Defender for IoTのOT監視、2029年10月に終了

工場やビル、病院の設備のネットワークをMicrosoft Defender for IoTで見ている会社に、3年後の期限ができました。Microsoftは11月2日（米国時間）、Defender for IoTのOTセキュリティを2029年10月に終えると、Azureの更新情報で告知しました。

すぐに止める必要はありません。とはいえ、OTを見る仕組みの入れ替えは、ソフトを差し替えれば済む話ではありません。センサーをネットワークのどこにつなぐか、どの部署が持つかから考え直す仕事です。3年は長くないと編集部はみます。

終わるのはOTのセンサーの側、Enterprise IoTは対象外

Defender for IoTには、2つの監視があります。1つはOTの監視で、工場などのネットワークにセンサーを置き、サイトごとのライセンスで契約します。もう1つはEnterprise IoTの監視で、Defender for Endpointの一部として、オフィスのプリンターやスマートテレビ、会議システムのような機器を見ます。Microsoft 365 E5かE5 Securityの利用者1人あたり5台まで使える形です。

終わるのは前者だけです。Defender for Endpoint側のEnterprise IoTは影響を受けない、と告知は明記しました。

告知には、Enterprise IoTの文に続いて、次の一文もあります。

Device discovery and vulnerability assessment will continue to be available.

機器の発見と脆弱性の評価は今後も使える、という意味です。ただ、どの製品のどの画面の機能を指すのかは、告知に書かれていません。OTのセンサーが見つけた機器の一覧を指すと読むのは早いので、残るものとして当てにする前に、Microsoftの担当者に確認しておきたい所です。

2029年10月まで続くもの、止まるもの

見落としやすいのは、センサーの更新の手間です。Microsoft Learnの版の一覧を見ると、センサーは版ごとに約1年でサポートが切れます。たとえば26.1.0（2026年4月）は2027年3月まで、26.1.1（2026年6月）は2027年5月までです。Microsoftは、半年に1回は最新版へ上げる計画を勧めます。終わりが決まった製品でも、2029年までは版を上げ続けることになります。

オンプレミスの管理コンソールに続く、2回目の縮小

OTの監視の部品が終わるのは、今回が初めてではありません。オンプレミスの管理コンソールは2025年1月1日で終わり、ダウンロードとサポートが無くなりました。それより後に出たセンサーの版は、このコンソールにつながりません。Microsoftは新しい構成への移行を勧めていました。2024年にその移行を済ませた会社にとっては、5年のうちに2回目の作り直しになります。

告知を読む限り、MicrosoftはOTの監視そのものから手を引き、他社の製品のデータを自社の画面に集める側に回る形です。告知はArmis、Dragos、Forescoutの3社向けのコネクタを挙げますが、特定の会社を使う必要はないとしました。他社の製品は、別に契約と導入が要ります。

なお、11月3日に確認した時点では、Microsoft Learnの製品の概要や料金のページに、2029年の終了はまだ載っていません。データの書き出し方や、センサーの片づけ方の手順も、今後の文書の更新を待つことになりそうです。

予算の年度で逆算すると、調達は2028年度

移行の計画に入れるものとして、Microsoftは調達、試験、運用の確認、監視を途切れさせないこと、データの書き出し、センサーの撤去を挙げました。4月に始まる年度の会社なら、次のようになります。新旧のセンサーを半年並べて動かす前提の、編集部の目安です。年度の始まりが違う会社は、表をずらして読んでください。

工場のネットワークに手を入れる日は、生産を止められる日に縛られます。センサーの付け替えやスイッチのミラーポートの設定を、年に数回の止められる日に合わせるなら、切り替えの準備に1年を見ておいても多すぎないでしょう。製造の現場と止めてよい時間を合わせるやり方は、工場の古いPCの更新の記事と同じ考え方が使えます。

影響する会社が、今年度中に確認すること

Defender for IoTのOTのセンサーを使っている会社が対象です。Defender for EndpointのEnterprise IoTだけを使っている会社は、今回は動く必要がありません。

1. サイトとセンサーを一覧にします。サイトごとのセンサーの台数、版、物理の機器か仮想マシンか、Azureにつないでいるか、閉じたネットワークでセンサーの画面だけで使っているかも控えます。
2. サイトごとのライセンスの更新日と契約の期間を、購買か販売店と確かめます。告知は、今の契約と更新を2029年10月まで有効として扱うとしています。ただ、2029年10月をまたぐ期間で更新したときの扱いは書かれていないので、更新の前に販売店へ確かめます。
3. つないでいる先を書き出します。Microsoft Sentinel、Defenderのポータル、ほかのSIEMや問い合わせの管理など、アラートがどこに流れ、だれが見ているかです。
4. 残すデータを決めます。Azureのポータルの機器の一覧は、CSVに書き出せます（1回に3万台まで）。画面で絞り込んだ条件のまま書き出されるので、フィルターを外してから書き出します。今の一覧を基準として残しておくと、次の製品で見え方を比べられます。
5. 持ち主を決めます。製造や設備の部署が持つのか、情シスが持つのか。選ぶ人と、毎日アラートを見る人が違うと、比べる観点がそろいません。

次の製品を選ぶ前に、OTの機器の一覧をMicrosoftの画面に集め続けたいかを決めておきます。集め続けたいなら、Microsoft Security Exposure Managementのコネクタへの対応が条件に入ります。告知の時点で、このコネクタが対応するのは先の3社です。そうでなければ、Microsoftとの連携は条件から外して比べられます。