Dayという本は力作である。2000年代後半にイランのウラン濃縮施設がStuxnet(スタックスネット)と呼ばれるコンピュータウイルスによって攻撃された事件について、圧倒的な情報量でその実態を暴いていく。Weapon",Crown,2014.私は、「A国が関与するサイバー攻撃が発覚」などという報道があれば必ずA国の知人に「ほんとにやったの?」と聞くことにしている。いう馬鹿な質問にたいしては記事の全体あるいは一部がでたらめであることを強調する回答が返ってくるのがお決まりだ。そんな中、本書については「よく調査して書かれた本だと思う(ため息)」という反応があった。でたらめと否定したくとも、できないくらいに事実を積み重ねた。キム・ゼッターの類まれな才能と執念の成果である。部外者から見ても、本書が素晴らしい点はいくつかある。技術的な記述の細かさと正確さ。ウイルスの動きについて、実際に解析をおこなった当事者の多くにインタビューし、実に事細かく記載しているこれまでのサイバーセキュリティ界隈でのStuxnetの解説は何が起きたかに焦点があてられていた。本書はなぜそのような攻撃が行われたのか動機を明らかにするためにイランの核開発の歴史、それに対する国際社会の苦慮の歴史などの政治的な背景についても細かく解説する。Stuxnetにとどまらない調査。筆者の調査の直接のきっかけはStuxnetであるが、同じく米国の情報機関が関与しているとみられるいくつかの攻撃キャンペーンについても本書は詳しい。その比較からStuxnetのより深い闇をあぶり出している逆に本書の欠点は今のところ邦訳の刊行予定がないところだ。数年前に著者に連絡したところ、日本の出版社と交渉していると言っていたが、今日まで何も動いていないところを見るとお蔵入りしたのだろう。いうわけで、その内容の一部を私という余り精度の良くないフィルターを通して紹介するのが本記事の目的だ。おいて同様のウイルス感染による被害があった場合の教訓として考えられるのは以下のとおり。破壊活動は機器の誤動作と見間違えやすい。問題発生時の第一報は監督省庁や警察のような公的機関にもたらせるというの幻想。制御製品ベンダーに「最近おたくの製品調子悪いんだけど」という形でもたらされる可能性が高い。サプライヤー、保守会社などの周辺企業に足がかりが作られる。Security、カスペルスキーのブログは情報収集の対象として価値が高い。少なくともStuxnetについて彼らは何かを忖度して沈黙することがなかった少なくともペイロードの解析には個別の制御製品に関する深い知識もしくは制御ベンダーの協力が必要である。Stuxnetでシーメンスが沈黙したように大手ベンダーは各国政府やアセットオーナーとの関係で情報を公開できない可能性があるStuxnet規模のインシデントが発生した場合、オンサイトでのインシデント対応は生命身体の危険を伴う。機器やデザインも施設ごとに大きく異なり、部外者が乗り込んでいっても事態をかっこよく収束できないばかりか、現場の足手まといになる可能性すらある。Olympicが立ち上がったのが2005年。Stuxnet規模の攻撃には少なくとも準備に少なくとも4年の期間を要する。誰かが誰かに高度なサイバー攻撃をしかけようとして、その結果が出るのは4年後サイバー攻撃を行う側にとって、独自の技術開発をすればするほど、コードを書けば書くほど、自身の正体を特定される危険性を高める。暗号機能や通信機能など足がつきやすい部分を減らし、非効率でもオープンソースツールや既存のコードの改変を行うというトレンドはしばらく続くはず。本書に登場するワシントンD.C.の安全保障系シンクタンクは、米情報機関の独自につかんだ情報の情報源を隠したまま、国民に知らせて危機感を高めたい際の代弁者として機能している。シンクタンクの発表は「そういうものと思って」受け取る必要がある是非、一人でも多くの人に原書を手にとって読んで欲しいと思っている。Day"に記載の内容の私的なメモ。2年前くらいに作ってそれから更新してないので、重ねて原書を手にとることをお勧めする。イランにおける核開発プログラムが正式承認。Organization(イラン原子力庁、AEOI)設立。Unionが43億ドルの契約を受注。核施設はシャーと西側諸国の蜜月のシンボルとして攻撃の対象となる。米国は支援を打ち切り。イラク軍はイランの各施設を空爆目標にしていた。Khan)に支援を求める。カーンは欧州で原発の遠心分離器開発などに関わっており図面などを盗み出し、母国に持ち帰っていた。「イスラエルとの勢力均衡を保つため」としてイランの核開発に協力したことをTVインタビューで認めている。イランはパキスタンの核施設建設の主要なサプライヤーとして知られるドイツのブラックマーケット企業に接触。引き換えに、ウラン濃縮開始に必要な情報と材料をえる。Hemispherを作成するため"のマニュアルが含まれていた。イラン・イラク戦争が終結。ウラン濃縮に新たな資金が投入される。イラクにおいてIAEAが予測していなかった核開発が行われていたことが戦後に発覚した教訓から、より細かい状況把握が必要とする声が強まる。ヨーロッパの輸出規制強化をうけて、またIAEAなどの査察をさけるため、政府が直轄していた核開発施設を隠す動きはじまる。小規模のウラン濃縮実験が初めて成功する。ナタンツで施設の建設が始まる。Company"という名の企業が請け負った。この頃からCIAはイランが核開発のためにトルコの企業から調達している機材(バキュームポンプや無停電電源装置)に不正な動作をするよう細工を施した。IRAN)がプレスカンファレンスを開催。いわゆるイスラム国とは無関係)がイランの核処理関連の2つの機密サイトの存在を暴露する。NCRIがこの情報をどこから得たのかは不明であるが、イスラエルもしくは米国の情報機関がリークしたという説がある。米国人研究者がDigitalGlobeのアーカイブでナタンツ周辺の衛星画像(分解能16m)を購入する。何度か取得されており、画像購入費用は安く抑えられた。画像からはU字に建設された回廊、6-8フィート(182cm-240cm)の厚い壁などから、空爆への備えが見てとれた。衛星写真がCNNで報道される。イランのモハマド・ハタミ大統領、イランがウラン濃縮工場を建設していることを公式に認める。Heinonen他2人が査察に訪れる。ナタンツなどの施設を訪れる。環境サンプル取得も許されなかった。ウランの秘密貯蔵庫への立ち入り調査依頼に対し、イラン側はウランは存在しないと否定した。環境サンプルテスト実施をイランが承諾。イラン国内で低濃度と高濃度のウランが確認される。行っていることを認めた。Ab’adにレーザーウラン濃縮施設があると公表。イラン政府はこれを追認。その2ヶ月後NCRIはさらに2つの核処理施設があると指摘。ラン郊外のWarehouse地区にあり、自動車のスクラップ工場を装っているという。EU3(仏、独、英)の反発などもあり、イランはウラン濃縮の一時停止に合意。CIAがIAEAの査察チームに接触。イランの核開発について情報を提供した。ツ情報機関BNDに提供したもの。化ウランガスを生成するという野心的な計画が描かれていた。IAEAはこの文書についてイランに説明を求めるも、充分な解答をえられなかった。この頃アメリカの情報機関はイランが核兵器開発に充分な濃縮ウランを得るまでの時間を6-10年という予測をする。テヘラン市長であったマフムード・アフマディーネジャードが大統領に当選。イランが2004後半のウラン加工停止合意を破棄することを宣言。アフマディーネジャードが「ホロコーストは神話」と発言。ユダヤ人コミュニティとイランの間の緊張が高まる。(アメリカの外交当局によると)クェートが放射能監視の施設をイランとの国境付近に設置。イランはナタンツの試験プラントでのウラン濃縮を再開。イスラエルはイランの核兵器開発能力は2-4年で成熟するとの再評価をし、警戒を強めた。一度濃縮の手順をマスターすれば、遠心分離機は設置が容易なため、国内のどこでも濃縮が行えるとみられていた。イラン政府筋が最初のバッチで164機の遠心分離器を使い、3.5%濃縮ウランを得ることに成功したと公表。設置すべく準備がはじまったことも公表された。この実験について翌年イラン原子力委員会のトップは「技術者は遠心分離器50機を設置した。おこし、全ての遠心分離機が爆発した。後にUPSを調べたところ、細工がされていたことがわかった」と語った。国連安保理は8月末までにウラン濃縮をやめないない場合制裁を行うことを決議。アフマディーネジャードは強硬な発言で安保理決議に従わないと明言。この頃、西側情報機関はイラン(と関連企業)が遠心分離器の部品、およびミサイル部品を大量購入していることを把握していた。国連安保理はイランへの制裁を可決する。この制裁には核兵器開発につながる素材や技術のイランへの輸出を禁じるというものであった。その約一月後に核プログラムに関連するイランの個人資産を凍結する追加制裁が可決された。ナタンツでのウラン濃縮がはじまった年。地下施設に1400の遠心分離器の設置が完了。この時設置されたのは全て旧式のIR-1型。同時期にパキスタンからシリアに伝えられた高性能のIR-2型遠心分離器の生産が開始されていた。IR-4という新型の開発も並行していた。Estimate)が発表される。計画はストップしている。イランの核兵器開発の意思は低い」という分析が確度高として記載されていた。ドイツやイスラエルの情報機関はイランの核兵器開発の脅威はNIEに記載されているより高いとした。2007年末までにイランは3000機の遠心分離器をナタンツに設置し終えた。3000機のP-1遠心分離器がフル稼働した場合1年以内に核弾頭を作るのに充分な濃縮ウランが得られる、という専門家の分析もあった。(後のカスペルスキーの調査によれば)最初のStuxnet関連ウイルスが拡散された時期。ウィキリークスのジュリアン・アサンジがイラン筋からのリーク情報をもとに、近くナタンツで大きな事故が起こるであろうという予測をWebサイトに掲載。Aghazadeh(イランIAEAの長官で副首相)が突如辞任。.lnkファイルのゼロデイ脆弱性をつくウイルスの存在を公表。このウイルスは感染後にルートキットをコンピュータにインストールする。ルートキットとなるドライバはRealtekによって署名されている。コード署名の日付は2009/1。NCCIC(DHS)が問題を把握。ESETがJmicronの署名付きルートキットについてブログで発表。この検体のコード署名は2010/7/14のもの。シマンテックが2つのドメイン名への通信を自らのシンクホールに曲げる。この時100か国に100,000台のPCが感染していることが判明。ICS-CERTが制御システム所有事業者向けにシーメンスStep7を狙ったマルウェアについて注意を喚起。McGurkによればこの時までにExploitの解析はほとんど完了していたという。シマンテックがペイロードの部分的な解析結果をブログで公表。イランからシンクホールへの通信が突如減少した。(イラン国内で何らかの対策がとられたか、Stuxnetが動作を変更したとみられる。イラン政府がBushehrの核施設でStuxnet感染が確認されたが、制御系への影響はなかったと発言。ナタンツへの言及はなかった。01”,”7050h”,”9500h”の3つの値をもつ機器を探していることを突き止めた。Stuxnetには2つのExploitが含まれていた。MC7というバイナリ形式に変換された。(2回目のループでは1のステップで倍の26日待つ。Hulsebosがシマンテックにメールを送る。Profibusのネットワークカードは製造元によって決定された16bitの識別IDを持つという情報が提供される。Paya社製の周波数変換器であることが判明する。Shahriariが通勤途中に接近したバイクに車側壁に爆弾を設置され殺される。Abbasiは重症をおったものの一命を取り留める。Shahriariは核兵器開発に携わっていると見られていた。Fakhrizadeh-Mahabadiと親しかった。イラン政府はこれをテロ行為と即座に非難した。Abbasiは回復後イラン原子力庁のトップに任命された。白昼の襲撃の後イラン関係者に衝撃が広がり、何人かは(病気のためとして)業務をはなれたとされる。Daganの引退を発表。暗殺はDaganの最後の仕事ではないかとの観測が広まった。イランのアフマディーネジャード大統領は声明を発表。AlbrightがIAEAの四半期毎の査察報告書に含まれる、ナタンツで設置された遠心分離器とカスケードの数、濃縮を実際に行っている遠心分離器とそうでないものの数に注目した。2007-2008の間、設置数は着実に増加していた。離器が故障したことが報告書からよみとれた。Payaという会社の名前を聞き、またイランが周波数変換器を内製していることを知った。一方で1064hzより少し低い周波数(1007Hz)で動作しているとも聞いていた。ニューヨーク・タイムズの記事が公開される。Complexで実験が行われたという。リークした人物は不明。Windows上でのみ動作ルートキットによってファイルの存在を隠せないタイプの検知ソフトがインストールされている場合、動作をとめるSIEMENS製Step7がインストールされているマシンでは、細工したDLLを保存するDLLが再読込されるまで(OSもしくはStep7アプリケーションの再起動)まで待つ、マシンがS7-S7-315PLCに接続されると内部にもつコードをPLCに流し込むS7-S7-417PLC向けの攻撃コードは難読化が施され、S7-315PLC向けのExploitとは別のグループが作成したことを伺わせたシマンテックが解析した検体は3つであり、バージョン番号の抜けなどから、イラン当局の5種類確認しているという言葉は正しいとみられるペイロードの解析にはシーメンスPLCの知識が不可欠であり、シマンテックは真相に切り込めていなかった。Langnerがその部分を補完した。通常サイバー攻撃は初歩的なものから徐々に高度に進化する。関連インシデントのシナリオとして、特定のプラントで使用されるPLCがDDoS攻撃により動作を止めるという予測をしていた。Stuxnetは最初に確認されたICSへの攻撃でありながら、PLCを欺く高度な機能が備わっていた。Exploit部分4つのゼロデイ脆弱性が使用された。それらのゼロデイ脆弱性は後に調べると既にフォーラムなどで共有されていたものが多いことがわかった。プリンタースプールの脆弱性は2009/4にポーランドのセキュリティ雑誌に公表されていた。シーメンスのハードコードされたパスワードが利用されたが、これも2008/4にシーメンス製品のユーザフォーラムで話題になっていた。.LNKファイルの脆弱性については、類似の攻撃手法が2008/11にZlob(トロイの木馬)をインストールするのに使われていたことをMSが確認している。感染後21日間だけUSBメモリ経由での感染を試みるプログラムが生成するTempファイルをリネームし、痕跡を隠す感染後レジストリの特定箇所に0x19790509という値を書き込む。このレジストリキーがStuxnet感染のしるしとして使われる。Elghanianというユダヤ人ビジネスマンがテヘランで処刑された日と一致する。コードの中に開発環境のファイルパスが残っていて"b:¥myrtus¥src¥objfrew2kx86¥i386¥guava.pdb”とあった。このネーミングルールについていくつかの推測が可能である。Estherの改名前の名前はHadassahであった。Hadassahはヘブライ語で英語ではMyrtle(Mytrus)を意味する。不可解なちぐはぐさ全体的に高度な技術、オペレーションが行われているにもかかわらず、DLL自体の難読化などについては技術水準が低いシマンテックの解析者は、少なくとも3つのグループが分担して作成したとみている。3)C&Cサーバとの通信やDLLの暗号化を担当した技術水準の低いグループまた1)のペイロードについても対象となった2つの機器それぞれについて、別の開発グループが関与したことがうたがわれている感染の経路Stuxnetには感染したマシンに小さなログを残す機能があり、このログから感染マシン上のStuxnetの感染経路を確認することができる。