モデルケースについて——本ページは、当社の技術・製品（Previento / GENBA Gate / クラウド・組込の構築）で構成した架空の事例です。業種・規模・システム構成は典型例として設定したもので、実在の企業・案件とは関係ありません。攻撃の手口は、防御のために一般に知られている範囲で記載しています。
想定するシステムと課題
地方に工場を持つ製造業で、生産設備の保守を設備メーカーと当社がリモートで行っているモデルケースです。保守のために工場のネットワークへ外部から入る経路があり、VPN機器は設置から数年、ファームウェアは更新されていませんでした。設備のPLCや監視PCには、複数の保守業者が共有するアカウントでログインしていました。
製造業を狙った攻撃の報道をきっかけに、「保守の回線が侵入口にならないか」「誰がいつ入ったか分かる状態にしたい」というご相談を想定しています。
AIによる攻撃は、こう来る
ATTACK SCENARIO
- VPN機器のスキャン——脆弱性が公開されたVPN機器の型番とバージョンを、インターネットからの応答で機械的に探す。古いファームウェアはこの時点で候補になる
- パスワードリスト攻撃——他サービスから流出したIDとパスワードの組を、VPNと保守用の踏み台に試す。共有アカウントは使い回しのパスワードになりやすい
- 正規ログイン——当たったパスワードで、業務時間外に海外の接続元からログインする。認証は「成功」なので、ログには正常なログインとして残る
- 横展開——踏み台から工場内のPCやPLCへ、保守ツールを使って接続する。保守業者の操作と見分けがつかない
- 破壊・身代金——設備の設定変更やランサムウェアの展開。生産停止につながる
このケースでは、攻撃の多くが「正規の認証を通ったあと」に起きるのが特徴です。WAFのような入口のパターン検知では止まりません。入口を物理的に絞ることと、「正規に見えるログインが、ふだんと違う」ことに気づく監視の両方が必要です。
課題と解決アプローチ
⚠ CHALLENGE（課題）
- VPN機器のファームウェアが数年間未更新で、脆弱性が公開済み
- 保守業者が共有アカウントでログイン。誰が入ったか分からない
- 多要素認証なし。接続元の制限なし
- 工場内ネットワークが分離されておらず、踏み台から全設備に到達できる
- ログイン履歴・管理者操作の記録を誰も見ていない
→
✅ SOLUTION（解決策）
- 拠点間VPNゲートウェイ GENBA Gate で、保守拠点と工場を固定の経路で接続
- 保守元IPの制限と多要素認証。業者ごとに個別アカウント
- 工場内を設備ごとにセグメント化し、踏み台から到達できる範囲を限定
- Previento で VPN・SSH のログイン、sudo 操作、接続元・時間帯の異常を24時間判定
- 見慣れない接続元・時間帯のログイン成功は重大として即時通知、必要なら遮断
防御の構成（従来型の層 ＋ AIの層）
インターネット（VPNスキャン・パスワードリスト攻撃） │ ▼ [入口] 拠点間VPN GENBA Gate ── 保守拠点（固定IP）と工場を固定経路で接続 │ 保守元IP以外は接続不可、ファームウェアは当社が更新管理 ▼ [認証] 多要素認証 ＋ 業者ごとの個別アカウント（共有アカウント廃止） │ ▼ 保守用踏み台サーバー（工場 DMZ） ├─ [監視] Previento エージェント ── VPN・SSH ログイン、sudo 操作、FTP 転送を収集 │ │ │ ▼ │ Previento（クラウド） │ ├─ 失敗の連続 → 成功（パスワードリスト攻撃の成功）を重大で通知 │ ├─ 見慣れない接続元・国・時間帯からのログイン成功を「要確認」 │ ├─ 管理者権限（sudo）でのふだんと違う操作を可視化 │ └─ 重大 → 遮断 ＋ LINE / Slack 通知 ▼ [公開範囲] 工場内セグメント（設備A / 設備B / 監視PC） ── 踏み台から到達できる設備を限定
凡例：緑＝従来型の防御（ファイアウォール・WAF・VPN・認証・分離）／青＝AIによる監視・判定（Previento）／赤＝攻撃
AIは、ここで何を判定するのか
- 「失敗の連続のあとの成功」を重大にする——VPN や SSH への失敗が続いたあとに同じ接続元から成功した場合、パスワードが当てられた可能性が高い。失敗だけの試行は警告に留め、成功で初めて重大にする
- 接続元と時間帯の「ふだん」を学ぶ——保守業者の接続元IPと作業時間帯を信頼済みとして登録し、それ以外の国・時間帯からの成功ログインを「要確認」として示す。正規の認証を通った攻撃に気づく唯一の手がかりは、この「ふだんとの違い」
- 管理者操作をたどれるようにする——誰が、いつ、管理者権限でどのコマンドを実行し、どのファイルを転送したかを一覧にする。設備の設定変更が「保守作業か、攻撃か」を、あとから確認できる
- 機器の更新漏れを管理する——VPN機器・踏み台のファームウェアとOSのサポート期限を管理し、脆弱性の公開に合わせて更新を提案する。AIの監視は、更新までの「穴が開いている期間」を短くするための時間稼ぎでもある
GENBA Gate は当社が開発した拠点間VPNゲートウェイで、現場側に装置を1台置くだけで、オフィス・保守拠点と現場をセキュアに接続します。入口を固定することで、監視すべき対象も絞られ、AIの判定の精度が上がります。
導入ステップ（想定）
Week 1
現状調査
VPN機器の型番・ファームウェア、アカウント一覧、工場内ネットワークの到達範囲を読み取りで確認。設備を止めない
Week 2
暫定策
VPNの接続元IPを保守拠点に限定、共有アカウントのパスワード変更、不要アカウントの停止
Week 3-5
GENBA Gate 設置とセグメント化
工場に GENBA Gate を設置して保守経路を固定。設備ごとのセグメント化は生産の空き時間に実施
Week 4
認証とPreviento
多要素認証と個別アカウントへ切り替え。踏み台に Previento エージェントを置き、保守業者の接続元を信頼済みに登録
Week 6〜
継続
接続レポートの月次確認、ファームウェア更新、再診断