なぜTritonマルウェアが産業安全を脅かし続けるのか：Schneider Electric専門家の見解

2017年末、Triton（Trisisとも呼ばれる）として知られる洗練されたサイバー攻撃が、中東施設の安全停止システムを標的にしました。2017年11月にサイバーセキュリティ企業Dragosによって発見されたこのマルウェアは、壊滅的な故障を引き起こす可能性があり、人員の死亡と有害化学物質の放出を招く恐れがありました。幸い、TritonがTriconex安全システムを無効化しようとした試みが裏目に出て、攻撃を抑制しようとしていた緊急停止を作動させ、攻撃が露見しました。

Dragosは攻撃グループを「Xenotime」と名付け、今後も破壊的または破壊的な攻撃を仕掛ける可能性があると警告しています。このインシデントは、安全計装システム（SIS）を標的としたい他の攻撃者にとって危険な設計図も提供します。

Schneider Electricは沈黙ではなく透明性を選びました。サイバーセキュリティとシステムアーキテクチャディレクターのAndrew Kling氏は説明します：「一定レベルのオープンさが必要だと認識しました。攻撃の真の性質が理解されると、その深刻さと業界全体への行動喚起が要求されることがわかりました。」Kling氏はOne Year After Triton: Building Ongoing, Industry-Wide Cyber Resilienceを著し、学んだ教訓を共有しています。

[IoT Security Summit – クラウドからエッジ、ハードウェアまでフルIoTスタックを保護する方法を学ぶ。今すぐチケットを入手。]

Tritonを際立たせるのは、安全計装システムを標的とした最初の既知のマルウェアであることです。Kling氏は指摘します：「これは一時的なレガシー悪用ではなく、戦略的利益のために安全制御を意図的に損なおうとした試みです。無視することは許されません。」

業界はTritonと産業安全システムへの広範な脅威をどれくらい認識していますか？

Andrew Kling：「業界の認識は100％であるべきです。誰もが即座に行動すべきです。Triconexコントローラー専用のマルウェア検出サービスを運営し、全顧客に提供していますが、追加の侵害は検出されていません。これは安全デバイス内で直接マルウェアを検出する最初のサービスです。」

Schneider Electricは業界教育でどのような役割を果たしていますか？

Kling：「集団的対応を呼びかけています。顧客、サービスプロバイダー、OEM、ネットワークベンダーは、プロセス制御と同様に安全システムを優先しなければなりません。標準化委員会を通じて仲間と協力し、教訓を共有し、ベストプラクティスを推進しています。透明性が鍵です。攻撃の詳細と使用された技術を説明し、他者が自衛できるようにしています。」

攻撃者について何がわかっていますか？

Kling：「帰属は不明確で、国家関与の憶測はありますが、具体的な証拠はありません。わかっているのは、攻撃者が安全システムアーキテクチャ、組み込みプロセッサー、独自プロトコルに関する専門知識を持っていたことです。マルウェアには複数のバグがあり、偶発的に安全停止を引き起こし、リソースやテストの限界を示唆しています。それでも、必要なスキルセットは非自明で、高い動機を持つ敵対者であることを示しています。」

サイバーリスクを懸念する産業組織へのアドバイス？

ISA99のIEC 62443ワーキンググループメンバーとして、Kling氏は調達をIEC 62443サイバーセキュリティ標準に合わせることを推奨します。「新しい安全またはプロセス制御システムの入札時に、IEC 62443準拠を指定してください。産業オートメーションにおけるセキュリティの意味を定義するために、数百人年の専門家作業が費やされています。認定製品とデリバリーパートナーを選択することで、サイバーセキュリティスペシャリストにならずともその集合的専門知識を活用できます。」

Schneiderはまた、NCCIC/ICS-CERTなどの米国政府機関と協力し、運用技術（OT）セキュリティのベストプラクティスがコミュニティ全体で共有されるようにしています。OTサイバーセキュリティコミュニティは緊密に連携し、新たな脅威に対処するために定期的に協力しています。