工場に数百台の接続デバイスがある。それらが何をしているか、把握できていますか？

IPカメラ、PLC、空調コントローラ、入退室管理パネル、スマートメーター。現代の企業はセキュリティを考慮せずに設計されたデバイスで満ちており、多くの組織はそれらのデバイスがネットワーク上で何をしているのかを把握できていません。

これがIoT・OTセキュリティのギャップです。そしてそのリスクは年々拡大しています。

接続デバイスが抱える構造的な問題

従来のエンドポイントセキュリティ——アンチウイルス、EDRエージェント、パッチ管理——はIoT・OTデバイスには適用できません。PLCにエージェントをインストールすることはできませんし、生産ラインを止めずにビルコンを更新することも困難です。これらのデバイスは何年もの間、静かにネットワーク上に存在し続け、重大なブラインドスポットを形成します。

攻撃者はこの事実を熟知しています。産業制御システム、IPカメラ、スマートビル設備はすでに国内外の重大インシデントで悪用されています。攻撃の標的はデバイス自体でなくても、そのデバイスを足がかりとして内部ネットワークへの横展開が行われます。

OT/IoTセキュリティ監視の実際の構成

デバイス自体に何もインストールする必要はありません。パッシブネットワークモニタリング——OTネットワークセグメントにセンサーを配置する——ことで、デバイスに一切触れずにすべてのトラフィックを可視化できます。

モダンなオープンソースIoT/OTセキュリティスタックの構成：

• パッシブネットワークセンサー（ZeekまたはSuricata）をOTセグメントに配置——業務を止めずに全トラフィックを監視
• プロトコル認識型の検知——Modbus、BACnet、MQTTなどの産業プロトコルを解析し、異常な挙動をフラグアップ
• デバイスインベントリとフィンガープリンティング——ネットワーク上のデバイスを自動検出し、未知のデバイスが接続された際にアラート
• SIEM統合（Wazuh + OpenSearch）——IoTアラートをセキュリティ全体のポスチャと相関分析
• 自動ケース作成（DFIR-IRIS）とアラート（PagerDuty / Slack）——通知を受け取るだけでなく、チームが確実に対応できる仕組み

flowchart TD
    subgraph OT["OT / IoT Network Segment"]
        D1[PLC / SCADA]
        D2[IP Cameras]
        D3[HVAC / BMS]
        D4[Smart Meters]
    end

    TAP["Passive Sensor — Zeek / Suricata\n(no agent install required)"]

    subgraph SIEM["SIEM — Wazuh + OpenSearch"]
        DEC["Custom Decoders\nModbus · BACnet · MQTT"]
        INV["Device Inventory & Fingerprinting"]
        COR["Alert Correlation & Rule Engine"]
    end

    subgraph RESPONSE["Incident Response"]
        IRIS["DFIR-IRIS\nCase Management"]
        SOAR["Shuffle SOAR\nPlaybook Automation"]
        ALERT["PagerDuty / LINE Notify\nOn-call Alerting"]
    end

    IT["IT Network\nServers · Endpoints · FortiGate · VMware"]

    OT -->|mirror port / TAP| TAP
    TAP --> DEC
    TAP --> INV
    DEC --> COR
    INV --> COR
    IT -->|syslog / agent| COR
    COR --> IRIS
    IRIS --> SOAR
    SOAR --> ALERT

結果として、サーバー・エンドポイントだけでなく、施設内のすべての接続デバイスをカバーする統合SOCが実現します。

オープンソースがコスト構造を変える

Claroty、Nozomi Networks、DragosといったエンタープライズOTセキュリティプラットフォームは強力ですが、その価格設定は大企業向けです。製造業、ファシリティ管理、医療機関の中堅企業にとって、そのコストを正当化することは容易ではありません。

オープンソースベースのIoT/OTモニタリングスタックは、同等のコア機能——パッシブ可視化、異常検知、自動アラート——を大幅に低いコストで実現します。重要なのは、技術と現場環境の両方を理解している実装パートナーを選ぶことです。

Simplicoのアプローチ

Simplicoは、製造業、物流、エンタープライズIT分野のクライアント向けにSOCインフラを構築してきました。私たちのスタック——Wazuh、OpenSearch、DFIR-IRIS、Shuffle SOAR——はすでにWindows、Linux、FortiGate、VMware環境で本番稼働しています。

そのスタックをIoT・OTネットワークに拡張することは自然な進化です。パッシブセンサーを展開し、対象デバイスに合わせたカスタムWazuhデコーダーを作成し、既存のダッシュボードとアラートパイプラインにすべてを統合します。

soc-integrator：一本化されたパイプライン、手動対応ゼロ

これを実運用で機能させる鍵となるのが、私たちが自社開発した Simplico soc-integrator です。FastAPIで構築されたミドルウェアサービスで、SOCスタック全体を自動的に連携させます。

Wazuhがアラートを発報すると、soc-integratorが即座に処理を引き継ぎます。DFIR-IRISに構造化されたケースを自動作成し、Shuffle SOARで適切なプレイブックを起動し、PagerDutyでオンコール担当者に通知する——すべてが人手を介さずに完結します。IoT・OT環境においてこれは特に重要です。デバイスの異常は、検知から対応まで数分ではなく数秒で完結しなければならないからです。

オープンソースSOCツールを導入した多くの組織は、各コンポーネント間のWebhookやAPIブリッジを手動で設定するために数週間を費やします。soc-integratorはその統合作業をあらかじめ実装・検証済みの状態で提供します。チームはインシデント対応に集中でき、連携設定の問題に時間を奪われることがありません。

既存システムの刷新は不要。高額なライセンスも不要。これまで見えていなかった領域への可視性と、確実にループを閉じるレスポンスパイプラインを提供します。

自社ネットワーク上で実際に何が起きているかを確認する準備はできていますか？ hello@simplico.net またはウェブサイト simplico.net からお気軽にご相談ください。