SolarWinds侵害が露呈させたIoTとサプライチェーンのセキュリティ脆弱性

業界を問わず、サイバーセキュリティ侵害は規模と範囲を拡大し続けている。

3ヶ月前にロシアが仕掛けた広範なハッキングキャンペーンは、テキサス州のソフトウェアメーカーSolarWinds Corp.の最大18,000社の顧客に影響を与え、サプライチェーン攻撃の到達範囲がいかに広範であるかを示す悪質な事例だ。

「サプライチェーンリスク」という用語は、多くのセキュリティ脅威と脆弱性を包括する大きな傘だ。SolarWindsのケースでは、外国政府の代理と考えられる脅威アクターが、人気ツール「SolarWinds Orion」のソフトウェアアップデートをトロイの木馬化した。この攻撃により、数百社の企業と9つの連邦機関に潜在的なバックドアアクセスポイントが残された。そしてこれは判明しているだけに過ぎず、この侵害の影響は今後数年にわたって明らかになり続けるだろう。

他のサプライチェーンリスクは、電子デバイスに組み込まれたセキュリティ欠陥として顕在化する可能性がある。スマートフォン、プリンター、ルーター、IoTデバイス、重要インフラシステムのメーカーは、サードパーティからコンポーネントを購入している。これらのコンポーネントには、既存のセキュリティ欠陥を持つ組み込みファームウェアが搭載されている場合がある。さらに、そのファームウェアの一部はメーカーが書いたものではなく、ITコミュニティのボランティアによって維持されているオープンソースコード由来のものだ。

サプライチェーン業界が知るべきサイバー攻撃の実態

ベールに包まれたソフトウェア

デバイス内のソフトウェアの包括的なリストを求める購買者の動きが高まっているが、現状ではメーカーがそれを提供することは稀だ。このリストは「ソフトウェア部品表（SBOM）」と呼ばれ、サプライチェーンセキュリティの鍵となるが、万能薬ではないことに注意が必要だ。例えば、SBOMがあってもSolarWindsのバックドアを検出することはできなかった。必要だったのは、セキュリティチームのメンバーが、顧客へのリリース前に最終的なソフトウェアファイル自体を分析することだった。

後回しにされるセキュリティ

ソフトウェア開発者とデバイスメーカーは迅速な開発プロセスへ移行した。ソフトウェア側では、アジャイル開発フレームワークが多数の迅速なアップデートを推進する——新機能追加のため、時にはセキュリティ欠陥修正のためだ。デバイス側でも同様の動きがあり、特にバルク販売されるコモディティ製品としてのIoTデバイスで顕著だ。

どちらの場合も、セキュリティは後回しになりがちだ。セキュリティを優先しないリスクを認識するのは組織のリーダーシップであり、それらのリスクが悪用される前に前向きに軽減するのは開発チームだ。現実は、攻撃者が業界より大きく先を行っている。これが組織を受動的な姿勢に追いやり、多数の規制と基準を生み出してきた。企業、メーカー、購買者の双方が、これまで以上にプロアクティブなアプローチを取ることが重要だ。

アクセスの可能性

グローバルサプライチェーンは、その高度に接続され、しばしば不十分に保護されたシステムのため、特に魅力的な標的となっている。複数のデバイスでソフトウェアを複製するのは一般的な慣行だ——つまり、ハッカーがドアベルカメラの脆弱性を見つければ、別ブランドのドアベル、スマートTV、コネクテッド冷蔵庫、ホームサーモスタットも悪用できる可能性がある。

ハッカーにとって、単一デバイスに影響する脆弱性は取るに足らない。なぜなら、その類のハッキングを収益化するのは難しいからだ。しかし、広範なサプライチェーン脆弱性ははるかに高い価値を持つ。サプライチェーン幹部にとって、自社ビジネス内のどのデバイスが他システムへのピボット（足がかり）を可能にするかを考えることは重要だ。

SolarWinds侵害は、サイバーセキュリティコミュニティ内外の多くの人々にとって警鐘となった。他の人々にとっては、既に知っていたこと、そして防止に懸命に取り組んできたことの確認に過ぎなかった。

この攻撃から得られる最も重要な教訓は、ベンダー、ソフトウェア、デバイスへの信頼を再評価する必要があることだ。サプライチェーンのどの立場にあっても——ソフトウェアのエンドユーザー企業からOEM、ソフトウェアサプライヤーまで——あなたはベンダーとその製品に莫大な信頼を置いている可能性が高い。それらの信頼関係をどう評価し直すか、そして何より、ソフトウェア、ファームウェア、ハードウェアのセキュリティをライフサイクル全体を通じてどう検証できるかを理解する必要がある。

Matt Wyckhouse氏はFinite Stateの創業者兼CEO。