【ITニュース解説】Air-Gapped Systems Explained: Architecture, Security, Limitations & Real-World Use Cases

システムエンジニアを目指す皆さんにとって、コンピュータやネットワークのセキュリティは非常に重要なテーマだ。特に、最も厳重なセキュリティが求められる場面で活用されるのが「エアギャップシステム」という考え方である。エアギャップとは、一言で言えば、コンピュータやネットワークをインターネットや他の信用できないネットワークから意図的に物理的に完全に切り離すセキュリティ手法だ。Wi-Fi、イーサネットケーブル、通常のLAN接続など、あらゆるネットワーク経路を断つことで、外部からの不正アクセスや攻撃を防ぐことを目指す。これは、ファイアウォールがネットワーク通信を監視し、許可されたものだけを通すのとは根本的に異なる。ファイアウォールがあってもネットワーク自体は存在しているが、エアギャップはネットワーク経路そのものを物理的に除去する。また、ネットワークセグメンテーションがネットワーク内を複数の区画に分け、区画間の通信を制御するのに対し、エアギャップは外部ネットワークとの間に一切の通信を許さないという、より厳格な隔離を実現する。

エアギャップは、システムが侵害された場合に極めて深刻な結果を招く可能性がある環境で採用される。例えば、社会を支える重要なインフラ、工場などの産業制御システム、機密性の高い研究が行われる研究所、軍事システム、特別な企業環境などがこれに該当する。その主な目的は、攻撃の対象となる範囲（アタックサーフェス）を減らし、外部からの直接的なリモートアクセスを阻止し、もし万が一内部に侵入されても他のシステムへの横方向の動き（ラテラルムーブメント）を制限することにある。これにより、攻撃者にかかるコストを大幅に増やし、攻撃の成功を困難にさせる。

しかし、エアギャップシステムであっても、完全に外部とのやり取りなしに運用することは難しい。例えば、ソフトウェアの更新が必要になった場合、インターネットから直接ダウンロードすることはできない。ここで重要になるのが、「データの移動」をいかに安全に行うかという点だ。通常、外部のコンピュータからデータを一度「転送ステーション」と呼ばれる中間地点に移し、そこで厳重なセキュリティチェックを経て、承認されたリムーバブルメディア（USBドライブなど）を使ってエアギャップシステムに手動で持ち込まれる。このプロセス全体がセキュリティ境界の一部となるため、非常に重要だ。特にUSBドライブのようなリムーバブルメディアは、ネットワーク経路が遮断されている環境において、外部からのマルウェア侵入の最も弱いリンクとなり得る。悪意のあるコンテンツがリムーバブルメディアを介して持ち込まれれば、隔離されたコンピュータも危険にさらされる可能性があるため、リムーバブルメディアは単なる記憶装置ではなく、厳しく管理されたインターフェースとして扱う必要がある。

データを安全に転送するためには、多段階の検証プロセスが不可欠だ。具体的には、外部から持ち込まれたファイルを転送ステーションでマルウェアスキャンにかけ、ファイル形式の検証、そして「デジタル署名」の確認を行う。デジタル署名は、そのファイルが誰によって作成され、改ざんされていないかを保証するための重要な技術だ。単なる「ハッシュ値」（ファイルの内容から計算される一意の短い文字列）だけでは、ファイルが改ざんされていないことは確認できるが、そのファイルが信頼できる提供元から来たものかどうかまではわからない。デジタル署名はこの「信頼性」を保証してくれる。これらの検証とポリシー承認を経て初めて、データは承認されたメディアに転送され、エアギャップシステムへ持ち込まれる。さらに、システムへインストールする直前にも再度検証を行うことで、偶発的または悪意のある改変のリスクを低減できる。

一部の非常にセキュリティ要件の高い環境では、情報が特定の方向へしか流れないようにする必要がある場合がある。例えば、産業用ネットワークから監視ネットワークへデータ（テレメトリー情報など）を送信するが、監視ネットワークから産業用ネットワークへは一切のコマンドやデータが戻らないようにしたい場合だ。このような場合に「データダイオード」やその他の単方向ゲートウェイが用いられる。これにより、逆方向への通信経路を物理的・論理的に強制的に遮断し、さらなる攻撃経路を閉ざすことができる。

エアギャップはリモートからのネットワーク攻撃経路を大幅に削減するが、それが完全なセキュリティを意味するわけではない。悪意のあるリムーバブルメディア、ソフトウェアのサプライチェーン攻撃、不正な物理アクセス、悪意のある周辺機器、ファームウェア攻撃、内部犯による脅威、人為的なミス、アプリケーションの脆弱性など、ネットワーク以外にも多くの脅威が存在する。そのため、エアギャップシステムであっても、物理的なセキュリティ対策、厳格なアクセス制御、安全なソフトウェア開発、制御されたデータ転送手順、システムの監視、そして緊急時の対応計画といった、複数のセキュリティ対策を組み合わせた「多層防御」の考え方が不可欠だ。人間が関わるプロセスも重要なセキュリティ境界となるため、適切なトレーニング、承認ワークフロー、メディア管理、監査、最小権限の原則などが求められる。

エアギャップシステムも、使用するオペレーティングシステム、アプリケーション、ライブラリ、ドライバー、ファームウェアなど、多くの外部のソフトウェアに依存している。もしこれらのソフトウェアの供給元（サプライチェーン）に悪意のあるコードが紛れ込んでいれば、エアギャップはそれを自動的に検知できない。だからこそ、ソフトウェアの出所を確認し、依存関係をレビューし、デジタル署名を活用した信頼性の高い更新プロセスが重要になる。また、「ゼロトラスト」という考え方があるが、これは「決して自動的に信用せず、常にアクセスを検証し、最小限の権限を与え、継続的に評価する」というもので、エアギャップの「ネットワーク隔離」とは異なるが、高セキュリティ環境ではこの二つを組み合わせることで、より強固なセキュリティ体制を築ける。

システムエンジニアを目指す皆さんの中には、モバイルアプリ開発に興味がある人もいるだろう。Androidデバイスは、工場や鉄道、特定の業務端末など、インターネット接続が制限される環境で使われることがある。このような場合、「オフラインファースト」という設計思想が重要になる。これは、インターネットがなくてもアプリが主要な機能を継続して使えるようにする考え方だ。しかし、オフラインファーストは、エアギャップのような「意図的なセキュリティ隔離アーキテクチャ」とは異なる。エアギャップされたAndroidデバイスでは、ローカルデータベース、ファイル、ログ、キャッシュされたコンテンツ、認証情報、暗号鍵などの機密情報を保護する必要がある。リムーバブルメディアを介してデータやアップデートをインポートする場合にも、前述の厳格な検証プロセスが必須となる。Androidのプラットフォームが提供するセキュリティ機能（Android Keystoreなど）を適切に活用し、最小限の権限で動作させることが求められる。

どのようなセキュリティ対策を講じるべきかは、「脅威モデル」に基づいて判断すべきだ。脅威モデルでは、リモートからのネットワーク攻撃だけでなく、物理的な攻撃、サプライチェーン攻撃といったあらゆる脅威の経路を考慮し、それぞれに対する対策を設計する。エアギャップの導入は、システムが侵害された場合の潜在的な影響が、隔離に伴う運用コスト（手動更新、データ交換の遅延、リモートサポートの困難さなど）を上回る場合に検討される。一般的なアプリケーションであれば、セキュアなネットワーク、ファイアウォール、TLS、強力な認証、最小権限、監視といった組み合わせの方が、コストとセキュリティのバランスが良い場合が多い。

エアギャップは、リモートからのネットワーク攻撃経路を遮断するという強力な効果を持つ。しかし、それによってすべてのセキュリティ問題が解決するわけではない。ネットワーク経路を断った後は、残された脅威経路、例えば物理的なアクセス、リムーバブルメディア、サプライチェーン、人為的ミスなど、他の経路に焦点を当ててセキュリティ対策を構築する必要がある。最終的なエアギャップシステムは、単にネットワークケーブルがないだけではなく、ネットワーク、ソフトウェア、ハードウェア、データ転送プロセス、運用に関わる人々、物理セキュリティ、サプライチェーンといったあらゆる側面を含んだ総合的なセキュリティ境界によって守られている。システムエンジニアとして、エアギャップを単なる「インターネットに繋がっていないコンピュータ」ではなく、データ転送の境界、信頼関係、脅威モデル、そして多層防御のアーキテクチャ全体として理解することが、真のセキュリティ問題に取り組む上で不可欠である。