産業制御システムセキュリティ、医療機器、潜むサイバー脅威

ハッキングされたペースメーカー、インスリンポンプ、コネクテッドカー、産業プラント、衛星、電力網がすべてサイバー攻撃の標的となってきました。長年にわたり研究者たちは、悪意あるアクターがこれらのシステムを兵器化し、人々を傷つけたり殺害したりできることを警告し、しばしば劇的な概念実証を披露してきました。

見出しを飾るストーリーが注目を集める一方で、レガシーソフトウェア、未パッチOS、誤設定ネットワーク、古いファームウェアといった日常的な脅威を覆い隠す可能性があります。これらのありふれた脆弱性こそが、攻撃者にとって最も一般的な侵入口です。

産業制御システム（ICS）は、衛星誘導から石油・ガスパイプライン、工場自動化まであらゆるものに不可欠です。歴史的インシデント（検証はしばしば困難）は、サボタージュが数十年にわたりクリティカルインフラを混乱させてきたことを示唆しています。例えば、元空軍長官のトーマス・C・リード氏は、シベリア横断ガスパイプラインを制御する機器にトロイの木馬マルウェアが使用され、大規模爆発を引き起きたと主張しています（リード著「At the Abyss」）。

Internet of Things World—産業とIoTイノベーションの融合。カンファレンスパスで350ドル割引、無料エキスポパス、またはIoTセキュリティスピーカーをチェック。

コネクテッド産業資産へのサイバー攻撃は今や日常茶飯事です。IBM Managed Security Services、Kaspersky Labなど主要ベンダーがインシデント急増を報告しています。3月には世界最大級のアルミニウム生産企業Norsk Hydroがサイバーインシデントを経験し、欧州と米国の両方で生産が混乱しました。

この脅威に対抗するため、SiemensとTÜV SÜDが「Digital Safety & Security Assessments」という共同イニシアチブを開始しました。「運用技術（OT）への攻撃はシャットダウンやそれ以上の事態を招く」と、Siemensの産業サイバー&デジタルセキュリティ担当VP兼グローバルヘッド、レオ・シモノビッチ氏は述べます。「データ損失が主懸念のITとは異なり、OT侵害は人々の安全を直接脅かす可能性があります。」このパートナーシップは、エネルギーセクター顧客にサイバーリスク評価と管理ツールを提供します。

シモノビッチ氏は、2017年にサウジアラビア施設でDragosが発見したTritonマルウェアを強調し、それがITからOTへ、さらに安全クリティカルシステムへ比較的容易に移行できたことを指摘。「その移行の容易さこそがTritonを恐ろしいものにしている」と述べています。

これらのインシデントはより広範なトレンドを示しています。センセーショナルな「ブラックハット」シナリオが見出しを飾る一方で、より現実的な脅威は、Kwampirs（2015年発見）やConficker（2008年初出）といったレガシーマルウェアから来ます。「ベテラン専門家でさえ、最も単純なツールが依然として実害を及ぼし得ることを認める」と、MedSecの研究開発VP、ステファニー・プレストン・ドーマス氏は語ります。

2017年の「WannaCry」ランサムウェア攻撃（Europolが「前例のない」と表現）は、コモディティマルウェアが産業・医療施設の双方を麻痺させられることを示しました。約20万台のコンピューターが世界中で感染し、Nissanが英国生産を停止、Deutsche Bahnなど交通機関で大混乱。英国NHSに約1億ポンドの損害と1.9万件の予約キャンセルをもたらしました。

「NotPetya」のような類似攻撃が、海運大手Maerskに数百万ドルの損害を与え、国家レベルのツールが野に放たれるリスクを浮き彫りにしました。WannaCryとNotPetyaの両方が、米国NSAが開発したEternalBlue脆弱性を悪用しました。最近の調査では、中国情報工作員がNSA由来ツールを独自攻撃に再利用していることが明らかになっています。

「我々は『悪いやつら』ナラティブを超える必要がある」とドーマス氏は主張します。「サイバー攻撃が患者害をもたらす時、それはしばしば偶発的です—他のシステム活動の副作用として。焦点は日常的リスクの軽減にあるべきです。」

OTセキュリティ研究もこの感情を支持します。シモノビッチ氏は、ほとんどの侵害がある程度の人為的エラーを伴うこと、産業セクターではインサイダー脅威が攻撃の大半を占めることを指摘します。

究極的に、コネクテッド産業・医療環境を守るには明確なリスク認識が必要です。「テクノロジーに精通したプロフェッショナルはますます認識していますが、多くの非技術スタッフは無防備です」とドーマス氏。「リスク評価と脅威モデリングが緩和優先度を導くべきです。すべての脆弱性を修正できるわけではないからです。」

効果的なリスク管理には、インパクトと可能性が最も高い脅威の優先順位付けと、多層防御の実装（パッチ管理、ネットワークセグメンテーション、安全なファームウェア更新、堅牢なインシデント対応計画）が含まれます。