ホワイトペーパー

ストラタス製品のセキュリティ

ストラタスのセキュリティプログラムと実践の概要

抄録

ストラタスは、包括的なセキュリティ戦略の一環として、安全な製品の開発を確実にし、企業全体のセキュリティ意識を高めるためのプログラムと実践を管理・実行しています。確立された監視手順により、ストラタスは、製品開発中および開発後の製品セキュリティリスクを特定し、軽減することができる。本文書の目的は、ストラタスが潜在的な脆弱性に対処し、製品の完全性を確保するための包括的かつ厳格な製品セキュリティ保証プロセスである、ストラタスのセキュア開発ライフサイクルプログラムについて説明することである。

ストラタスはセキュリティに真剣に取り組む

ストラタスには豊富なセキュリティの伝統があります。

ストラタスは約 40 年にわたり、信頼性が高く、安全で、管理可能なプラットフォームを必要とする企業にコンピューティング インフラストラクチャを提供し、最もミッションクリティカルなデータセンターのワークロードに対応してきました。現在、ストラタスのソリューションは、世界のフォーチュン 100 社の半数以上の企業で使用されており、クレジットカード取引で 860 万ドルの安全な処理、2 億トンの食品・飲料の生産、年間 15 億人の航空会社の乗客の輸送に使用されています。

エッジ コンピューティング インフラは安全でなければならない

ストラタスのソリューションは、企業ネットワークのエッジに導入されるケースが増えています。ストラタスのシンプルで保護された自律型コンピューティングプラットフォームは、環境管理や技術リソースが不足している場所で重要なエッジアプリケーションを実行するために、ますます求められるようになってきています。

IoT(Internet of Things)の出現と、IT(情報技術)とOT(運用技術)の融合により、これまで「隔離されていた」OTエッジネットワークが、新たな、そして既存のITセキュリティ脆弱性にさらされています。さらに、これらのOTネットワークは、従来のITセキュリティ対策やツールを使用しても簡単にはセキュリティを確保できません。

ストラタスではセキュリティが重要

データセンターからエッジまで、お客様のコンピューティングプラットフォームのセキュリティを確保することは、ストラタスにとって最も重要なことです。ストラタスの顧客の多くは、規制の厳しい業界で事業を展開しており、同社のエッジ コンピューティング プラットフォームを重要な国家インフラストラクチャに使用しています。そのため、実行可能な攻撃ベクトルを低減し、防御の深化をサポートするレイヤーを備えた製品を作成することは、リスクを低減するための重要な要素となります。ストラタスは、お客様とパートナーをよりよく保護するために、セキュリティ業界のベストプラクティスの活用、セキュリティを考慮した製品の設計・構築、既知のセキュリティ上の脆弱性や脅威への迅速な対応、現在の姿勢を継続的に評価し、セキュリティ態勢を強化するための改善を含む、包括的なセキュリティ戦略に従っています。

ストラタスは、セキュリティ業界のベストプラクティスに従っています。

ストラタスは、製品の設計と構築(セキュアプロセス)、および製品のセキュア化(セキュア製品)を行う際に、セキュリティ業界で認められたベストプラクティスに従っています。ISA、NIST、およびOWASPのガイドラインを組み込んだ正式なSDL(セキュア開発ライフサイクル)プログラムにより、ストラタスはセキュリティリスクを特定し、軽減することができます。OPAF のような組織との連携により、より広範なセキュリティコミュニティのリソースを活用して製品のセキュリティを最大化することができます。

ISAから始まります。

国際オートメーション協会(ISA)は、1945年に設立された非営利の専門団体です。この組織は、産業用オートメーションおよび制御システムのセキュリティ規格を含む、広く利用されている世界的な規格を開発し、維持しています。ストラタスは、主に、国際電気標準会議(IEC)でも採用されている 2 つの ISA ガイドラインに準拠し、プロセスと製品の両方の観点からセキュリティを検討しています。

セキュリティプロセス

ISA/IEC 62443-4
-1
ISA/IEC 62443-4-1 は、産業用オートメーションおよび制御システムで使用される製品の安全な開発のためのプロセス要件を規定しています。ストラタスは、自社製品を安全に開発するために、この ISA ガイドラインに従っている。本ガイドラインでは、セキュアな製品の開発および維持を目的としたセキュアな開発ライフサイクルを定義している。

  • 安全保障要求事項定義
  • セキュアデザイン
  • 安全な実装
  • 検証検証
  • 瑕疵管理
  • パッチ管理
  • 製品の使用済み

NIST SP 800-37
現在は米国商務省の一部となっている国立標準技術研究所(NIST)は、産業競争力の促進に役立つように設計された技術、測定、および標準を確立し、監督する政府機関です。NIST Special Publication 800-37 (SP 800-37) は、連邦政府の情報システムにリスク管理フレームワークを適用するためのガイドラインを提供しています。ストラタスの開発者は、Stratus RedundantLinux,everRun, VOS などのソフトウェア製品の開発において、これらの補足ガイドラインを活用しています。

製品のセキュリティ

ISA/IEC 62443-4-2
ストラタスは、自社製品に組み込むべきセキュリティ特長 を定義するために、ISA 機能要件を使用しています。ISA/IEC 62443-4-2 は、制御システムの機能セキュリティレベルを満たすための 7 つの基本要件(FR)に関連する技術コンポーネント要件(CR)を詳述している。7 つの基本要件は以下の通りです。

  • 識別認証制御
  • 使用制御
  • システムの完全性
  • データ機密性
  • 制限付きデータフロー
  • タイムリーレスポンス
  • リソースアベイラビリティー

例えば、ztC Edge やeverRun のような Stratus 製品は、アクセス制御リスト、役割、パスワードを活用して、最小特権の識別、認証、および使用制御を行っている。ztC Edge のシステムの完全性は、安全で信頼できるブートによって保証されています。ftServer とztC Edge の両方とも、データの機密性を確保するために、HTTPS、SSH、SMTP などの暗号化された安全な通信プロトコルを使用しています。アラートログは、セキュリティインシデントを示す可能性のあるストラタス製品の設定変更を直ちに管理者に通知します。リソースの可用性は、すべてのストラタス製品の特徴でもあり、高可用性と耐障害性を提供し、さまざまな種類のサービス拒否イベントやビジネスクリティカルなサービスの継続に対する回復力を提供します。

FIPS 140-2
Federal Information Processing Standard 140-2(FIPS 140-2)は、コンピュータセキュリティ部門(CSD)と応用サイバースセキュリティ部門(ACD)が共同で維持しているNISTのもう一つの標準規格です。暗号モジュールが満たすであろうセキュリティ要件を規定しており、幅広い潜在的なアプリケーションや環境をカバーすることを目的とした4つの増加する定性的なレベルを提供しています。

ストラタスは、FIPS 140-2 暗号技術およびデータセキュリティ設計の原則を使用して、製品のセキュリティ要件につ いて情報を提供している。例えば、現在の Stratus 製品は、OpenSSL 1.0.2k-fips および TLS v1.2 を Web サービスに使用している。ztC Edgeのコンソールアクセスを提供する Web サーバは、デフォルトで FIPS 140-2 アルゴリズムに準拠している。

OWASP
Open Web Application Security Project (OWASP) は、ソフトウェアのセキュリティを向上させることを目的とした非営利財団です。ストラタスは、セキュリティを向上させるために、財団の方法論、文書化、ツール、技術を活用しています。

ストラタスは、セキュリティを考慮した製品の設計・製造を行っています。

ストラタスは、製品開発プロセスにおいてセキュリティリスクを特定し、軽減するためのプログラムと実践を確立しています。ストラタスのエンジニアリンググループ内の製品セキュリティチームは、全社的なセキュリティイニシアチブの開発と推進、およびセキュリティを意識した文化の醸成に責任を負っています。このチームは、ストラタスの SDL プログラム、セキュリティインシデント対応、セキュリティ認証を担当しています。

ストラタスの SDL は、ストラタスのエンジニアが安全な製品を安全に開発するためのクローズドループセキュリティ保証プログラムです。このプログラムの主な目的は、開発中および導入中の製品の脆弱性の数と深刻度を減らすことです。これは、製品のライフサイクルとアジャイル開発文化のあらゆる側面にセキュリティを浸透させることによって達成されます。

ストラタスは、ISA、NIST、OWASPが提供するセキュリティ業界のベストプラクティス、ガイドライン、標準、およびツールを活用するだけでなく、セキュリティリスクを軽減するために、SDLプログラムの各フェーズを通じて、その他のセキュリティ対策を取り入れています。

トレーニング
ストラタスのエンジニアは定期的にセキュリティトレーニングを受け、セキュリティのトレンドや業界の進化する脅威の状況を常に把握し、開発プロセスや製品へのセキュリティ問題の導入を最小限に抑えることができるようにしています。ストラタスのセキュリティチームは、役割別および技術別のセキュリティカリキュラムを管理・維持し、定期的に更新しています。現在、セキュリティコンセプト、セキュリティ設計とテスト、セキュリティコーディング技術、セキュリティツールのコースがあります。

要件収集
要件収集と計画のフェーズでは、製品の初期セキュリティプロファイルが評価されます。これは、製品のセキュリティプロファイルを既知のセキュリティ要件のセットと比較するいくつかのマイルストーンの最初の段階です。これらの要求事項は、製品の所有者から顧客の要求として提供される場合もあれば、業界標準から提供される場合もありますが、セキュリティチームによって吟味され、維持されます。現在、認証、認可、暗号化、証明書管理、ネットワークセキュリティ、仮想化、アカウンタビリティ、ソフトウェアのパッケージ化と配布などの標準があります。さらに、機密データの保護、悪意のあるコードの防止、攻撃面の削減などの項目について、より高いレベルのセキュリティ要件があります。

設計 製品の設計段階で
は、リリース前にセキュリティ問題を特定し、修正するための並行した活動が行われます。潜在的な脆弱性、システムの欠陥、設計の前提条件が間違っていることを特定する脅威モデル、またはアーキテクチャ図が作成されます。開発プロセスの早い段階でこの活動を行うことで、開発チームは、設計に関連するセキュリティ問題に対処するための十分な時間を確保することができます。

実装
このフェーズでは、開発チームは自動化されたツールを使用して、セキュリティ関連の欠陥を含む欠陥を検出します。SAST(静的アプリケーションセキュリティテスト)を利用して、アプリケーションのソースコード、バイトコード、バイナリを分析し、セキュリティ脆弱性を示すコーディングや設計条件を確認します。脆弱性スキャンもこの段階で行われます。

さらに、セキュリティチームはセキュアソーシングを採用しています。ストラタスの製品に組み込まれているすべての OSS(オープンソースソフトウェア)および TPS(サードパーティソフトウェア)の名前とリリースレベルを文書化し、既知の脆弱性がないかどうかを検査している。ベンダーのハードウェアおよびソフトウェアのセキュリティ評価は、セキュリティ問題が顧客に伝わるリスクを軽減するために、業界標準に沿って開発された安全な製品がストラタスに提供されていることを確認するために実施されている。

検証
このライフサイクルの段階では、開発チームは自動化されたツールを使用してソフトウェア製品をスキャンし、 ネットワーク上で実行されているコンピューティングシステムのセキュリティ脆弱性を調べ、 システムが脅威にさらされたり、悪用されたりする可能性のある特定の方法があるかどうかを判断します。さらに、悪意のある侵入者が製品やソリューションを攻撃することができるかどうかを判断するために、侵入テストを実施することもあります。これらのテストは、隔離されたテスト環境で実施され、製品アーキテクチャやソースコードのレビューを含むことができ、様々な商用または内部の脆弱性検出ツールを利用することができます。

また、この段階では最終的なセキュリティレビューが行われ、製品がSDLプログラムのすべての活動を通過したかどうか、事前のセキュリティレビューで指摘された問題がすべて解決されているかどうかが確認されます。この最終セキュリティレビューは、RC(リリース候補)のマイルストーンが達成される前に完了します。

リリースおよびリリース後の対応
GA(一般的に入手可能)である製品は、製品ライフサイクルの生産段階に入ります。これらの製品は、EOL(製品寿命の終了)までこの段階にとどまる。ストラタスの Product Security Incident Response Team (PSIRT) は、セキュリティチームのサブセットであり、ストラタス製品に関するセキュリ ティ問題の報告がないか、技術的な状況を監視する責任を負っています。グローバルなチームであり、報告された脆弱性を調査し、社内の適切なチームに情報を提供することがその役割の 1 つです。また、セキュリティ研究者、顧客、パートナー、およびストラタス製品の脆弱性を報告するその他の外部関係者のために、ストラタスの連絡窓口(product.security@stratus.com)となることも役割の一つである。

ストラタスは、セキュリティの脆弱性や脅威に迅速に対応します。

PSIRT は、ストラタス製品に関する問題を検出または報告を受けた場合、ストラタスの開発チームと協力して問題を調査します。PSIRT は、適切な製品およびサポートチームとの間で、問題の是正と社内外への連絡を継続的に調整します。さらに、PSIRT は、すべてのセキュリティ勧告の伝達と配布、およびストラタスの Web サイト上での記録の維持にも責任を負います。

ストラタスは、他のテクノロジーベンダーや政府機関(Intel、AMD、IBM、Microsoft、Red Hat、Google、Facebook、Amazon、MITRE、CISA など)とともに、既知のセキュリティ脆弱性に関する情報を継続的に特定、検証、公開するセキュリティ連合に所属しています。連合のメンバーが潜在的な脆弱性について警告を受けると、問題の特定と診断のための作業が開始されます。情報は連合メンバー間で共有され、メンバーが協力して修正策を作成します。最終的には、Stratus がセキュリティパッチを作成し、PSIRT が顧客やパートナーに配布します。

ストラタスは、セキュリティ姿勢を継続的に評価し、改善しています。

ストラタスの SDL プログラムは、リスクを特定して軽減する能力について定期的に評価され、プログラムが成熟して認定されると、新しいプロセスやツールが追加されます。

さらに、ストラタスのアジャイル手法には、開発段階ごとに脆弱性の種類とレベルに応じたセキュリティテストの自動化プロセスが含まれています。統合された DevSecOps アプローチは、ストラタスの迅速かつ頻繁な製品開発サイクルにセキュリティを確実に組み込むことを可能にし、早期のサイクルから学んだ教訓を将来のサイクルに迅速に適用できるようにします。

詳細はこちら

詳細情報や脆弱性の報告については、ストラタスの PSIRT(product.security@stratus.com)までお問い合わせください。ストラタスのセキュリティ勧告の詳細については、support.stratus.com をご覧ください。ストラタスが製品のセキュリティをどのように確保しているかについての詳細は、stratus .com/security または stratus.com を参照してください。

参考文献

  • 国際自動化学会(ISA):isa.org
  • 国際電気標準会議(IEC): iec.ch
  • 国立標準技術研究所(NIST):nist.gov
  • Open Web Application Security Project (OWASP): owasp.org
  • オープンプロセスオートメーションフォーラム(OPAF): opengroup.org/forum/open-process-automation-forum
  • Cybersecurity and Infrastructure Security Agency (CISA): us-cert.gov

関連情報

トップへのスクロール