デジタルトランスフォーメーションが発電所をサイバー攻撃に晒す：知っておくべきこと

物理プロセスの監視・制御のための運用技術（OT）のデジタルトランスフォーメーションは、新たな盲点を生み、既存の盲点を拡大し、産業制御システム（ICS）を国家レベルの攻撃に対して脆弱にしています。

軍事兵器で密集地域を狙うよりも、発電所への侵入を優先するテロ攻撃をすでに目撃しています。2015年12月のウクライナ西部での送電網攻撃では、23万人以上が最大6時間停電しました。ウクライナはロシアの犯行と断定。12ヶ月後、再び送電システムが標的となり、キエフの大部分に影響が出ました。プエルトリコの配電会社が今年6月、DoSサイバー攻撃を受け、数十万世帯が停電し、その後火災で変電所が焼失しました。

ニューヨークのような大都市で数週間続く停電を狙った国家レベルの攻撃が起きることは、決して荒唐無稽ではありません。実際、専門家はそのレベルの事態が発生する可能性が高いと考えています。

シーメンス後援のポネモン研究所レポートによると、OTセキュリティ専門家の56%が、過去12ヶ月でOT環境での機密情報漏洩または停止を伴う攻撃を少なくとも1回経験したと報告しています。

なぜこれらの攻撃がこれほど一般的になったのか？ より安全なOT環境を育むには何が必要か？

第4次産業革命

公益事業者は効率と生産性の向上を求めてモダナイズを進めています。その目標達成には、以前は社内で手作業で行われていた多くのプロセスをデジタル化・自動化することが必要です。この移行はあまりに急速で、セキュリティが後回しになっています。

産業プロセスの急速なデジタル刷新、いわゆる「第4次産業革命」により、より多くのシステムとプロセスがオンライン化されています。これは本質的に、脅威アクターの潜在的侵入ポイントを増やします。これほど多くの産業が同時にこれを行っているため、より重大な攻撃の機会も増えています。

過去数十年、ICSコンポーネントを動かすデータセンターとメインフレームは「エアギャップ（物理的遮断）」されていました。ITシステムはローカルネットワーク上にありましたが、インターネットには接続されていませんでした。多くの施設はこれがシステムを攻撃から守ると誤って信じていましたが、USBデバイス経由でウイルスを感染させる「バッシュバニー」攻撃のようなオンサイト攻撃には脆弱でした。

これはイランのブーシェール原子力発電所がStuxnetワームで攻撃された際の事例です。フラッシュドライブ経由でネットワークに導入されたStuxnetは、ネットワーク上の他の資産、ウランガス濃縮用遠心分離機などに感染拡大しました。

より多くの公益事業者とOT施設がシステムのオンライン化を競う中、プロセスのステップの一つとして適切なセキュリティリソースを割り当てていません。レガシー機器の接続とIoTデバイスの追加が進むほど、潜在的脅威アクターの攻撃対象領域は拡大します。

脅威アクターの進化

不十分なセキュリティを増幅させているのが、脅威アクターが組織を悪用する手口がますます創造的かつ洗練されていることです。実は、彼らが常にネットワークに侵入するわけではありません。

ポネモン研究所の調査によると、OT攻撃の大半はインサイダー脅威です。最も著名なのは1999年、当時オーストラリアのマルーチーシャイアで起きた事件です。下水管管理を担当していた不満を持った作業員が退職し、直後に海賊版制御システムソフトウェアを通じてシステムを悪用しました。

インサイダー脅威は必ずしも悪意ある従業員とは限りません。不注意なユーザーがフィッシング攻撃の犠牲になったり、弱いパスワードを使ったり、リンクをクリックしてハッカーにアクセスを許したりするケースも多いです。もう一つの一般的な経路は、ネットワークへの扉を開き悪用につながるサードパーティや請負業者です。Kaseyaサプライチェーン攻撃では、ランサムウェアグループREvilがソフトウェアアップデートを通じて数百社にアクセスしました。サードパーティは一般的にセキュアではなく、企業は彼らが安全だと仮定すべきではありません。

ガートナーはOTセキュリティに強気で、産業組織が適切な制御フレームワークを定義するのに苦労していると警鐘を鳴らしています。ガートナーはまた、2025年までに攻撃者が「OT環境を兵器化し、人間を傷つけたり殺害したりすることに成功する」と予測しています。

多くの企業が過去数十年のプロセスに深く根ざし、ニュースのハッキング・侵害・攻撃を自分たちへの脅威と見ていません。「壊れていないものを直したくない」のです。実は、壊れるまで壊れる可能性すら認識していません。

OT保護への新たなアプローチ

企業はネットワークへの適切な可視性と、個々のアセットレベルまで包括的な理解、それらのリソースとユーザーが互いに、そしてネットワーク全体とどう接続しているかを把握する必要があります。ついにネットワークの詳細を掘り下げた企業は、自分たちが気づいていなかった「ゴーストアセット」を発見することがよくあります。それらは悪用される前に発見すべきセキュリティ問題です。

企業が自分たちをより良く守るための第一歩は、包括的なセキュリティトレーニングで従業員に適切なセキュリティ衛生を教育することです。セキュリティに光を当てる企業でさえ、往々にしてわずかなスライドデッキで済ませ、従業員に対して学んだことの重要性をフォローアップしません。

最優先事項は常にOTマシンの有効性と機能性ですが、攻撃を受ければ何の役にも立ちません。何を警戒すべきか、攻撃がどれほど一般的になっているかを従業員に教育することは、大きな効果をもたらす可能性があります。

2021年3月、フロリダ州オールズマーの水道システムがハッキングされ、脅威アクターが次亜塩素酸ナトリウム濃度を危険なレベルまで引き上げた際、注意深い技術者が災難を防ぎました。変化に気づき、単なる故障ではなく攻撃だと即座に判断したのです。

10月には、イランの全国スタンドが閉鎖を強いられました。イランはサイバー攻撃が原因だとし、イラン国民の燃料価格を補助する政府発行電子カードが標的とされたと述べています。

このような攻撃から守るには、企業はネットワークへの完全な可視性を確保し、接続されているすべての資産と脆弱性を把握する必要があります。しかし、それは第一歩に過ぎません。包括的なOTセキュリティツールには、ICS機械に対するアラート機能があり、セキュリティ面だけでなく生産性のレッドフラグも検知します。適切なセキュリティ制御は、日常業務に影響を与えず、ネットワークに大幅な変更を加えることなく、OTネットワークの可視性と対応能力を提供します。

パッシブ技術は、センシティブなOTネットワークに一切影響を与えずに活動を監視できます。破壊的な「インライン」プラットフォームとは異なります。適切なパッシブプラットフォームは、高スループットに対応し、最小限の誤検知率を保証します。

新しいツールの活用は、実証済みプロセスを変更したがらないベテランOT幹部にとって困難かもしれません。しかし、企業と消費者の双方に広範な被害をもたらす潜在的攻撃を恐れて生きるより、備える方が賢明です。

Elad Ben-Meir氏はSCADAfenceの最高経営責任者です。