CPS防御はどこから始めるべきか―設計・運用で実現する現実解：なぜ今“現実世界”が攻撃されるのか――CPSが主戦場になった理由（3）（1/2 ページ）
本連載では、Clarotyのレポート「Analyzing CPS Attack Trends（CPS攻撃の傾向分析）」をベースに、OTを直接狙うサイバー攻撃の現状と対策を連載形式で解説する。最終回となる今回は、CPS攻撃への対策について紹介する。
本連載では、Clarotyのレポート「Analyzing CPS Attack Trends（CPS攻撃の傾向分析）」により明らかになったCPS（サイバーフィジカルシステム）への攻撃の増加について、その背景や攻撃者像、手法などについて紹介してきた。
⇒「なぜ今“現実世界”が攻撃されるのか――CPSが主戦場になった理由」のバックナンバーはこちら
OT環境への攻撃は、従来の綿密な調査と高度な手法によるものから、設定ミスなどによりインターネットに公開されているOT資産にアクセスするという容易な手法に変化した。
高度なスキルを持たない攻撃者の目的は、重要インフラやサービスへの攻撃により人々の生活を混乱させると同時に、自らの政治的／社会的訴えに注目を集めることと考えられる。レポートによると、実際にCPSへの攻撃の多くはロシアおよびイランに関連する攻撃者と結び付けることができた。ロシア系の攻撃者はイタリア、フランス、スペインといったEU諸国を標的とし、イラン系の攻撃者は米国およびイスラエルを標的としていた。
標的となった産業は製造業、上下水道、発電といった重要インフラ分野であり、これらに機能停止や損害を生じさせることで、社会に最大の混乱と恐怖をもたらす狙いが感じられる。
ここで意識しなければならないことは、現在のCPS攻撃は主に地政学的な対立によるものだが、高度なスキルを必要とせずに深刻な影響を与えられるため、他の国や地域のサイバー攻撃グループも同様の攻撃を実施する可能性があることだ。
その観点では、日本も例外ではない。
日本の国力を削ごうとする場合、重要インフラが攻撃対象となる可能性は高いと考えられる。対岸の火事と考えずに、しっかりとCPSへのセキュリティ対策を実施していくべきであろう。ここでは、CPS攻撃への対策について紹介する。
資産の可視化と設定管理を軸とした防御アプローチ
Clarotyのレポートは、インターネットに接続されたCPSが特にリスクにさらされていることを明らかにした。これらのデバイスの多くはインターネット上で容易に特定可能であり、認証情報の不備や脆弱な設定により攻撃にさらされており、実際に頻繁にアクセスされている。
レポートでは、CPSのセキュリティ担当者が特に順守すべき3つの重要なポイントを特定している。
Point 1：インターネットに公開されているCPSのセキュリティ確保
サイバー攻撃者にとって、インターネット上に公開されているCPSを一覧化することは簡単な作業である。
IPアドレス範囲全体をスキャンする検索エンジンへ容易にアクセスできるため、攻撃者は例えば悪用可能なIoT機器を探し出してマルウェアに感染させ、DDoS攻撃を行うために悪用してきた。世界中の脆弱なOT資産も、これらを頻繁に利用することで簡単に見つけ出すことができる。これは、地政学的な動機を持つ攻撃グループにとって特に有用といえる。
具体的には、ShodanやCensysなどのインターネットスキャンサービスを利用することで、インターネットに公開されているCPSの列挙は比較的簡単に行える。OTや、インターネット接続スマートデバイスおよび、医療用IoT（IoMT）デバイスの設定をユーザーが確認し、適切な予防措置が講じられていることを確認することが重要となる。
企業はこうした重要なデバイスやシステムを、いかなる形であっても不適切な状態でインターネットに接続させてはならない。これらのデバイスへの不正アクセスは、企業にサービスの中断や資産への物理的損害をもたらす恐れがあり、従業員や一般市民の身の安全を脅かすことにもなりかねない。
また、攻撃者はこれらのデバイスをOTネットワークやIT／OAネットワークへの侵入経路として利用し、ランサムウェアや恐喝攻撃、脆弱性の悪用など、さらなる被害を引き起こす可能性もある。深刻な被害につながるさまざまな攻撃のきっかけになるわけだ。
Point 2：設計上または初期設定のままによる脆弱性の是正
CISA（米国サイバーセキュリティ・インフラセキュリティ庁）をはじめとする世界中の機関は、インターネットに接続されたOT資産の全体的な品質とセキュリティの向上を、OTデバイスメーカーに対し強く求めている。
業界は、現在の産業プロセスに深く根付いた多くのレガシー技術に悩まされている。例えば、これらのデバイスに何らかの変更を加えるだけで、甚大な損害を招く恐れがある。
設計上または初期設定のまま放置されていることで生じるセキュリティ上の脆弱性は、対処すべき重大な欠陥である。Clarotyの調査によると、OT資産を標的とする攻撃者たちは、多くのレガシー通信プロトコルを好んで利用することが判明している。
Modbusなどの多くのセキュリティ上の脆弱性を持つプロトコルは、製造業界やその他の産業分野においてデバイス間通信に広く使用されている。これらのプロトコルは重要なプロセスデータの伝送に使用されるため、改変や妨害といった深刻な損害を簡単にもたらす可能性がある。
デバイスへのリモートアクセスを可能にするVNCなどの他のプロトコルは、初期設定のまま放置されたり、保護が不十分であったりすることが多く、攻撃者に制御を乗っ取る隙を与えている。これらの多くは認証や暗号化といった重要なセキュリティ機能を持たないため、リスクを最小限に抑えるために代償的な制御措置を講じる必要がある。
まずは、OT資産の監査と正確なインベントリ作成に加え、どのデバイスがどのようにインターネット上に露出しているかを把握することが求められる。
しかし、こうした是正措置には困難を伴うことが多い。脆弱性に対処する新しいファームウェアの提供や、その他のレガシーなセキュリティ問題に対処するための設定の全面的な変更など、更新プロセスにはベンダーの関与が必要となる場合が多いためだ。こうした更新には評価や開発に時間を要することが多く、ベンダーのスケジュールに左右されることが一般的となっている。
防御側はデフォルト設定や既知の脆弱な認証情報に対して警戒を怠らず、デバイスがネットワークに展開される際に、それらを積極的に変更する必要がある。つまり、セキュリティ担当者はそれ以外の不適切な設定についても評価／把握し、デバイスをネットワークに接続する前に、あらゆるセキュリティ上の問題に対処する必要があるわけだ。
Point 3：“敵”を知ること
Clarotyのレポートは、ハクティビスト集団がドライブバイ攻撃において、CPSをどのように悪用しているかを具体的に明らかにすることが目的の1つだったという。
CPSはしばしば外部にさらされ、セキュリティ対策が不十分な状態にある。そして地政学的な動機を持つ攻撃者グループは、OT資産を標的にすることによる潜在的な影響を理解している。それは、社会に混乱をもたらし得ることだ。
レポートでは、OT資産に関連する200件以上のインシデントを調査し、技術力に差はあるが20の攻撃者グループを特定している。これらは特定の地政学的勢力に同調しているものの、国家主体の攻撃グループと同等のレベルではない。むしろ、そのほとんどがHMIやSCADAシステムといったOT資産およびインターネットに接続されたその他の露出資産を標的としており、その攻撃はエクスプロイトや脆弱性に依存していない。
こうした明らかに高い技術を持たないグループは、ソーシャルメディアや非公開のオンライングループを問わず、オンライン上で自らの手口を自慢することに非常に積極的である。彼らは、侵害したシステムの詳細やその手法を頻繁に共有し、コミュニティー内での信頼性を高めるために、攻撃の動画証拠を自慢話に添えることも少なくない。
CPSを狙う攻撃者グループは、緩いセキュリティ対策、不十分な認証および認証情報を必要とせず転送中のデータを暗号化しないレガシープロトコルを悪用している。
企業は“攻撃者は誰か”を把握する必要はないが、「次の標的は自社かもしれない」と考えて対策を行う必要がある。その際にClarotyのような企業によるレポートや被害を受けた企業の報告書などの情報に触れ、攻撃者グループとその特徴は知っておくべきであろう。
Copyright © ITmedia, Inc. All Rights Reserved.