サプライチェーンの脆弱性が産業用IoTセキュリティを脅かす

Industrial IoT（IIoT）企業は、生産ラインを稼働させる原材料とコンポーネントを調達するため、信頼できるサプライチェーンに依存しています。これら主要サプライチェーンは厳重に監視されていますが、IIoTインフラを支えるハードウェアを届ける、第二の、しばしば見過ごされるチェーンが存在します。透明性が限られるため、IIoTデバイス内部コンポーネントの起源を追跡するのは困難で、多くは悪用可能なセキュリティ欠陥を抱えたまま到着します。

単一のIIoTデバイスがしばしば数十のグローバルサプライヤーから組み立てられるため、埋め込まれた脆弱性のリスクが増大します。Finite Stateの2019年『Finite State Supply Chain Assessment』レポートによれば、コンポーネントはボードへの統合、テスト、OEMによる出荷前に、複数層のサプライヤーとインテグレーターを経由します。

IIoTインフラへの現実的かつ多数のリスク

ネットワークオペレーターはサプライチェーンリスクを認識していますが、特定の脆弱性を特定するのは困難です。IIoT導入はしばしばメーカーの壁を超え、シッパー、マーチャント、パートナーへ及ぶため、ネットワークが拡大するにつれ、悪意あるコードの伝播や、一見無害なファームウェアがオープンポートを露出する可能性が高まります。

Finite StateのCEO、マット・ウィックハウス氏は、多くの組み込みシステムが資産所有者の知らぬ隠れた脆弱性を含むと観察します。侵害は、攻撃者が企業システムに侵入し、産業制御システム（ICS）、生産プロセス、重要企業データを危険にさらす足がかりになり得ます。ファームウェア更新が遅延または未適用の場合、問題は増幅されます。

ARC Advisory Groupの2019年7月『The State of Industrial Cybersecurity』調査では、回答者の26%がサプライチェーンやパートナーリスクなどのサードパーティ脅威を「主要な懸念」とし、44%が「軽微な懸念」と見なしました。注目すべきは、ランサムウェア（70%）と標的型攻撃（68%）がサプライチェーン侵害経由で発動可能とされた点です。

同調査で、28%の回答者が自社ICSが標的となる可能性を「非常に高い」または「かなり高い」と感じていました。Irdetoの2019年『Global Connected Industries Cybersecurity Survey』では、大手企業が使用するIoTデバイスのうち、過去1年間攻撃を受けなかったのはわずか17%でした。

IoTセキュリティの更なる情報については、12月のIoT Security Summitへの登録をご検討ください。

IIoTサプライチェーンが侵害される仕組み

生産を停止する従来のサプライチェーン混乱とは異なり、IIoT侵害は隠密で、数週間から数ヶ月にわたり進行することが多々あります。攻撃者は通常、ティア2の産業用IoTサプライヤーを侵害し、そのWebサイトに侵入して正規ファームウェアをトロイの木馬化バージョンに置き換えます。ネットワーク管理者は気づかずにこの悪意あるファームウェアをダウンロード・導入し、攻撃者にプラントのファイアウォール内への足がかりを与えます。

内部に入れば、攻撃者は産業ネットワークから企業データネットワークへ横展開し、乗数効果を生みます。10年以上前に導入された古いデバイス（センサー、コンポーネント）は、サポートとパッチ適用が古いため、より高いリスクを持ちます。Finite Stateの研究では、2003年のOpenSSLバージョンを使用したHuaweiコンポーネントが引用されており、これはよく文書化された脆弱性です。

バックドア（意図的なデバッグポートや隠れたAPIアクセスポイント）も、悪意あるアクターの侵入経路となり得ます。多くの場合、メーカーはサポート支援のためにこれらのポートを開放したままにし、偶然にも攻撃者に容易な入り口を提供しています。一部の国は、知的財産窃取のために意図的なバックドアを持つ製品を輸出している可能性さえあります。

ニューヨーク大学タンドン工学部の研究は、IoTがセキュリティ基準の面からは依然としてほぼ無規制であることを強調します。デバイス所有者は上流サプライチェーンをほぼ制御できず、多くのサプライヤーはサイバーセキュリティ慣行を開示しません。

悪意あるアクターの目的

攻撃はしばしばランサムウェアを狙い、身代金支払いまで生産を停止させます。センサーデータ改ざんや危険な機械設定による生産ライン妨害は、不良品と安全ハザードを引き起こす可能性があります。2020年3月のOTセキュリティベストプラクティスレポートは、このような侵害が人命、環境、国家経済を脅かすと警告しています。

注目セクター（エネルギー、電力網、石油・ガス、パンデミック下でますます医療）が主要標的です。Finite Stateのウィックハウス氏は病院へのランサムウェア攻撃増加を指摘し、Adolusのバイヤーズ氏は医療セクターを新たな「標的豊富な環境」と特定しています。

金銭的動機を超え、攻撃者は知的財産を狙うか、サプライチェーンを企業ネットワーク侵入の初期足がかりとして利用する可能性があります。

IIoTサプライチェーン弱点の緩和

効果的な防御は、全IIoTデバイスの包括的インベントリから始まります。これにサプライチェーンリスク評価を続け、マクロリスク（ランサムウェア、データ窃取等）を特定し、各デバイスの固有脆弱性を評価します。

IIoTトラフィックをエアギャッピングで分離し、OTをITネットワークから切り離すことを検討します。購入時点でサプライヤーを評価します。ベンダーのセキュリティ姿勢は調達時に最も評価しやすいです。大量購入の場合、一貫したセキュリティ基準を確保する正式な審査プロセスを確立します。

セキュリティ声明以上のものを要求します。詳細なセキュリティレポートやサードパーティ評価を請求します。NIST National Vulnerability Databaseなどの公的リソースを活用し、Common Vulnerabilities and Exposures（CVE）と照合します。

新興サービスがこれらの課題に対応しています。米国国土安全保障省イニシアチブから生まれたAdolusは、デバイス系譜、コンポーネント起源、既知脆弱性を追跡するデータベースを提供します。Finite Stateは、隠れたリスクを検出し、更新後のリスクプロファイルを再評価するファームウェア分析ツールを提供します。