Windows機などが数多く存在しています。Firewallを導入して古い生産設備を保護できないか考えてみました。既存環境に導入することを想定してネットワーク構成の変更の必要が無いブリッジ接続で構成しています。通常このブリッジ接続の段階でIPSとアンチウィルスを動作させているため、ある程度のセキュリティを担保できるのですが、今回はさらに突っ込んでSCADAの通信制御を行ってみようと思います。実環境でどの程度役に立てるものかわかりませんが、何かの一助となれば幸いです。基本設定は完了しているものとします。既述ですが、今回は古い生産設備に導入することを想定してネットワーク構成の変更の必要が無いブリッジ接続で導入できるように設定しています。通常このブリッジ接続の段階でIPSとアンチウィルスを動作させているため、ある程度のセキュリティを担保できるのですが、今回はSCADAの通信制御を行います。SCADA専用スキャナを起動します。FirewallではSCADA専用スキャナエンジンもあらかじめ組み込まれており、オプションライセンスが必要ありません。Simulator」を利用しています。Address」にサーバのIPアドレスを入力します。Row」をクリックして下記追加します。IOA」を「100」、「Range」を「10」に設定します。Row」をクリックして下記追加します。IOA」を「1000」、「Range」を「10」に設定します。「Data_Objects_1」のタブをクリックして「Start_Communication」をクリックします。これで、サーバシュミレータが待ち受け体制に入ります。Simulator」を利用しています。Client」をクリックします。Address」にサーバのIPアドレスを入力します。Communication」をクリックします。-Connected」になることを確認します。これでクライアントがサーバに接続できました。ICSプロトコルの検知を有効にし、全許可ルールを設定します。Simulator」をサーバ側に接続してみます。60870-5-104」に関係する通信が細かく見える化されていることが分かります。Command」のみをブロックするように設定します。Simulator」をサーバ側に接続してみます。Connected」にならず接続が完了しません。Firewallを利用してSCADAの通信を制御できることがわかりました。通常、SCADA通信を利用する設備は送信元、送信先が明確であることが多いと思いますし、またプロトコル内で利用するコマンドなども決まっていることが多いのではないかと考えます。レイテンシーの問題など課題はあると思いますが、旧来の生産性システムのセキュリティ保全に何か役立てるのではないかと考えています。Firewall本文は以下をご覧ください。Archiverファームウェア5.2.3.006がGAリリースされました。