米イラン緊張の高まりで産業制御システムがサイバーリスク増大

最近の米国とイランの緊張激化により、産業制御システム（ICS）の脅威ランドスケープが高まっています。接続された産業インフラを運用する組織は、より警戒を強めたセキュリティ態勢を採用する必要があります。

CynamicsのCEO兼共同創業者Eyal Elyashiv氏は、イランのQasem Soleimani将軍暗殺に起因するサイバー影響が重大になる可能性があると警告しました。

業界アナリストは、米イラン対立の激化が全体的なサイバーリスクを高めると指摘します。Trend Microのインフラストラクチャ戦略担当VP、Bill Malik氏は「特定の攻撃計画に関する内部情報はないが、政治的緊張の高まりがより多くのサイバー攻撃を誘発するのは論理的だ」と述べています。

暗殺後、多数のサイバーセキュリティ専門家と米政府当局者が、イラン関連の敵対者からの攻撃リスク増大について警告を発しました。

Virtruのチーフソーシャルサイエンティスト、Andrea Little Limbago博士は、全面的なサイバー戦争よりも、小規模で気をそらす目的のサイバー攻撃の可能性が高いと警告します。彼女は「イランのサイバー活動（破壊的攻撃から偽情報まで）は長らく広範囲にわたっており、それが新しいことでも、今週の出来事に結びついたものでもない」と付け加えました。

過去10年間で、イランのサイバー能力は劇的に拡大しました。アナリストは、米国銀行へのDoS攻撃やサウジアラムコを標的としたカスタムマルウェアなど、一連の攻撃をイランのアクターに帰属させています。2015年には、イランのハッカーが米国電力網に侵入したとの報道もありました。

「米国当局はイランのサイバー到達力と能力について深く懸念すべきだ」とElyashiv氏は強調します。

1月4日に国土安全保障省（DHS）が発表したアラートでは、イランが最低限、米国の重要インフラに対して一時的な破壊的影響を与える攻撃を仕掛ける可能性があると警告しています。

同様に、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、金融、エネルギー、通信、産業制御システムに対するサイバー諜報活動と攻撃のリスクが高まっていることを強調しました。

2016年の米司法省起訴状では、イスラム革命防衛隊に関連する7人のイラン人請負業者が、複数の銀行とニューヨークのダムに対するサイバー攻撃で起訴されました。DHSも、イラン関連アクターが「インフラターゲットの偵察と計画、米国拠点へのサイバーを介した攻撃の実行」を行っていると警告しました。

産業分野では、イランに関連するハッカー集団Advanced Persistent Threat 33（APT33）が、防衛、輸送、エネルギー組織を標的にしているとCyberscoopが報じています。

Limbago氏は、現在の緊張レベルを考慮すると、イランが近い将来、ICSの脆弱性悪用を優先することはないと考えています。彼女は「イランは、重要インフラへの破壊的攻撃がエスカレーションと報復を招くことを理解している」と述べています。

元CIA対テロセンター実行ディレクターのCarol Rollie Flynn氏は、イランが報復を避けるため、より小規模なサイバー攻撃に焦点を当てると予測しています。

Limbago氏はまた、イランの敵対者が明確なICS関連のない民間セクター組織を標的にする可能性も示唆しています。2015年のSands Casino攻撃（イラン関与の疑い）がこのアプローチの先例です。

偽情報はイランのサイバー戦略の核心要素です。Limbago氏はこれらの作戦を「極めて多産でグローバル」と表現し、国内支持の強化と世界的な反米感情の醸成を狙っていると説明します。

サイバーリスクの管理

進化する地政学的状況に関わらず、産業オペレーターは接続デバイスの監査を行う必要があります。Malik氏は、技術インベントリの見直し、脆弱性評価、攻撃対象領域を縮小するコントロールの適用を推奨します。

稼働率が最優先されるため、多くの産業環境では古く、未パッチのハードウェアとソフトウェアが使い続けられています。Elyashiv氏は「重要インフラを守るこれらの旧式システムを超えて見る必要がある。最近の歴史が示すように、それらは容易に侵害され得る」と警告します。

AssetLink Global LLCの社長兼CEO、David Goldstein氏は、IIoTのセキュリティ確保にはハードウェアとソフトウェア以上のものが必要だと強調します。「IIoTセキュリティの答えは、ハードウェアとソフトウェアだけにはない」と同氏は述べます。

イランのナタンツ核濃縮施設へのStuxnet攻撃は、物理アクセス制御の重要性を示しました。この作戦では、二重スパイがエアギャップされた中央ネットワークにマルウェアをインストールし、最終的に約1,000基の遠心分離機を破壊しました。

Goldstein氏は、信頼とアクセス制御が重要だと指摘します。「誰と仕事をし、誰を信頼し、誰がシステムへの認証情報と物理アクセスを持つか。IoTシステムがあらゆるところに浸透するにつれ、アクターとパートナー間の信頼がますます重要になる」と述べています。

産業分野でのIoT技術普及に伴い、産業制御システムに精通したサイバー専門家の不足が続いています。Goldstein氏は、多くのアナリストが汎用的なIT手法を産業用IoTに適用し、独自プロトコルとアップデートの課題を見落としており、これらが重大な脆弱性になっていると警告します。

米国防総省やMITRE Corp.などの組織が、ICS向けMITRE ATT&CKなどのフレームワークでこのギャップを埋めようとしています。Malik氏は、このフレームワークにより、メーカー、所有者、オペレーターが攻撃シナリオを議論し、セクター横断で脆弱性を一貫して報告できると説明します。

Malik氏は、サイバーセキュリティは目的地ではなく旅だと強調します。現在の緊張が短期的な性質を持つことを考慮すると、「ICメーカーが生産セキュリティ態勢を短期間で急速に強化することは限定的だ」と述べています。

また、特定の脆弱性として、診断用のフィールドメンテナンスリンクが攻撃ベクトルになり得ることを指摘しました。Malik氏は、ベンダーに顧客データの保護、可能な場合のトラフィック暗号化、マルウェアのないソフトウェアアップデートの確保を求めました。