エアギャップ（ネットワーキング）とは：仕組み、脅威と対策

特徴と実装

エアギャップは単一の製品ではなく、構成と組織的統制の組合せである。実装では一般に、ケーブルと機器の物理的分離、ネットワークインターフェースおよび無線通信機能の無効化または取り外し、リムーバブルメディアの厳格な管理・検査、ならびに職員に対する厳密なアクセス制御が組み合わされる。限定的なデータフローが必要な場合には、データダイオードと呼ばれる一方向ハードウェア装置により、受信トラフィックを許可せずに、管理された送信方向の転送を可能にできる。リムーバブルメディアや専用の検査済み転送端末を用いた手作業でのファイル移送は、しばしば「スニーカーネット」と呼ばれる。

歴史と注目すべき事例

重要システムをオフラインに保つ慣行は現代のネットワークより前から存在したが、近年、軍事、情報機関、産業分野で正式な手法として整備されてきた。Stuxnetマルウェアのような注目度の高い事案は、感染したリムーバブルメディア、侵害されたサプライチェーン構成要素、悪意ある内部者などを通じ、エアギャップ環境も間接的に標的となり得ることを示した。このためエアギャップは、絶対的な保証ではなく強力な防御層として扱われる。

脅威と迂回手法

• USBドライブや光学メディアなどのリムーバブルメディアが、ネットワーク間でマルウェアを移すこと。
• 意図的または無自覚に隔離をつなぐ、権限を持つ利用者による内部脅威。
• 導入前にハードウェアまたはファームウェアへマルウェアを埋め込むサプライチェーン侵害。
• セキュリティ研究機関によって研究されている、電磁放射、音響信号、光学信号（LEDや画面）、電力線変調を利用したサイドチャネル経由のデータ持ち出し。
• 攻撃者が機器を直接改ざんしたり、秘密の送信機を設置したりする物理アクセス攻撃。

用途、利点と限界

エアギャップは遠隔攻撃の対象領域を縮小し、大規模な遠隔侵入をはるかに困難にし得る。このため、機密ネットワーク、産業用制御システム（ICS/SCADA）、原子力施設および重要インフラ施設、さらに暗号資産のコールドストレージなど一部の消費者向け用途でも一般的である。一方、エアギャップは運用の複雑さとコストを増大させる。ソフトウェアの更新、データのバックアップ、情報共有には慎重な手順が必要となる。また、この手法でも人的ミス、物理的侵害、既存のハードウェア侵害によるリスクを排除することはできない。

緩和策とベストプラクティス

有効なエアギャップセキュリティは、技術的統制と手続的統制を組み合わせる。推奨される対策には、次のものがある。

• リムーバブルメディアに対する厳格な方針と技術的統制。許可リスト方式、暗号化、使い切りメディア、専用転送端末でのスキャンなどを含む。
• 機器と配線の物理的セキュリティおよび改ざんの痕跡を示す対策、来訪者のアクセス管理と記録。
• データフローが必要な場合の、データダイオードまたは検証済みの一方向転送機構の使用。
• 導入前のファームウェアおよびサプライチェーンの検証、ハードウェア認証、完全性チェック。
• 定期的な監査、異常な活動の監視、人的ミスと内部者リスクを低減するための訓練。

安全なシステムの設計者は、エアギャップを多層防御戦略の一層として位置付け、隔離の保証を維持する更新、バックアップ、保守のプロセスを設計する。安全なネットワーク設計と隔離パターンについては、セキュアネットワークに関する資料、公共のインターネットに関する一般的な指針、およびローカルLANの分割に関する説明を参照。