遠隔保守用IP-KVMスイッチとリモート電源の選び方

拠点のサーバが応答しなくなり、SSHもリモートデスクトップも通りません。現地に行けば電源ボタンを押すだけで済むのに、片道二時間かかります。この状況を解消する道具が、画面とキーボードをネットワーク越しに引き出すIP-KVM(KVM over IP)と、コンセント単位で電源を入り切りできるリモート電源です。どちらも導入すると、深夜の出動が数分の作業に変わります。

一方で、この二つは「OSが動いていなくても操作できる」という性質を持ちます。届く範囲は機能ごとに違います。IP-KVMやBMCの遠隔コンソールは、OSが起動する前のBIOS/UEFI設定や起動デバイスの選択に手が届き、仮想メディア機能を持つ機種では別のOSイメージを起動させられます。リモート電源が持つのは通電の入り切りだけで、BIOS操作や仮想メディアの機能はありません。IP-KVM側の電源操作も、PiKVMのようにATX配線を追加した場合や外部のリモート電源と併用した場合に成立します。OS稼働中のキーボード操作自体はOSのログイン画面に阻まれますが、起動前の層と電源の層はOS側の認証やEDRの外側にあります。仮想メディアや電源制御まで揃った管理画面を奪われると、起動対象の差し替えから電源断までを一つの画面で続けて実行されるため、被害は普通のサーバ侵害より深く出ます。CISAは2013年の注意喚起の時点で、攻撃者がIPMIを使えば実質的に物理レベルのアクセスを得られ、再起動や新しいOSの導入やデータの侵害をOSの制御を迂回して行えると書いています。

そこでこの記事は、遠隔保守の便利さを取りに行きつつ、その経路自体を守る前提で機種を選ぶ手順を整理します。物理的な収納や停電対策、ネットワーク分離そのものの設計は別記事に譲り、ここでは管理経路の認証と暗号化と分離と証跡に絞ります。なお本記事はアフィリエイトリンクを含みます。紹介する製品の効果や適合性を保証するものではなく、購入判断はご自身の用途に照らしてお願いします。詳細は広告およびアフィリエイトについてをご覧ください。

管理経路そのものが侵入口になる#

遠隔保守の道具を入れると、ネットワーク図に新しい線が一本増えます。この線は業務通信とは別に、機器の最深部へ届きます。攻撃者から見れば、業務システムを一つずつ攻めるより、この線を一本奪うほうが効率が良い構図です。

CISAは2023年6月13日付の拘束的運用指令BOD 23-02で、連邦民間機関に対し、ルーター、スイッチ、ファイアウォール、VPN集約装置、プロキシ、ロードバランサ、そしてiLOやiDRACのような帯域外サーバ管理インタフェースを対象に、該当する管理インタフェースを発見してから14日以内に、インターネットから外して内部ネットワークからのみ到達できるようにするか、インタフェース自体とは分離されたポリシー実施点でアクセス制御を行うゼロトラストの仕組みを配備することを求めました。この指令は連邦機関向けの規則で、民間企業に法的な義務が生じるわけではありません。ただし、対象として挙げられた機器の種類と、二つに絞られた対処方法は、そのまま社内の設計指針に読み替えられます。

CISAのBOD 23-02(2023年6月13日発出)は、対象をルーターやスイッチ、ファイアウォール、VPN集約装置、プロキシ、ロードバランサ、およびiLoやiDRACのような帯域外サーバ管理インタフェースとし、該当インタフェースの発見から14日以内に、インターネットから切り離して内部ネットワーク経由のみとするか、インタフェースとは別のポリシー実施点でアクセス制御を強制するゼロトラストアーキテクチャの機能を配備することを求めています。

国内でも同じ方向の注意喚起が出ています。IPAは2025年10月31日に、VPN機器などがORB(Operational Relay Box)化して攻撃の中継地点に使われるおそれについて注意喚起を出し、対策として管理インタフェースを外部ネットワークへ公開しないこと、不要なサービスとポートを無効化すること、ベンダの提供する修正プログラムを速やかに適用すること、サポートの切れた機器の更新や廃棄を検討することを挙げています。管理画面をインターネットに出したまま放置する運用は、自社が侵害されるだけでなく、他者への攻撃の踏み台にされる形で外に迷惑をかける段階に入っています。

IPAはVPN機器等のORB化を伴うネットワーク貫通型攻撃に関する注意喚起で、管理インタフェースを外部ネットワークに公開しないこと、不要なサービスやポートを無効化すること、機器ベンダが提供する脆弱性修正を速やかに適用すること、サポートが終了した機器の更新または廃棄を検討することなどを対策として示しています。

導入判断の順序は、機種を決めてから守り方を考えるのではなく、到達経路を先に決めて、その経路で運用できる機種を選ぶ形になります。ネットワークをどう区切るかという土台の設計は、こちらの記事で整理しています。

あわせて読みたい

家庭と小規模オフィスでIoT機器を隔離するVLAN対応スイッチの選び方

BMCとIP-KVMの守備範囲の違い#

サーバを買うと、多くの機種にはBMC(ベースボード管理コントローラ)が載っています。DellのiDRAC、HPEのiLO、その他の各社実装がこれにあたり、IPMIやRedfishといったインタフェースで操作します。NIST SP 800-193は、BMCがサーバプラットフォームに付随する帯域外管理デバイスであり、ホストOSが動作していなくてもプラットフォームを管理できるようにするものだと説明したうえで、現代のサーバやクライアントの多くがBMCやMEを搭載しているため、そのファームウェアがホストプロセッサのセキュリティ領域の完全性に悪影響を与えないことが決定的に重要だとしています。

NIST SP 800-193(Platform Firmware Resiliency Guidelines、2018年5月)は、BMCがサーバプラットフォームに関連する帯域外管理デバイスとして、ホストOSの稼働を必要とせずプラットフォームを管理する機能を中核に持つこと、そして現代のサーバやクライアントの大半がBMCやMEを含むため、そのファームウェアがホストプロセッサのセキュリティドメインの完全性に悪影響を及ぼさないことが重要であることを示しています。

BMCがあるならIP-KVMは不要か、という問いへの答えは用途で分かれます。整理すると次のようになります。

デスクトップ機や産業用PC、BMCを持たないミニPC、ネットワーク機器のコンソールといった対象では、BMCという選択肢がそもそもありません。逆に、BMC搭載サーバばかりの環境でIP-KVMを重ねると、守るべき管理面が二つになります。BMCの遠隔コンソールが使える環境では、まずBMCの認証と分離を固めるほうが投資対効果が高くなります。

もう一つ、IP-KVMには「攻撃対象機器をネットワークから直接見えなくする」という使い方があります。IPAの産業サイバーセキュリティセンターが2024年7月に公開した「制御システムへのリモートアクセスに関するセキュリティ対策指南書」は、中継サーバーとHMI/EWS端末の間をIP-KVMでメディア変換する構成を模擬プラントで検証し、両者をネットワーク上分離することでリモートアクセス端末からHMI/EWS端末への攻撃を防げたと報告しています。同時に、検証に使ったIP-KVM装置ではIP-KVMに対するDoS攻撃によって遠隔操作が不能になったことも書かれており、考察として、IP-KVM自体が攻撃対象となる可能性があること、前段のVPN機器の適切な設定とソフトウェア更新が必要であること、そしてIP-KVMのセキュリティ機能や攻撃を受けた場合の挙動を調査して目的に合ったものを選定することが重要だとまとめています。

IPAの指南書(2024年7月、産業サイバーセキュリティセンター中核人材育成プログラム卒業プロジェクト)は、IP-KVMを介したメディア変換により中継サーバーとHMI/EWS端末をネットワーク上分離できた一方で、IP-KVM装置へのDoS攻撃により遠隔操作が不能になったことを検証結果として記載し、IP-KVM自体が攻撃対象となりうるため前段機器の設定と更新、およびセキュリティ機能と被攻撃時の挙動を調査したうえでの選定が重要だと述べています。

つまりIP-KVMは、通信を止める壁として置くと守りの層が一枚増える一方で、その壁自体の可用性と堅牢性が新しい単一障害点になります。冗長化するのか、止まったら現地対応に切り替えるのかを、導入前に決めておく話になります。

認証をどこまで固められるか#

管理経路の認証は、通常の業務システムより一段厳しく設計します。NIST SP 800-53 Rev.5のMA-4(非ローカル保守)は、非ローカルの保守と診断の活動を承認して監視すること、非ローカルの保守および診断のセッションを確立する際に強力な認証を用いること、活動の記録を維持すること、保守が完了したらセッションとネットワーク接続を終了することを求めています。解説では、強力な認証とはリプレイ攻撃に耐える認証子と多要素認証を用いるものだと説明されています。

NIST SP 800-53 Rev.5のMA-4は、非ローカル保守と診断活動の承認と監視、組織方針に沿った保守ツールの使用、セッション確立時の強力な認証、活動記録の維持、保守完了時のセッションとネットワーク接続の終了を求めており、強力な認証はリプレイ耐性のある認証子と多要素認証を用いるものだと解説しています。

IPAの指南書も、リモートアクセス時に多要素認証を必須にする設定を行うこと、パスワードに加えて認証コードやハードウェアトークン、スマートフォンのAuthenticator、生体認証などを導入すること、デフォルトのクレデンシャルはすべて削除するか変更すること、認証失敗時のアカウントロックと一定時間未使用でのセッション自動切断を設定することを推奨事項として挙げています。デフォルト資格情報の扱いは特に重要で、CISAの2013年の注意喚起は、IPMIの認証用パスワードが平文で保存されていること、一つのパスワードを知ることで管理下の複数システムへアクセスできてしまうこと、多くの機器で「cipher 0」が有効なまま出荷され認証の迂回を許すことを指摘しています。

CISAのIPMIに関する注意喚起は、IPMI認証のパスワードが平文で保存されること、一つのパスワードの入手で管理対象システム全体へ横断的にアクセスできること、BMCとの通信の一部が暗号化されないこと、cipher 0が既定で有効な機器では認証を迂回できること、BMCの侵害を検知するツールがほとんど存在しないことを挙げ、IPMI通信を信頼できる内部ネットワークに限定し、強固で一意なパスワードを設定し、可能なら暗号化を有効にし、匿名ログインとcipher 0を無効化することを勧めています。

製品選定では、認証機能を三段階で見ます。第一に、利用者ごとにアカウントを分けられるか。共有の管理者アカウント一つで運用する機種は、誰が操作したのかを後から特定できません。第二に、社内のディレクトリと連携できるか。退職や異動のたびに機器ごとの設定を触る運用は、台数が増えると必ず漏れます。第三に、多要素認証を機器側で持てるか、あるいは前段のゲートウェイで担保するか。機器単体で完結させる場合はTOTPの対応が判断材料になります。

小規模で一台から始める場合、機器内でTOTPを持てる製品が扱いやすくなります。

通信の暗号化と管理画面の到達範囲#

NIST SP 800-53のAC-17(リモートアクセス)は、許可するリモートアクセスの種類ごとに利用制限と構成および接続要件と実装指針を定めて文書化し、接続を許す前にそれぞれのリモートアクセスの種類を承認することを求めています。管理強化(2)は、リモートアクセスセッションの機密性と完全性を守る暗号機構の実装を、管理強化(3)は、リモートアクセスを許可され管理されたネットワークアクセス制御点を経由させることを挙げています。IPAの指南書も、すべてのリモートアクセスセッションで中間システムまでの通信にTLSやSSHなどの暗号化技術を利用することを推奨事項に置いています。

実機の仕様では、次の三点を見ます。第一に、Web UIがHTTPSで提供され、証明書を自前のものに差し替えられるか。第二に、映像とキーボードとマウスと仮想メディアのデータが暗号化されるか。第三に、平文のプロトコル(Telnet、SNMPv1/v2c、HTTP)を無効化できるか。TelnetやSNMPv1しか持たない機種は、管理VLANの中に閉じ込める前提でなければ使えません。

クラウド経由の遠隔接続を持つ製品では、その経路の作りも確認します。JetKVMの公式ドキュメントは、リモートアクセスがWebRTCで行われ、データの暗号化にDTLS、メディアの暗号化にSRTPが用いられること、認証にOIDCを使い執筆時点ではGoogleアカウントのみに対応することを説明しています。ローカルアクセス側のドキュメントでは、パスワードを設定しない構成にするとローカルネットワーク上でIPアドレスを知る者が誰でもWeb UIへアクセスできると明記されており、パスワード保護を有効にすることを推奨しています。

JetKVMのLocal Accessのドキュメントは、パスワード保護を設定しない場合、ローカルネットワーク上でJetKVMのIPアドレスを知っている者は誰でもWeb UIにアクセスできると説明し、パスワード保護の有効化を推奨しています。

JetKVMのRemote Accessのドキュメントは、ローカルとリモートのいずれの通信もWebRTCで扱われ、DTLSによるデータ暗号化とSRTPによるメディア暗号化が用いられること、認証にOIDCを使い現時点ではGoogleアカウントのみに対応することを記載しています。

ベンダのクラウドを経由する方式は、ルーターのポート開放が不要になる代わりに、経路の一部を外部サービスに預けることになります。自社の方針でクラウド接続を使わない場合は、その機能を無効にしたうえでVPNや踏み台を前提に運用できるかを、購入前にドキュメントで確かめます。ローカル運用に寄せる場合の踏み台側の作り込みは、鍵の運用とあわせて設計します。

あわせて読みたい

SSHサーバのハードニングと鍵の運用

価格を抑えて一台ずつ配備したい場合や、ローカル運用を前提にしたい場合には、次のような機器が候補になります。

管理VLANと踏み台を前提にした経路の分離#

認証と暗号化を固めても、管理画面が業務VLANの全端末から見えていれば、社内に入り込んだ攻撃者にとっては一歩で届く距離にあります。CISAとNSAは2023年6月14日に、BMCの堅牢化に関する共同のサイバーセキュリティ情報シートを公開しました。CISAの告知ページは、BMCがOSやファームウェアとは別に動作し、システムが停止していても遠隔管理と制御を可能にする信頼されたコンポーネントであること、堅牢化された資格情報やファームウェア更新、ネットワーク分離の選択肢が見落とされがちで、その結果として脆弱なBMCが生まれることを述べています。

CISAは、NSAとの共同のサイバーセキュリティ情報シート公開にあたり、BMCがOSとファームウェアから独立して動作しシステム停止中でも遠隔管理を可能にする信頼されたコンポーネントであること、堅牢な資格情報やファームウェア更新、ネットワーク分離の選択肢が見過ごされることで脆弱なBMCが生じること、そして脆弱なBMCが起動前実行の足がかりを攻撃者に与えることを説明しています。

IPAの指南書は、リモートアクセスの際に外部と現場の制御システムが直接通信しないよう、外部とDMZと現場の内部ネットワークという三つのゾーンを使ったシステムを構築すること、外部と内部の通信をファイアウォールやDMZ内のサーバーを経由させることを推奨事項として挙げています。あわせて、DMZを機能ごとにセグメントへ細分化し、それぞれの境界を防御するマルチステージファイアウォールで横展開を防ぐ考え方が近年のガイドラインに登場していることにも触れています。

小規模な社内で同じ構造を作るなら、次の形が現実的です。

複数のサーバをまとめて扱う規模になったら、KVMスイッチ側で利用者と権限を管理し、社内の認証基盤と連携させる形が管理しやすくなります。

電源リブートを他人に握られるリスク#

リモート電源は、遠隔保守の道具のなかで最も直接的に事業へ効きます。アウトレットをオフにすれば、そのラックの機器は即座に止まります。ランサムウェアの侵入経路として語られることは少ないものの、可用性への攻撃としては極めて安価で確実な手段です。管理者パスワードが初期値のまま、業務VLANから見える位置に置かれたリモート電源は、社内に入った攻撃者にとって一手で使える停止スイッチになります。

権限設計の観点では、次の三つを仕様で確認します。第一に、アウトレット単位で操作権限を分けられるか。第二に、誤操作や競合を防ぐ仕組みがあるか。第三に、電源断の前にOSへシャットダウンを指示できるか。三つ目が無い機種でも、SSHなど別の経路でOSを正常終了させてから通電を切る運用は取れます。ただしOSの稼働中に正常終了を確認しないまま電源を遮断すると、未保存データの消失やファイルシステム破損のおそれがあります。

停電時の挙動と組み合わせる設計も必要です。UPSとリモート電源のどちらが上流に来るか、復電時に自動で通電するか、通電順序に遅延を入れられるかで、復旧の自動化度合いが変わります。停電側の備えは別記事で扱っています。

あわせて読みたい

UPS(無停電電源装置)の選び方

国内向けに電気用品安全法の認証を取得した機器で、SSHとSNMPv3とSyslogに対応する製品を選ぶと、管理経路の要件を満たしやすくなります。ただしWeb管理画面がHTTPのみの機種は、操作をSSH中心に寄せ、Webとテキストベースの平文プロトコルは無効化するか管理VLANの内側に閉じる前提での採用になります。

サーバ室での物理接続と施錠#

IP-KVMは、対象機器のHDMIとUSBに物理的につながります。USB側は、キーボードとマウスと大容量ストレージをエミュレートする経路です。つまり、この装置に触れる者は、対象サーバに任意のUSBメモリを挿すのと同等の操作ができます。装置そのものを持ち去られた場合も、内蔵ストレージに設定と資格情報が残ります。

物理面の確認事項は三つです。第一に、装置をラック内に固定できるか。Kensingtonロックスロットを持つ機種は、簡易ながら持ち去りの抑止になります。第二に、ラックの施錠と入退室の記録が運用されているか。第三に、装置に挿さっているmicroSDやUSBメモリを抜き差しできる状態のままにしていないか。IPAの指南書も、脅威に対応するにはシステム構成面と物理面の双方の対策が重要だと総括しています。

CISAのIPMIに関する注意喚起は、廃棄時の扱いにも触れています。IPMIのパスワードが保存されている可能性のあるフラッシュチップやマザーボードなどの領域を破壊することを推奨しており、これは管理装置一般に当てはまる考え方です。リース返却や中古売却を想定するなら、設定の初期化だけでなく、資格情報の残留を前提とした処分手順を決めておきます。

ラックの施錠と収納の設計は、こちらの記事で詳しく扱っています。

あわせて読みたい

小規模オフィスのネットワーク機器を施錠して収める鍵付きサーバーラックの選び方

ファームウェア更新と脆弱性の公開窓口#

管理装置のファームウェアは、更新の手が届きにくい層にあります。OSのパッチ管理からは外れ、監視ツールのインベントリにも載りにくく、再起動の調整が必要なため後回しになります。その結果、既知の脆弱性が長期間残ります。

具体例として、AMIのMegaRAC SPxにおけるRedfishホストインタフェースの認証迂回の脆弱性CVE-2024-54085があります。NVDの登録では2025年3月11日に公開され、CVSS v3.1のNVD評価が9.8、AMIによるCVSS v4.0の評価が10.0です。この脆弱性はCISAの悪用が確認された脆弱性カタログ(KEV)に2025年6月25日付で追加されており、実際に悪用が確認された脆弱性として扱われています。MegaRACは複数のサーバベンダのBMCに採用されている実装で、影響範囲は自社が買ったサーバのメーカー名だけを見ても判断できません。

CISAの悪用が確認された脆弱性カタログには、CVE-2024-54085がAMI MegaRAC SPxの認証迂回(なりすまし)の脆弱性として2025年6月25日付で登録されています。

NVDのCVE-2024-54085のページは、公開日を2025年3月11日とし、NVDによるCVSS v3.1基本値9.8、AMI(CNA)によるCVSS v4.0基本値10.0を掲載しています。

購入前に確認する項目は三つです。第一に、脆弱性情報を公開する窓口がベンダにあるか。セキュリティアドバイザリのページや脆弱性開示ポリシーが用意されていれば、型番を控えて定期的に確認する運用が組めます。第二に、更新の手段が運用に合うか。オンラインでの更新に対応するか、ローカルの更新ファイルでも当てられるか、複数台を一括で更新できるかを見ます。第三に、生産完了後の更新提供がどこまで続くか。IPAの注意喚起がサポート終了機器の更新や廃棄の検討を挙げているとおり、更新の止まった管理装置を残す判断はリスクの先送りになります。

更新の仕組みそのものについては、NIST SP 800-193が指針を示しています。ファームウェア保護の中心的な考え方は、真正かつ認可された更新イメージだけがプラットフォームのデバイスに適用されることを保証する点にあり、更新前にイメージを検証する技術的な手続きを認証付き更新機構と呼びます。認証付き更新機構はデジタル署名を用い、署名検証アルゴリズムと公開鍵を保持する鍵ストアを含むRoot of Trust for Update(RTU)に依拠します。ベンダの製品説明に署名検証やロールバック保護の記載があるかは、機種の作り込みを測る手がかりになります。

NIST SP 800-193は、ファームウェア保護の中心的な考え方が真正かつ認可された更新イメージのみをプラットフォームデバイスへ適用させることにあるとし、更新前にイメージを検証する仕組みを認証付き更新機構(authenticated update mechanism)と呼んで、デジタル署名と、署名検証アルゴリズムおよび公開鍵を含む鍵ストアを保持するRoot of Trust for Update(RTU)に依拠すると説明しています。

操作の証跡を残す設計#

遠隔保守は、その場に人がいないぶん、後から何が行われたかを確かめる手段が記録しかありません。NIST SP 800-53のMA-4は非ローカル保守と診断活動の記録を維持することを求め、管理強化(1)は非ローカル保守と診断セッションの監査イベントを記録し、異常な挙動を検知するためにその監査記録をレビューすることを求めています。AC-17の管理強化(1)も、リモートアクセスの方法を監視して制御する自動化された仕組みの採用を挙げています。

IPAの指南書は、ログの種類をアクセスログ、認証ログ、操作ログ、イベントログに整理したうえで、リモートアクセスに関するログをできるだけ詳細に取得して定期的に確認と分析を行うこと、確認すべき点として深夜や休日など予定外の時間に操作されていないか、管理者アカウントなど予定外の利用者が操作していないか、予定されていた作業以外の操作や設定が実施されていないかを挙げています。運用面では、Syslogサーバーを導入してログを一元管理すること、重要なログを定期的にバックアップすること、そして社内のNTPサーバーやGPS受信機で全デバイスの時刻を同期させることを推奨しています。

IPAの指南書は、リモートアクセスに関するログを詳細に取得して定期的に確認すること、作業時間外の操作や予定外の利用者による操作、予定外の操作や設定の有無を確認すべき点として挙げ、Syslogサーバーによるログの一元管理、ログの定期バックアップ、社内NTPサーバーやGPS受信機による全デバイスの時刻同期を推奨事項として示しています。

製品仕様で見るのは、Syslog転送の可否、SNMPのバージョン、NTPクライアントの有無、そして記録の粒度です。「誰がいつログインしたか」までしか残らない機種と、どのアウトレットをいつ操作したか、どのポートへ接続したかまで残る機種では、事後の説明可能性が変わります。KVMのなかには、ATENのCCVSRのように、BIOSレベルの操作からOSの設定変更までを映像として記録するソフトウェアを持つ製品もあります。外部委託先に保守を任せる場合、記録の有無は契約と監査の材料になります。

導入前に管理画面の挙動やログの出方を確かめたい場合は、本番の機器ではなく、自分の管理下に置いた検証環境で試してください。隔離した環境の作り方は次の記事で扱っています。

あわせて読みたい

セキュリティを手を動かして学ぶ自宅ラボの作り方と機材の選び方

選定で見る指標#

比較表を作るときの軸を並べます。解像度や同時接続数といったカタログ値だけを揃えると、運用に効く差が抜け落ちます。

機能名が同じでも適用範囲がベンダごとに違うため、気になる機種はメーカーの仕様ページを開いて一項目ずつ確かめる進め方が確実です。ネットワーク断を想定してLTEなどの別回線を持たせる場合は、その回線自体が新しい侵入口になる点も設計に含めます。

買う前のチェックリスト#

遠隔保守の道具は、入れた瞬間から出動回数を減らしてくれます。同時に、社内で最も強い権限を持つ経路が一本増えます。この二面性を踏まえると、選定の軸は「何ができるか」だけでなく「誰がどこから使えるか」と「使われた記録が残るか」に置くのが自然です。カタログの機能欄に並ぶ仮想メディアや電源制御は、そのまま攻撃者にとっての利用可能な機能でもあります。到達経路を絞り、利用者を分け、記録を外へ保存します。この三つを基本条件として、台数が増えたときのファームウェア更新の回し方、サポート期限、障害時の対応体制まで含めて判断します。導入時に決めた経路と権限を図と手順書に残し、年に一度は管理画面の到達範囲とアカウント一覧を棚卸しする運用まで含めて、機種を選んでください。