取引先との関係壊す、サプライチェーンを狙ったサイバー攻撃が増加へ：製造マネジメントニュース
カスペルスキーは2017年のサイバー攻撃やセキュリティ面での脅威の傾向についての総括と2018年に増えるであろうセキュリティリスクの傾向について紹介した。
カスペルスキーでは、グローバル調査分析チームによるサイバー脅威の分析を進めており1年間に得られた知見や経験、洞察などにより総括レポートと1年間に起こり得る予測を毎年公開している。
ロシアのKaspersky Lab グローバル調査分析チーム ディレクター コスティン・ライウ（Costin Raiu）氏は「過去の経験から次のステップを知るという点、洗練された攻撃者チームの進化を理解する点、脅威状況を大局的に捉える点などが総括の意義である」と述べている。
2017年の答え合わせと総括
カスペルスキーでは1年前に以下の8つの脅威の予測を行っていたが、「ほぼ全てが的中した」（ライウ氏）。
- 埋め込み型マルウェアによる兆候を示さない感染の増加
- 一過性の感染あるいはオンメモリ型のマルウェア
- モバイルを標的としたサイバー諜報
- APT（攻撃者）グループによる金融システムへの攻撃
- 卑劣でうそつきなランサムウェア（身代金型のマルウェア）
- 産業用制御システムに対する攻撃
- IoT（モノのインターネット）への攻撃
- 情報戦争の増加
2017年の総括として、特にロシアのKaspersky Lab プリンシパル・セキュリティリサーチャー ビィセンテ・ディアス（Vicente Diaz）氏が指摘するのがエクスプロイト（脆弱性攻撃ツール）と脆弱性との関係の変化だ。
ソフトウェアには攻撃者が利用できるような弱い部分（脆弱性）が存在する。通常はソフトウェアベンダーが発見次第、これらをふさぐパッチなどを用意して配布し、攻撃されないようにしていく。
ただ、ディアス氏はその関係性が変化していると述べる。「BlackOasisゼロデイ脆弱性を米国Adobeに通知し、Adobeが脆弱性情報を公開した時に、複数の攻撃者が関連する脆弱性攻撃ツールの使用を急いだ動きがあった。つまり、攻撃者たちは既に多くのゼロデイエクスプロイト（公開前の脆弱性攻撃ツール）を隠し持っており、いつ使うかというのを考えているという状況にある」（ディアス氏）と危険性の変化について述べている。
また、エクスプロイトの1つであるEternalBlueは脆弱性パッチ未適用の何百万もの標的に侵入できる能力を持つ。これを活用した典型例が「WannaCry」である。ディアス氏は「セキュリティ関係者にとって『WannaCry』は何年にもわたって語り継がれるものになる。現状ではWannaCryによる攻撃者の目的は分かっていないが、何らかの実験を行っており制御できなくなったのではないかと推測している。既に攻撃ツールは攻撃者の手元にわたっておりどのように使うかという段階である。今後も同様の大きな脆弱性攻撃というのは増える可能性がある」と語っている。
2018年はサプライチェーン攻撃や暗号化技術の脆弱性攻撃が増加
2018年のセキュリティ脅威の予測についてライウ氏はまず「サプライチェーンを狙った攻撃が間違いなく増えるだろう」と強調し、米国ロッキードマーティン（Lockheed Martin）の情報漏えいの事例を引き合いに出した。世界最大の軍需企業でもあるロッキードマーティンだが、2011年に中国のハッカーの侵入により情報を奪われるインシデントがあった。これは、ロッキードマーティンが直接攻撃されたわけではなく、米国のセキュリティ関連企業RSAにまず侵入し、そこから情報を奪ってさらにロッキードマーティンに侵入して情報を取り出した。
ライウ氏はこうした事例が2018年は本格的に増えるという。「2017年はサプライチェーン攻撃が大きく増えた。ハッカーが企業に直接侵入できなければ、他のルートを探すというのは当たり前のことで、単独企業のセキュリティが確保されていても、取引先から入るというような動きは2018年は大きく増えることだろう」（ライウ氏）と述べている。
また、暗号化技術そのものに脆弱性が存在し、それを攻撃されるような状況も増えるだろうと予測する。「ドイツのインフィニオン（Infineon）のチップセットに組み込まれた暗号化技術に脆弱性が存在し、リコールするような状況が生まれている。暗号化技術を過信するような状況は危険だ」と暗号化技術を万能と捉える動きに警鐘を鳴らしている。
その他の2018年の予測は以下の通りである。
- モバイルマルウェアの高度化
- BeEFと似たWebプロファイリングによる侵害の増加
- 高度なUEFI攻撃
- 破壊型攻撃の継続的な増加
- 電子商取引のIDが危機的状況に
- ルーターとモデムに対するハッキングの増加
- 社会的混乱の媒介になる
ライウ氏は「APTはさらに強力になっており、脅威は進化し続けている。防衛のためには信頼に足る脅威インテリジェンスとの情報共有が必須となるだろう」と述べている。
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
工場のネットワークセキュリティ対策とは？
インダストリー4.0や工場向けIoTなどに注目が集まっていますが、そもそも工場内のネットワーク環境は、どのように構築すべきなのでしょうか。本連載では、産業用イーサネットの導入に当たり、その基礎から設備設計の留意点などを含めて解説していきます。第5回では、工場のネットワークセキュリティ対策について解説します。
制御システムセキュリティの現在とこれから
制御システム技術者が知っておくべき「セキュリティの基礎知識」を分かりやすく紹介する本連載。最終回となる今回は、今までに述べてきた制御システムセキュリティの基礎的な考え方をまとめた上で、これから制御システムセキュリティの分野がどうなっていくのかについての考えを紹介する。
制御システムを守るためにまず押さえるべき7つの対策点
制御システムにおけるセキュリティが注目を集める中、実際に攻撃を受けた場合どういうことが起こり、どう対応すべきか、という点を紹介する本連載。4回目となる今回は、セキュリティ事故を引き起こさないようにするには、どういった対策が事前に必要かを解説する。
PLCが人質に取られて脅迫される時代へ、IoTがもたらす産業機器の危機
JPCERT コーディネーションセンターと経済産業省は「制御システムセキュリティカンファレンス」を開催。高度化が進む、制御システムへの攻撃の事例を紹介した。
グローバルサプライチェーンにおける知的財産盗用のリスク
全世界にサプライチェーンが広がる中、サイバーセキュリティに対するリスクは急速に高まっています。本連載では、知財の専門家が製造業のサプライチェーンに潜む情報漏えいリスクにどう向き合うかについて紹介。第1回では、企業の知財保護を支援するNPO法人CREATe.orgが、情報漏えいがどのように起こるかを解説します。
WannaCary騒動がもたらしたセキュリティへの「経営層の理解」をもう1段階進める
製造業がIoTを活用していく上で課題となっているのが、サイバーセキュリティをはじめとする安心・安全の確保だ。本連載では、安心・安全を確立するための基礎となる「IoT時代の安全組織論」について解説する。第3回は、日本が特に低いとされる、経営層のサイバーセキュリティに対する理解をどのように高めていくかについて説明する。