※元の英語記事は、2014年6月4日に公開されました。今回の主なテーマは重要インフラのセキュリティだ。重要インフラに関して注視すべき問題や危険を取り上げる。その他の産業用制御システム(ICS)への攻撃だ。実をいうと、この記事にあまり「ニュース」はない。先々週のニュースのようなものをお伝えする記事だ。重要インフラのセキュリティの問題は毎週起きるわけではない。少なくとも、記事にするほど興味深い事件はそうそう起きるものではないのだ。その理由は、ほとんどの事件が隠ぺいされるためだろう(無理もない話だが、それでも心配だ)。誰も気づいていないからかもしれない(攻撃はひそかに実行されている可能性がある。こちらの方がずっと心配だ)。いうわけで、重要インフラのセキュリティ問題に関する現在の状況とトレンドを示す興味深い事実と、それに伴う脅威を目の前にしてなすべきことについてのヒントを紹介する。初日にハッキングされるだろうICSの建造と設置を手がけるエンジニアは、「中断のない安定した運用ができれば、後のことなど知らない!」をモットーにしている。そのため、ハッカーにシステムを乗っ取られてしまうぜい弱性が制御システムに見つかったとしても、システムがインターネットに接続されたとしても、本当にひどいパスワードが・・・たとえば「12345678」というパスワードが使われたとしても、知ったことではないのだ!エンジニアは、システムが絶えず、円滑に、同じ温度で動作することしか頭にない。パッチ適用などを実施する場合は、システムの稼働がしばらく停止する可能性があり、実際に停止する。ICSエンジニアにとっては受け入れがたいことだ。いえ、これが重要インフラの現状である。黒と白の中間の灰色は見ていない。それとも、必死になって現実から目をそらしているのだろうか?我々は昨年9月、稼働中の産業システムに見せかけたハニーポットをしかけて、インターネットに接続した。するとどうなったか?1か月のうちに442回の侵入を受け、内部のプログラマブルロジックコントローラー(PLC)にまでアクセスされることも何度かあった。PLCを再プロミングした頭のいいサイバー犯罪者も1人いた(Stuxnetのようだ)。我々のハニーポットの実験でわかったのは、ICSがインターネットに接続されたとしたら、ほぼ100%間違いなく、初日にハッキングされるということだ。ハッキングされてしまったICSに対して何ができるかというと・・・そう、天を仰ぐしかない。ハリウッドのアクション映画のような筋書きだ。それに、一口にICSといっても、さまざまな形状やサイズがある。原子力施設のマルウェアニュースソース斬新な新年の迎え方ではないか・・・。日本の原子力発電所もんじゅの管制センターにある1台のコンピューターが、2014年を迎える数時間前、マルウェアに感染したことが判明した。このマルウェアはフリーソフトウェアの更新によって侵入したのだ!冗談で言っているのではない。私はこの事実をしばらく受け入れられなかった。原子炉の制御室でフリーソフトウェアを使うような職員が働いていたのか?長く孤独な夜勤を乗り切るためにビデオプレイヤーを更新したというのか?そもそも、このコンピューターはインターネットに接続されていたのか?????このようなことが二度と起きないように言っておくが、産業用コンピューターは世捨て人のような存在となり、外の世界とは一切関わりをもってはならない。これはUSBメモリにも当てはまる。このような重要な施設と関わりを持つものは、何一つ残らず極めて慎重に調べる必要がある。ナタンズに侵入したStuxnetもUSBから感染したことを忘れてはならない。以前、『ダイ・ハード4.0』の脚本について書いた。半分はハリウッド映画のでたらめな脚色だが、もう半分は、いつか現実に起きる可能性が十分にある。これと同様に、いつの日か現実になるかもしれないという話がある・・・あるリサーチャーが、信号機の制御システムに侵入することで米国の都市の道路にディスコの照明を設置できるかどうかを確かめた。このリサーチャーのレポートは非常に説得力がある。私が特に気に入っているのは、以下の結論の部分だ。「ベンダーによれば、もう1つのぜい弱性はこのデバイスの新しいバージョンで修正済みだという。新しいデバイスを購入して古いものと交換する必要があるというのは、大きな問題だ」コカイン風味のバナナ今では実質的にあらゆる場所のあらゆるものがコンピューターによって制御されている。コンピューターを持っているということは、常にハッキングされる可能性があるということだ。ハッキングが可能なのだとしたら、『ウォッチドッグス』のようなシナリオがますます現実味を増してくる。ベルギーでの例を紹介しよう。常に独創的な南米の麻薬密売人が、バナナを運ぶ貨物コンテナーにコカインを忍ばせた。コンテナーは船でヨーロッパまで運ばれて、アントワープの倉庫に置かれた。次に、コカイン密売人に雇われたハッカーが作戦を引き継ぐ。マルウェアを使った何らかの方法で倉庫の制御システムに侵入し、コカインの入ったコンテナーの位置情報を追跡した。大型トラックを向かわせて、バナナの荷受人が現れる前にコカインを回収したというわけだ。この例から、昔ながらの麻薬組織とサイバー犯罪が、産業システムという分野で結びつきを強めつつあることがわかる。Appleのパッチ提供は遅いかもしれないが、ICSはもっと遅いICSのセキュリティの問題が深刻化するのは、運用する側がICSの稼働中断に消極的であることだけでなく、ICSのベンダーにも原因がある。いえ、少なくとも今は、状況は少しずつ改善し始めている。開発元が自社製品のセキュリティに関する明らかなミスを露骨に隠ぺいするという常軌を逸した事例は、しばらく見ていない。ここでの真の問題を理解するために、RuggedComという企業に関するケースをお話ししたいと思う。いった重要な分野向けにネットワーク機器を製造している企業だ。これは珍しいケースではない。その反対で、よくあるケースなのだ。2011年初頭、あるリサーチャーがRuggedComの機器にセキュリティホールを発見した。管理者アクセスの情報を比較的簡単に取得できるというぜい弱性だ。リサーチャーはこのぜい弱性をRuggedComに伝え、何らかの不正アクセス対策を実施するか、せめてリモートアクセスをブロックするよう顧客に推奨することを、1年にわたって同社に訴え続けた。