米イラン緊張の高まりで産業制御システムが危機に

エスカレートする米国とイランの緊張の中、接続された産業インフラを運用する組織は、サイバー防御を強化する必要があります。

「ガーセム・ソレイマニ将軍暗殺のサイバー影響は深刻だ」と、ネットワークセキュリティ企業CynamicsのCEO兼共同創業者Eyal Elyashiv氏は警告しました。

業界アナリストは、最近の米イラン衝突が全体的なサイバーリスクを拡大すると指摘します。「特定の攻撃に関する内部情報はないが、政治的緊張の高まりがより多くのサイバー攻撃を誘発する可能性が高い」と、Trend Microのインフラストラクチャ戦略担当バイスプレジデントBill Malik氏は語りました。

ソレイマニ氏の死後、サイバーセキュリティ専門家と米国当局の双方が、イラン関連の敵対者が産業制御システムに脅威をもたらすことを警告しています。

一部の専門家は、攻撃者が全面的なサイバー戦争ではなく、より小規模で陽動目的のサイバーインシデントを仕掛ける可能性があると主張します。「全面的なサイバー紛争を想定するのは時期尚早だ」と、VirtruのチーフソーシャルサイエンティストAndrea Little Limbago博士は指摘します。「破壊的攻撃から偽情報まで、イランのサイバー活動は数年間広範囲にわたっており、最近の出来事に特有のものではない。」

過去10年間で、イランのサイバー能力は劇的に成長しました。セキュリティ研究者たちは、米国銀行へのDDoS攻撃やサウジアラムコを標的としたカスタムマルウェアなど、一連の攻撃をイランのアクターに帰属させています。2015年には、イランのハッカーが米国電力網に侵入したとの報告もありました。

「米国当局はイランのサイバー到達力と能力について深く懸念すべきだ」とElyashiv氏は強調しました。

二国間緊張の緩和報道があるにもかかわらず、1月4日付けのDHSアラートでは、イランが「米国の重要インフラに対して一時的な破壊的影響を与える攻撃を仕掛ける可能性がある」と警告しています。

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）も同様に、戦略的セクター（金融、エネルギー、通信）への攻撃とサイバー諜報活動のリスク増大を指摘し、産業制御システムと運用技術への注目が高まっていることを示しました。

イランのアクターは米国インフラを標的にしてきた実績があります。2016年、司法省はイスラム革命防衛隊に関連する7人の請負業者を、複数の銀行とニューヨークのダムへのサイバー攻撃で起訴しました。DHSも、イラン関連アクターが「インフラターゲットの偵察と計画を行い、多様な米国サイトに対してサイバーを介した攻撃を実行している」と警告しました。

産業ターゲットも例外ではありません。Cyberscoopによると、イラン関連のハッカー集団Advanced Persistent Threat 33が、防衛、輸送、エネルギーセクターを繰り返し標的にしています。

Limbago氏は、イランがICS脆弱性の悪用に即座に焦点を当てることは時期尚早だと警告します。「緊張がさらに高まれば戦略は変わる可能性があるが、現時点ではイランのサイバー活動はグレーゾーン（全面戦争の一歩手前）にとどまっている」と説明します。「イランは、重要インフラへの破壊的攻撃が報復を招くことを知っている。」

元CIA対テロセンター実行ディレクターCarol Rollie Flynn氏は、イランが米国の報復を避けるため、より小規模なサイバー攻撃を仕掛けると予測します。「彼らはレーダーの下に留まりたい」と彼女は語ります。

Limbago氏はまた、イランが明確な産業リンクのない民間セクター組織を標的にする可能性も警告しています。彼女は、2015年に元国家情報長官James Clapper氏が、CEOのSheldon Adelson氏の発言に対する報復としてSands Casinoへの攻撃をイランの仕業と断定した事例を挙げました。「イランは通常、行政部門と関連する民間企業を標的にし、より広範な米国の対応を引き起こさずに財務的損害を与えようとする」とLimbago氏は指摘します。

偽情報キャンペーンはイランのサイバー戦略の核心をなします。Limbago氏はそれらを「極めて多産でグローバル」と表現します。「これらの作戦は、国内では親政府感情を高め、国際的には反米ナラティブを煽るために、今後も持続するだろう」と彼女は付け加えました。

サイバーリスクの管理

現在の緊張がどう展開するにせよ、産業インフラオペレーターにとって接続デバイスの監査を行う好機です。「産業制御システムの所有者とオペレーターに、技術インベントリの作成、脆弱性評価、攻撃対象領域を縮小するコントロールの実装を強く推奨する」とMalik氏は助言します。

産業主体は稼働率を最優先するため、しばしばレガシーで未パッチのハードウェアとソフトウェアに依存します。「これらの旧式システムを超えて見る必要がある。歴史が示すように、それらは容易に侵害され得る」とElyashiv氏は警告します。

サイバー衛生は不可欠ですが、AssetLink Global LLCの社長兼CEO David Goldstein氏は、強固な物理セキュリティの必要性を強調します。「IIoTセキュリティはハードウェアとソフトウェアだけの問題ではない」と同氏は述べます。

物理アクセスは、2010年のイラン・ナタンツ核濃縮施設へのStuxnet作戦で決定的でした。米国とイスラエルの情報機関に関連する二重スパイが、エアギャップされたネットワークにマルウェアを導入し、最終的に約1,000基の遠心分離機を無力化したと報じられています。

Goldstein氏は、Stuxnetが厳格なアクセス制御と信頼の必要性を浮き彫りにしたと指摘します。「誰と協力するか、パートナーにどれだけ信頼を置くか、誰が物理アクセスを持つかが重要な要素だ」と強調します。

産業分野でのIoT普及に伴い、産業制御システムに特化したサイバー専門家の不足が浮上しています。「多くのアナリストが、産業用IoTに従来のIT戦術を適用し、独自プロトコルとアップデートの課題を考慮せず、重大な脆弱性を生んでいる」とGoldstein氏は警告します。

国防総省やMITRE Corporationなどの連邦機関が、ICS向けMITRE ATT&CKなどの産業制御フレームワークでこのギャップに対処しています。「このフレームワークにより、メーカー、所有者、オペレーターが攻撃シナリオを明確化し、セクター横断で脆弱性を一貫して報告できる」とMalik氏は説明します。「すべての組織がこれを採用し、ICSセキュリティ態勢を評価すべきだ。」

Malik氏は、サイバーセキュリティは継続的な旅であり、目的地ではないと強調します。「高まった緊張が短期的であれば、メーカーが生産セキュリティを急速に強化する余地は限定的だ」と述べています。

重要な脆弱性として、フィールドメンテナンスリンクを指摘しました。「ベンダーがメンテナンスや故障診断のために機器にアクセスする際、それらの接続が潜在的な攻撃ベクトルになる」とMalik氏は警告します。

Malik氏は、ベンダーに顧客データの保護、可能な場合のトラフィック暗号化、ソフトウェアアップデートの安全性確保を求めました。「ある顧客の些細な問題が、メーカーにパッチ展開を促し、それが意図せずマルウェアをポートフォリオ全体に拡散させる事態になれば、壊滅的だ」と警告しています。