産業制御システムの守り方は“攻撃者”に習え：宮田健の「セキュリティの道も一歩から」（44）（1/2 ページ）

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。でも堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学・ネタをお届け！ 今回は、ゲーム形式で“楽しく攻撃し、楽しく守る”セキュリティ知識向上策をご紹介します。

[宮田健，TechFactory]

本記事は「TechFactory」に掲載された会員限定コンテンツをMONOist向けに再編集した転載記事となります。［全文を読む］には、会員登録（無料） およびログインが必要になります。

　今回は大変興味深い記事から紹介します。セキュリティの老舗ともいえるネットエージェントの技術ブログで、「工場をハッキングして爆発させてみた」という、少々物騒な記事が公開されました。もちろん本物の工場を爆発させてみたのではなく、シミュレーター内でのお話。でも、この記事は工場がどのように攻撃され、物理的に破壊できてしまうのかが大変よく分かる教本のような内容です。

⇒工場をハッキングして爆発させてみた - セキュリティごった煮ブログ｜ネットエージェント

1ステップずつ、論理的に破壊される工場施設

　まずはぜひ、上記記事をお読みいただきたいと思います。これは工場のラインをシミュレーションする「GRFICS」というツールを使い、PLCを通じてその機器を操作できるというもの。前半部分はIT系の人向けに見えますが、後半からはむしろOT系の人の方が直感的に理解できる内容でしょう。

　“工場をハッキング”というと、PCやサーバなどは脆弱性を悪用してマルウェアに感染させ、暗号化を行うなり削除を行うなりの破壊活動をコマンド一つで行うようなイメージがありますが、実際に工場を攻撃する場合は、リアクターの圧力を一定まで上げるために、バルブを操作するという行為を、いかに気付かれずに行うかという戦略が必要になります。これこそが、サイバー攻撃者の考え方をなぞる行為。そしてこのことこそが、産業制御機器を守るためにいま必要なことなのかもしれません。個人的には“意外にも攻略が難しい”という印象を得ました。でも、それでも攻撃を成立させたいという何かがあるわけです。ぜひ、ご一読ください。

攻撃者の心理を知るには「攻撃してみる」ことが重要