IP（伝送制御プロトコル／インターネットプロトコル）、UDP（ユーザ・データグラム・プロトコル）など、ネットワーキング・プロトコルを使用する場合にデータパスと制御パスを分けることのように思われます。これを実現するために必要なハードウェアとソフトウェアの機能の組み合わせは、1つまたは複数の組み込みプロセッサまたは複数のソフトウェアコアを使用してFPGAに十分収容されるでしょう。
データに転送を頼む
物理層を保護するもう1つの可能なアプローチは、メッセージを分解、洗浄、そして物理層への到着時に再構成する方法かもしれません。これは、スタートレックの転送装置に似ているでしょう。乗組員が宇宙船から移動するごとに効果的に分解、分析され、新しい場所で再構成されます。これは、大量転送の現実的な選択肢にはなりえませんが、パケット化されたデータに適用できます。
専用ハードウェアを使用してパケットからデータを抽出し、安全なシステムを損なう可能性があるものを廃棄します。データのみを再パケット化して、アクセスを許可できます。このアプローチは物理層では認識されないため、無線インターフェースにも適用できます。
他の研究分野として無線センサネットワーク用の一方向無線プロトコルの開発が挙げられます。このアプローチは、介入者などの攻撃に対して効果を発揮できます。というのは、攻撃者がホストを騙す方法がないからです。一方向無線インターフェースは、専用のサブGHzおよび2.4 GHz無線通信をサポートしている多くの無線マイクロコントローラの1つを使用して、専用プロトコルを介して導入できる可能性があります。
データダイオードに関する追加考察
注目すべき量の研究開発は、特にFPGAにおける一方向ゲートウェイ機能の導入に傾けられています。いくつかの証拠は、これをセンサやアクチュエータなど、リソースが制約された小型端末に収納できるほど小型化できることを示しています。そして、これができるなら、おそらくこの技術をCPUおよび他のSoCへ適用することができるでしょう。
データダイオードおよび 一方向ゲートウェイでは、TCP／IPからUDPへの移行も示唆されていると思われます。ネットワークセキュリティに対してデータダイオードのアプローチを使用する場合、一方向のデータパスから隔離した双方向制御パスの必要性を簡素化できると思われます。この理由により、現実でのソリューションは、TCP／IPの代わりにUDPを使用する可能性があります。
専用プロトコルをサポートできる超低電力無線マイクロコントローラが増える中、おそらく最も簡単なソリューションは、IIoTのエッジで双方向アプローチを使用することです。これは、無線センサデータのために自家製の一方向プロトコルを使用し、制御チャネル用に標準プロトコル（Bluetoothなど）を使用することが考えられます。
セキュリティの必要性が減ることのない、安全な通信の導入方法はたくさんあります。クラウドベースの分析のために実行可能なデータを生成する傾向により、データダイオードまたは現代の同等のアプローチの使用が増える可能性があります。