ISA/IEC 62443では、ネットワークセキュリティ、セグメンテーション、安全な通信について議論する際に、一般的な産業用プロトコルが頻繁に参照されています。MODBUS TCP/IPは最も広く導入されている産業用プロトコルの1つであり、TCPポート502で動作することが明示的に認識されています。
ステップ1: プロトコルのコンテキスト
MODBUS TCP/IPは、MODBUSプロトコルのEthernetベース版であり、IPネットワークを介してPLC、HMI、SCADAシステム間の通信を可能にします。HTTPやHTTPSとは異なり、MODBUSにはネイティブ認証や暗号化機能は含まれていません。
ステップ2: ポートの割り当て
MODBUS TCP/IP に割り当てられている標準 TCP ポートは 502 です。これはよく知られており、攻撃者の標的となることがよくあります。ISA/IEC 62443 では、よく知られているポートは脆弱性を高めるため、ファイアウォール、セグメンテーション、ディープ パケット インスペクションなどの補償制御が必要であると強調されています。
ステップ3: セキュリティへの影響
ポート 502 のトラフィックは物理プロセスに直接影響を与える制御コマンドを伝送できるため、この標準では定義されたゾーンとコンジット内でこのポートを使用して通信を制御および監視することに重点が置かれています。
ステップ4: 他の選択肢が間違っている理由
* ポート21はFTPに使用されます
* HTTPの場合はポート80
* HTTPSの場合はポート443
したがって、正しい標準準拠の答えは 502 です。

脆弱性スキャナーは、ネットワークまたはシステムをスキャンし、設定ミス、古いソフトウェア、脆弱なパスワードなどの既知の脆弱性を検出するツールです。脆弱性スキャナーは、システムのセキュリティ体制を改善するための貴重な情報を提供しますが、実稼働システムで使用すると制御ネットワークに深刻な混乱を引き起こす可能性があります。脆弱性スキャナーは、脆弱性を悪用することで、大量のネットワークトラフィックを生成したり、システムリソースを消費したり、アラームをトリガーしたり、さらにはデバイスをクラッシュさせたりする可能性があります。
したがって、適切な承認と予防措置なしに、脆弱性スキャナーを実稼働システムで使用すべきではありません。脆弱性スキャナーは、テスト環境または隔離されたネットワーク、あるいはシステム運用への影響が最小限に抑えられる定期メンテナンス期間中にのみ使用してください。参考資料：ISA/IEC 62443 産業用制御システムのセキュリティを確保するための規格、モジュール5：現在のセキュリティレベルの評価、スライド25。

産業環境におけるファイアウォールの大きな課題は、ファイアウォールをどのように構成するかを決定することです。
複雑さは、運用要件（プロセスデータフローなど）とセキュリティニーズ（不正アクセスのブロックなど）のバランスを取る必要があることから生じます。設定ミスは、セキュリティギャップや不要な運用中断につながる可能性があります。ファイアウォールはHTTPだけでなく、様々な種類のトラフィックをフィルタリングできるため、更新は重要ですが、設定こそが最大の課題です。
参照: ISA/IEC 62443-3-3:2013、セクション4.2.3.3（ファイアウォールと構成管理）; ISA/IEC
62443-2-1:2009、セクション6.3.2。

ISA/IEC 62443-2-1のSP要素3「ネットワークおよび通信セキュリティ」では、重要なシステムを外部の脅威から保護するために、IACSゾーンと非IACSゾーン間のセグメンテーションを重視しています。IACSを分離することで、攻撃対象領域が縮小され、アクセスが信頼できるソースのみに制限されます。
「IACS ネットワークをビジネスおよびその他の外部ネットワークから分離することは、攻撃ベクトルを制限し、重要な制御システムを不正アクセスやマルウェアの拡散から保護するための重要な戦略です。」
- ISA/IEC 62443-2-1:2010、第4.3.4項 - SP要素3
これは、「多層防御」戦略の基本的な要素です。
参考文献:
ISA/IEC 62443-2-1:2010 - SP要素3
ISA/IEC 62443-1-1 - ゾーンとコンジット