セキュリティ
CISAはRockwell製コントローラーに限定していた警戒範囲を拡大し、重要インフラ全体でインターネットに露出したデバイスを狙う侵入者に注意を呼びかけています
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、水道や電力施設を含む重要インフラを攻撃しているイラン関係のハッカーに関する警戒情報の対象範囲を拡大しました。
当初の勧告ではRockwell Automation/Allen-Bradley製のプログラマブルロジックコントローラー(PLC)に焦点が当てられていました。しかし今回の更新情報では、この活動がSchneider ElectricやSiemens、そして「その他のブランド・メーカーのPLCにも及ぶ可能性がある」と警告しています。
米国とイランの対立は4カ月目に突入しており、当局は3月以降、イラン関係の高度persistent脅威(APT)集団がPLCを標的にして混乱を引き起こそうとしている動きを確認しています。
PLCは産業プロセスの制御・監視に使用されています。当局によると、今回の活動は、イランのイスラム革命防衛隊(IRGC)サイバー電子軍(CEC)と関係があるハッカー集団CyberAv3ngers(通称Shahid Kaveh Group)による過去のPLC攻撃と類似しているとのことです。
今回の焦点は主にインターネットに露出したPLCに関するものです。CISAは、攻撃者が開放されたポートを通じてデバイスを狙っていると指摘しています。「他のOTベンダーのプロトコルに関連するポートが狙われていることから、これらの攻撃者はRockwell Automation/Allen-Bradley以外の企業が製造したデバイス、特にSchneider ElectricやSiemensの製品を日和見的に狙っていると考えられます」
「報告されたある事例では、攻撃者は被害者のモデム上でDropbear Secure Shell(SSH)ソフトウェアを利用し、ポート22経由でリモートアクセスできるようにしていました」
侵入後、攻撃者はデバイスのプロジェクトファイルを抜き取り、そのロジックを改ざんまたは削除します。
CISAは「さらに、この改ざんによって重要な停止・警報ロジックが無効化され、システムが異常を運用者に通知することなく危険な状態に陥る可能性がありました」と述べています。
今回の勧告対象範囲がPLCの拡大に及んだことは、外部からアクセス可能な機器を把握しておくことの重要性を改めて浮き彫りにしています。PLCを公開インターネットから切り離すという従来の緩和策に加え、当局は、独立したアーキテクチャの導入や、PLCデバイスへのネットワークアクセス制御の検討を組織に勧めています。
また、PLC上で稼働しているプロジェクトファイルに不正な変更がないか確認すること、サービスプロバイダーにPLCを狙う脅威について周知しておくこと、そしてデフォルトパスワードを必ず変更しておくことも有効な対策と言えるでしょう。®
