コンピュータのハードウェア・セキュリティ・デバイスは、企業が潜在的な脅威から身を守るために不可欠なものです。こうしたデバイスは、機密情報を保護し、事業運営の健全性を維持する上で極めて重要な役割を果たします。これらは、さまざまなソフトウェア攻撃に対する防衛手段として機能し、コンピュータシステムやネットワークのセキュリティを確保する上で欠かせない存在です。

コンピュータセキュリティとは何ですか？

コンピュータセキュリティとは、コンピュータシステムで使用されるあらゆるハードウェアおよびソフトウェアデバイスを保護することに他なりません。

コンピュータセキュリティは、さまざまな脅威からシステムを守る役割を担います。システムの円滑な動作を妨げる可能性のあるあらゆる事象が「脅威」となり得ます。ウイルス、サイバー犯罪、ハードウェアの故障、自然災害などが、こうした脅威の代表的な例です。

スワループ・ブニア（Swarup Bhunia）氏は、「ハードウェアセキュリティ・プリミティブは、集積回路（IC）や電子システムの信頼性、完全性、真正性を保証する上で重要な役割を果たす」と述べています。

コンピュータのハードウェアセキュリティデバイスとはどのようなものか？

企業が脅威から身を守るために必要となる、コンピュータハードウェアのセキュリティデバイスをいくつか紹介します。

ファイアウォール
ファイアウォールには、以下の4つのタイプがあります。

• パケットフィルタリング型ファイアウォール
• ステートフル・パケットフィルタリング型ファイアウォール
• プロキシ型ファイアウォール
• Webアプリケーションファイアウォール

サーバー

• プロキシサーバー

なぜ企業にはコンピュータハードウェアのセキュリティが必要なのでしょうか？

コンピュータセキュリティには、ソフトウェアセキュリティとハードウェアセキュリティの2つの形態があります。システムにおけるソフトウェアコンポーネント（保存されているデータや転送中のデータなど）を保護することが、ソフトウェアセキュリティの範疇です。

一方、ハードウェアセキュリティは、ハードウェアを脅威から保護することを目的としています。

ハードウェアセキュリティの例として、承認された人のみにアクセスを制限するといった単純な対策が挙げられます。かつては、インターネットサービスプロバイダ（ISP）からこうしたサービスを有償で受けるケースもありました。しかし、外部のプロバイダに依存することはセキュリティ上のリスクを招く可能性があり、また、そのISPが事業を停止した場合には問題が生じる恐れもあります。現在では、多くの組織が自社内でISP機能を構築することを選択しています。これにより、企業サーバーのセキュリティを直接管理下に置くことが可能になります。

ノードとは、デバイスをネットワークに接続する中継システムや通信の終端点を指します。ノードはコンピュータネットワークの極めて重要な構成要素であるため、前述したようなセキュリティ対策を講じる必要があります。

ハブはネットワークの中心に位置するデバイスであり、接続されたコンピュータ間での情報交換を担います。いわばネットワークの要（かなめ）のような存在です。ハブは、人の出入りが多い場所を避け、ITインフラが管理される安全な部屋に設置すべきです。これにより、不正な改ざんや操作を防ぐことができます。

ハードウェアデバイスを保護するにはどうすればよいですか？

ハッカーが横行する今日においても、多くの企業が、財務管理、受発注や在庫管理、マーケティングや広報活動、顧客とのやり取り、ソーシャルメディア運用といった重要な業務の遂行をインターネットに依存しています。こうした状況下では、大手テクノロジー企業でさえサイバー攻撃の被害に遭う可能性があり、常に警戒を怠ることはできません。

小規模な企業では、適切なサイバーセキュリティ対策を講じるためのリソースが十分に確保できない場合があり、サイバー犯罪者にとって格好の標的となってしまいます。デバイスを保護し、機密データを守るために、以下の対策を参考にしてください。

ファイアウォールを使用しましょう。
WindowsやmacOSには、自身の情報と外部との間に障壁を設けるためのファイアウォール機能が組み込まれています。さらに、ファイアウォールはビジネスネットワークへの不正アクセスを防ぎ、侵入の試みがあった場合には警告を発してくれます。

インターネットに接続する前に、ファイアウォールが有効になっていることを必ず確認してください。また、ブロードバンドルーターにもネットワークを保護するファイアウォール機能が備わっていますが、必要に応じてCisco、Sophos、Fortinetといったメーカーのハードウェアファイアウォールを導入することも可能です。規模の大きなビジネスであれば、業務用のネットワークファイアウォールを別途導入することも検討できます。

一般的なハードウェア攻撃にはどのようなものがあるか？

多くの企業は、ハードウェア攻撃やセキュリティ侵害について認識していません。これには、ネットワーク機器、産業制御システム、通信インフラの構成要素なども含まれます。

一般的なハードウェア攻撃の例をいくつか挙げます。

製造段階でのバックドアの組み込み：
製造段階でバックドアを組み込むことで、権限のないユーザーが通常のセキュリティ対策を回避し、ハードウェアに対するルートアクセス権（管理者権限）を取得できるようになる可能性があります。さらに、こうしたバックドアを通じて、マルウェアやその他の悪意あるコードがインストールされる恐れもあります。

盗聴：
攻撃者が、他のハードウェアデバイスを開くことなく、保護されたメモリ領域にアクセスする手法です。

障害の誘発：
デバイスの正常な動作を妨害する攻撃です。影響は連鎖的に広がり、そのハードウェアの正常な動作に依存している他のハードウェアやソフトウェアまでもが機能しなくなる可能性があります。

ハードウェアの改変：
デバイスの正常な機能を妨害したり、動作上の制限を無効化したりすることを目的とした改変です。

バックドアの作成：
コンピュータの通常の認証システムを回避するために設けられる、隠された手段のことです。

製品資産の偽造：
この攻撃は、予期せぬ動作を引き起こしたり、システムへの悪意あるアクセスを可能にしたりする恐れがあります。

すべてのデバイスと、それぞれの主な特徴を挙げてください。

ファイアウォール：
ファイアウォールには、パケットフィルタリング型、ステートフル・パケットフィルタリング型、プロキシ型、そしてWebアプリケーション・ファイアウォールの4種類があります。

パケットフィルタリング型ファイアウォール
パケットフィルタリング型ファイアウォールは、ネットワークセキュリティにおける基本的かつシンプルなタイプのファイアウォールです。このファイアウォールにはフィルタが備わっており、送受信されるパケットをあらかじめ設定されたルールと照らし合わせることで、その通過を許可するかどうかを判断します。

また、パケットに含まれるインターネットプロトコル（レイヤー2およびレイヤー3のパケット）には、ヘッダー構造の一部として、使用されているプロトコルの種類に関する情報が含まれています。
こうしたパケットには、以下のような種類があります。

• 通常のデータを運ぶIPパケット
• メッセージ制御パケット（ICMP）
• アドレス解決パケット（ARP）
• 逆アドレス解決プロトコル（RARP）
• ブートストラップ・プロトコル（BOOTP）
• 動的ホスト構成プロトコル（DHCP）

特徴：

• パケットフィルタリング型ファイアウォールの主な特徴は、ファイアウォールとしての処理が高速であるという点です。これは、処理の大部分がレイヤー3（ネットワーク層）以下で行われ、アプリケーション層に関する複雑な知識を必要としないためです。

ステートフル・パケットフィルタリング・ファイアウォール
ステートフル・パケットフィルタリング技術は、従来のパケットフィルタリング・ファイアウォールが持つ基本的な機能を維持しつつ、より高度なアプローチを採用しています。

最大の特徴は、OSI参照モデルのレイヤー4（トランスポート層）で動作する点にあります。接続のペアは、通常、以下の4つのパラメータで構成されます。
ステートフル・インスペクション（状態監視）技術では、動的なメモリを使用して、着信中または確立済みの接続に関する「ステートテーブル（状態テーブル）」を保持します。外部ホストから内部ホストへの接続要求が発生すると、その接続パラメータがステートテーブルに記録されます。従来のパケットフィルタリング・ファイアウォールと同様に、特定のパケットの通過を許可するかどうかを定義するルールを作成することも可能です。例えば、「ポート番号が1023を超えるパケットを破棄する」といったルールを設定できます。これは、多くのサーバーが0から1023までの標準ポート番号を使用して応答するためです。

特徴：

• 特に、UDP（User Datagram Protocol）やICMP（Internet Control Message Protocol）といったコネクションレス型プロトコルにおいて、セキュリティを強化します。

プロキシファイアウォール
プロキシ ファイアウォールは、OSI モデルのアプリケーション層を操作の目的としています。一方、このようなプロキシは、リモート ユーザー (インターネットなどのパブリック ネットワーク上にいる可能性があります) とインターネット上の専用サーバーの間に展開できます。リモート ユーザーが発見できるのはプロキシだけであるため、実際に通信しているサーバーの ID はわかりません。同様に、サーバーはプロキシのみを検出し、真のユーザーを認識しません。

特徴:

• アプリケーション プロキシの主な機能は、すべてのファイアウォール テクノロジの中で最高のセキュリティを提供することです。
• プロキシ ファイアウォールは、パブリック ネットワーク間の効果的なシールドおよびフィルタリング メカニズムとして機能します。
• 最後に、このプロキシ システムを使用すると、アドレス、ポート情報、アプリケーション情報に基づいてパケットを受け入れるか拒否するようにファイアウォールを設定できます。

サーバー:

プロキシサーバー
プロキシサーバーは、クライアントソフトウェアが他のサーバーからリソースを取得しようとする際、そのリクエストの仲介役として機能します。クライアントはプロキシサーバーに接続してサービスを要求し、プロキシサーバーはそのリクエストを評価した上で、許可または拒否を判断します。また、多くのプロキシサーバーは「フォワーディングプロキシ」として動作し、クライアントに代わってデータを取得する役割を担います。

インターネット上の誰からでもアクセス可能なプロキシサーバーは、「オープンプロキシ」と呼ばれます。これとは別に、「リバースプロキシ」（サロゲートとも呼ばれる）という形態も存在します。これは内部ネットワークに向けられたサーバーであり、プライベートネットワーク内のサーバーへのアクセスを制御（および保護）するためのフロントエンドとして機能します。

特徴：

• プロキシには、「透過型（トランスペアレント）」と「非透過型（ノン・トランスペアレント）」のものがあります。透過型プロキシは、認証や識別といったプロキシの動作に不可欠な処理を除いて、リクエストやレスポンスの内容を改変しません。つまり、クライアント側はプロキシの存在を意識することなく利用できます。
• 一方、非透過型プロキシは、リクエストやレスポンスを改変することで、ユーザーエージェントに対して付加的なサービスを提供します。これには、グループ注釈（アノテーション）の付与、メディア形式の変換、プロトコルの簡略化、あるいは匿名化フィルタリングなどが含まれます。
• 総じて、プロキシサーバーはトラフィックのフィルタリングやパフォーマンスの向上に役立ちます。

結論

結論として、ハードウェアセキュリティとは、ソフトウェアを安全に実行するためのITインフラストラクチャを提供するものと言えます。本稿では、悪意のあるソフトウェアから資産を保護する上でのハードウェアの役割について、詳細に解説しました。セキュリティの観点において、ハードウェアはさまざまなソフトウェア攻撃に対抗するための重要な要素です。これは、オペレーティングシステムからアプリケーションソフトウェアに至るまで、ソフトウェアスタックのあらゆる層を保護する助けとなります。こうした攻撃は、機能上の脆弱性、あるいはサイドチャネル脆弱性を突く形で行われます。本ブログでは、ハードウェアに対するさまざまな攻撃シナリオと、それらに対する考えられる対策について論じました。