NIC二枚挿しによるネットワーク分割はなぜ危ないのか：NIST SP800-82より考察

NECサイバーセキュリティ戦略本部セキュリティ技術センターの日下部です。 エンジニアの方にとって、システムのネットワーク構成を設計する機会は多々あるかと思います。 ネットワーク構成を検討する際、機器の役割や設置場所によって異なるネットワークアドレスを付与するネットワーク分割を実施することになります。ネットワーク分割の方法はファイアウォールやルータといった装置での分割の他に、サーバやPCに二枚のNIC（Network Interface Card）を使用してネットワークを分割するいわゆる”NIC二枚挿し”という方法もあります。しかし、この方法はセキュリティ上推奨しないという考え方があります。 本記事では、セキュアな産業制御システム（ICS : Industrial Control System）を構築するためのガイドであるNIST SP800-82を参考にNIC二枚挿しによるネットワーク分割

[Hiro0138]

<ﾎﾞｿｯ>一枚でも複数ネットワーク設定できるけどね</ﾎﾞｿｯ>

[kuzumimizuku]

最近はさすがに……と思ったけど、今こういう記事が書かれるということはまだまだ2枚刺しでネットワーク分割を行う管理者がいるということなのか(知らないのか、予算/環境的にこれしかできないのかはわからないけど)

[t_motooka]

この構成で運用してるのを見たことはあるけども自分で組んだことは無いな。何より、設定が複雑になることで間違えて抜け穴を作っちゃいそうだから、自分ではやりたくない。

[honma200]

官公庁やら別会社の窓口用ネットワークに繋ぐための構成の話かなぁと。あと、踏み台サーバーみたいなやつとかかね

[kagehiens]

自宅でこれやるのが仲間内での一種のステータスだった時が……。

[meganeya3]

そんな雑なゲートウエイに許可が出るほうがおかしい

[sin20xx]

自治体の話だと文化的に昔は行政系ネットワーク（業務系／富士通強い）と消防系ネットワーク（災害対策本部等／NECやNTT系強い）のような複数の独立したネットワークがあり、LGWANの普及でこの辺りが再編されてるのかも

[ssids]

タイトルがいまひとつかな？「NIC二枚差し『による』ネットワーク分割」ではなく、「安直なサーバのマルチホーム」が危ない、というのがこのNIST文書の心だと思う / そもそも FW とかほぼ PC だったりするわけで

[pascal256]

ITとOTのGWを雑に作るなと言う話か。それはそう。FWとか踏み台サーバは気を付けないと。NIC2枚刺しなので各サーバに業務LANと管理LAN設定みたいな話かと思って混乱したｗ

[sabacurry]

OT扱う業界だと一般的な構成だけど、あまり危機感を持ってもらえない。こうやってまとめてもらえると助かる。

[hdkINO33]

原典の5.5節の「データヒストリアンにNICを2枚挿しして企業・制御NWを跨らせるのはやめとけ」という話っぽい https://www.jpcert.or.jp/research/2016/NISTSP800-82r2_20160314.pdf / まあちょっと頑張って5.5.4くらいにはしておきたい

[sora_h]

わかる。

[dorje2009]

NIC二枚刺しが全部ダメと言ってるわけじゃなく、セキュリティ境界を目的とするならダメって話では。

[toshi_itoujp]

“ブログ ”

[yyamano]

“業務経験の浅い人であれば、構成図を鵜呑みにしてNIC二枚挿しの方法でネットワークを構築する可能性もあり、注意が必要です。”

[rryu]

分割というより繋げているからファイアウォール的な機能を自前で構築しないとただ繋がっただけになってしまうという。

[atahara]

まあ、そうだろうなあ。/陽一氏ではなくお若い方だった。

[rawwell]

"企業ネットワーク側のサーバやPCに格納されているファイルを制御ネットワーク側のサーバやPCへ、あるいはその逆を容易に行うことができ、それぞれのネットワークに格納されているファイルが混在する可能性"

[alovesun]

これなぁ、やる奴いるんだよな……（状況はそれぞれにあるやろうけど、褒められたもんではない）

[UDONCHAN]

ソフト的な脆弱性なんだナー

[hiby]

何言ってんのか一瞬理解しがたかったけどFWないのか。そらあかんわ。

[ys0000]

制御NWと呼ばれる環境がどれほどのセキュア要件を求められているかにもよるのかな。VMでPrivateNW作った場合も該当図の制御NWに該当するし。DMZとの分離だったら勿論FW使うだろうし、程度問題な気がする。

[sonots]

自作PCでやったな

[agricola]

その「ファイアウォール」ってのもコントローラ２つでネットワーク分割してるよね？下手すると中身はLinuxだし？と思っちゃうんだけどな。あとHPCでは管理とMPIとストレージでトラフィック分離させるとかザラです。

[tofu-kun]

中学生の時に自作ルータ作るために2枚挿しした思い出が蘇った。

[louise_kunka]

最近だとオンライン資格確認案件の端末要件にNIC複数の指定があってｵﾛﾛﾛﾛﾛってなった。https://www.mhlw.go.jp/content/10200000/000623527.pdf

[toubanjanny]

社内検証環境とつなぐ踏み台とかによくやるけど、商用ではまぁやめたほうがいいよね。

[haruyato]

最新のオンライン資格確認はNIC2枚差しが一般構成だよー。1枚で構成したら怒られたよー。

[ene0kcal]

①②は直接的な危険性の指摘ではなくて分類や整理性のことで、③が直接の危険性（セキュリティ）の指摘。

[memoryalpha]

“企業側のネットワークで発生したマルウェア感染などのセキュリティインシデントが制御側に広まった場合に制御機器を通して現実空間に被害が及ぶ”

[NOV1975]

この手のはどっちの口もガチガチに固めてやるやつ以外は見たことなかったけど一般的にこういうふうにやられることあるのね…ルータに刺してるのと変わらんのでは

[Gim]

答え：Windowsのルーティング実装が糞だから。じゃないの？特にコンピュータ名＝ホスト名にしている場合がやばいので、外部向けサービスのホスト名はコンピュータ名とは違う名称にするのが基本だよね？

[ysync]

なんか、なぜというか、雑になりがちだからよせとしか。インフラ周りに複数ベンダ入れるなと同程度の話？

[quabbin]

まだちょくちょく残っているんだよなぁ。帯域確保以外の目的では意味ないのだけど、NIC多数をベースにアプリ設計されていて分離できず、全部作り直し以外の選択肢がない場合がある。変なところに依存しないで欲しい

[tomoyarn]

トップブコメが謎すぎる・・・。ゲートウェイの話なんかしていないよね。ネットワーク分割とゲートウェイは別々に考えるのが基本なんだが。

[tamasuji]

なんでこんな記事がホットエントリに。

[geonoize]

IPAの試験でよく見るやつだ。

[tonocchokun]

そういうコンピュータって社内政治における敗北の痕跡だったりすんだろうな

[b-wind]

うーん。