工業製造
産業用モノのインターネット | 工業材料 | 機器のメンテナンスと修理 | 産業プログラミング |
home  MfgRobots >> 工業製造 >  >> Manufacturing Technology >> 産業技術

SolarWindsハックがIoTとサプライチェーンのセキュリティについて教えてくれること

業界に関係なく、サイバーセキュリティの侵害は規模と規模が拡大しているようです。

3か月前にロシアが開始した広大なハッキングキャンペーンは、テキサスを拠点とするソフトウェアメーカーであるSolarWinds Corp.の18,000人もの顧客に影響を与えましたが、潜在的なサプライチェーン攻撃が広範囲に及ぶことを示す悪質な例です。

「サプライチェーンリスク」という用語は、多くのセキュリティの脅威と脆弱性を網羅する大きな傘です。 SolarWindsの場合、外国政府に代わって活動していると思われる脅威アクターが、ソフトウェアアップデートを人気のあるツールSolarWindsOrionにトロイの木馬化しました。この攻撃により、潜在的なバックドアアクセスポイントが数百の企業と9つの連邦政府機関に残されました。そして、それは私たちが知っていることだけです—この違反の影響は、今後何年にもわたって明らかになるでしょう。

その他のサプライチェーンのリスクは、電子機器に組み込まれたセキュリティ上の欠陥として現れる可能性があります。スマートフォン、プリンター、ルーター、モノのインターネットデバイス、および重要なインフラストラクチャシステムのメーカーは、サードパーティからコンポーネントを購入しています。これらのコンポーネントには、既存のセキュリティ上の欠陥がある可能性のある組み込みファームウェアが付属しています。さらに、そのファームウェアの一部はメーカーによって作成されたものではなく、ITのボランティアによって維持されているオープンソースコードからのものです。コミュニティ。

幅広いサプライチェーン業界がサイバー攻撃について知っておくべきことは次のとおりです。

ベールに包まれたソフトウェア

デバイス内のソフトウェアの包括的なリストを要求する購入者の動きが増えていますが、今のところ、メーカーがそれを提供することはめったにありません。ソフトウェア部品表(SBOM)として知られるこのリストは、サプライチェーンのセキュリティの鍵ですが、万能薬ではないことに注意することが重要です。たとえば、SBOMはSolarWindsバックドアを捕捉しなかったでしょう。必要だったのは、セキュリティチームのメンバーが、最終的なソフトウェアファイルを顧客にリリースする前に、自分で分析することでした。

後部座席

ソフトウェア開発者とデバイスメーカーは、迅速な開発プロセスに移行しています。ソフトウェア側では、このアジャイル開発フレームワークは、時には新しい機能を追加するために、時にはセキュリティ上の欠陥を修正するために、多数の迅速な更新をプッシュします。方程式のデバイス側にも同様の推進力があります。これは、コモディティ製品として大量に販売されるIoTデバイスに特に当てはまります。

どちらの場合でも、セキュリティはしばしば後部座席を取ることになります。セキュリティを優先しないリスクを認識するのは組織のリーダーシップ次第であり、それらのリスクを悪用される前に積極的に軽減するのは開発チーム次第です。現実には、攻撃者は業界をはるかに上回っています。これにより、組織は反応的な姿勢になり、多くの規制や基準が生まれました。企業、メーカー、バイヤーが同様に積極的なアプローチを取ることがこれまで以上に重要になっています。

アクセスの可能性

グローバルなサプライチェーンは、その大部分が接続され、多くの場合セキュリティが不十分なシステムであるため、特に魅力的なターゲットになっています。複数のデバイスでソフトウェアを複製するのが一般的な方法です。つまり、ハッカーがドアベルカメラに脆弱性を発見した場合、別のブランドのドアベル、スマートTV、接続された冷蔵庫、または家庭用サーモスタットを悪用する可能性もあります。

ハッカーにとって、単一のデバイスに影響を与える脆弱性は、これらのタイプのハッキングを現金化するのが難しいため、重要ではありませんが、広範なサプライチェーンの脆弱性ははるかに価値があります。サプライチェーンの幹部にとって、他のシステムへのピボットを可能にする可能性のあるビジネス内のすべてのデバイスについて考えることが重要です。

SolarWindsの侵害は、サイバーセキュリティコミュニティ内外の多くの人々の目覚めの呼びかけでした。他の人にとっては、それは私たちがすでに知っていたこと、そして私たちが予防するために一生懸命取り組んできたことの確認でした。

この攻撃からの最も重要なポイントは、ベンダー、ソフトウェア、およびデバイスに対する信頼を再評価する必要があるということです。ソフトウェアのエンタープライズユーザーからOEM、ソフトウェアサプライヤまで、サプライチェーンのどこにいても、ベンダーとその製品に信じられないほどの信頼を置いている可能性があります。これらの信頼関係を評価する方法を再考する必要があります。最も重要なことは、ライフサイクル全体を通じてこのソフトウェア、ファームウェア、およびハードウェアのセキュリティを検証する方法を理解する必要があります。

Matt Wyckhouseは、有限状態の創設者兼CEOです。


産業技術

  1. IoTの開梱、シリーズ:セキュリティの課題とそれに対して何ができるか
  2. 保守部門の死とそれについて私たちにできること
  3. サイバーセキュリティとモノのインターネット:将来を見据えたIoTセキュリティ
  4. IoTとサイバーセキュリティについて知っておくべきこと
  5. IoT時代におけるセキュリティ標準と規制の6兆ドルの重要性
  6. 5G、IoT、および新しいサプライチェーンの課題
  7. 海軍がサプライチェーンとロジスティクスの管理について教えてくれたこと
  8. IoTセキュリティとは何ですか?
  9. 産業用IoTセキュリティ:課題とソリューション
  10. CMMSソフトウェアとは何ですか? CMMSソフトウェア、その利点、および最適なCMMSソフトウェアプログラムを選択する方法の概要
  11. EAM と CMMS:違いは?