CISAが、サイバー攻撃時に重要システムを隔離するための対策を公表

米国とオーストラリア両政府は、サイバー攻撃やその他の重大な障害が発生した際に、重要インフラ組織が基幹となる運用技術(OT)システムを隔離できるよう備えることを求める新たなガイダンスを公表しました。

「CI Fortify – Advice for isolating vital systems」と題されたこのガイダンスは、米サイバーセキュリティ・インフラセキュリティ庁(CISA)、オーストラリア信号総局(ASD)傘下のオーストラリア・サイバーセキュリティセンター(ACSC)、FBI、および各国のパートナー機関が共同で策定しました。

ガイダンスでは、重要な運用技術(OT)およびその関連システムを、企業ネットワークやインターネットに接続されたネットワーク、その他信頼性の低いネットワークから切り離しつつ、長期間にわたって必須サービスを提供し続けるための推奨事項が示されています。

運用技術には、浄水設備、電力システム、製造機械、輸送システム、通信インフラなど、各種プロセスの監視・制御に用いられるハードウェアおよびソフトウェアが含まれます。

各機関によると、国家の支援を受けた脅威アクターは、諜報活動を目的として重要インフラを常態的に標的にしているほか、危機や軍事的衝突の際に破壊的・妨害的な攻撃に転用できるアクセス経路を確立しようとしています。

「サイバー犯罪者は依然として、日和見的にCI(重要インフラ)事業者を標的にしています」と勧告には記されています。

「これらの事業者が保有するデータの機密性と、提供するサービスの重要性は、データ窃取やランサムウェア攻撃を通じて被害者を恐喝しようとするサイバー犯罪者にとって、破壊的・妨害的な目的達成のため格好の標的となっています」

2024年2月、CISA、FBI、NSA、および他のファイブアイズ加盟国の機関は、中国のハッキング集団Volt Typhoonが通信、エネルギー、輸送、水道の各分野の組織に侵入していたと警告しました。

ハッカーらは少なくとも1つの重要インフラネットワーク内に5年間検知されずに潜伏していたとされ、米当局は、将来の危機や紛争の際に破壊的な攻撃を仕掛けるための布石を打っていたのではないかと警告しています。

Salt Typhoonと追跡されている中国の国家支援型ハッカー集団も、少なくとも2021年以降、世界中の政府機関、通信事業者、輸送機関、宿泊施設、軍事関連ネットワークに侵入しています。

この集団は米国の主要通信事業者であるAT&T、Verizon、Lumenを侵害し、機密性の高い通信データや米法執行機関の盗聴システムへのアクセスを獲得しました。

ハッカーらはまた、エッジネットワーク機器に存在する既知の脆弱性を悪用し、侵害した機器や信頼済みの接続経路を足がかりに他のネットワークへ侵入を広げていました。

水道インフラも繰り返し標的にされています。2024年10月には、1,400万人以上に上水道・下水道サービスを提供するAmerican Waterがサイバー攻撃を受け一部システムを停止しました。同時期には、カンザス州の浄水施設もシステム侵害を受けて手動運転に切り替えました。

政府機関はさらに、親ロシア派のハクティビストが水道施設をはじめとする重要インフラ組織の未保護なOTシステムを狙っているとも警告しています。

今回公表された新しいCI Fortifyガイダンスは、攻撃がすでに進行している最中に重要システムをどう切り離すかを考えるのではなく、事前に備えを整えておくことを組織に促す狙いがあります。

重要システムの隔離

各機関は、重要インフラ事業者に対し、まず重要サービスの提供継続に必要な最小限のシステムとネットワークを特定するよう推奨しています。

その上で組織は、それらのシステムと企業ネットワーク、リモートアクセスサービス、クラウド環境、インターネットに接続されたインフラ、ベンダーや契約業者、その他の重要インフラ事業者との間にあるすべての接続を文書化する必要があります。

また、それらの接続をどこで無効化または物理的に切断できるかを見極めるとともに、隔離によって生じ得る手動プロセスへの切り替え、通信障害、外部リソースや依存関係の喪失についても考慮しておくべきです。

この勧告で組織に理解しておくよう推奨されている用語・プロセスの一部は以下の通りです。

• 重要システム(Vital systems): 水道の配水制御、電力供給、通信ネットワークの運用など、重要サービスの提供に必要な最小限のOTおよび関連システム。
• 隔離ポイント(Isolation point): 攻撃を封じ込め、他の重要システムへの横展開を防ぐために、重要ネットワーク・システムと非重要ネットワーク・システムとの接続をあらかじめ切断できるよう定めた場所。
• 物理的隔離(Physical isolation): 重要システムを非重要システムとネットワークやコンピューティング基盤を共有しない状態まで完全に切り離すこと。ガイダンスでは、これが最も効果的な防御形態であるとされています。
• 段階的隔離(Graduated isolation): 脅威の高まりに応じて段階的にアクセスを制限していく方法。たとえば、まずリモートワーカーやベンダーのアクセスを遮断し、次に企業ネットワークや関連システムを切断し、最終的にはすべての外部接続を遮断します。
• 管理的ネットワーク制御(Administrative network controls): VLAN、アクセス制御リスト、ルーティングを変更・管理するための各種管理的統制。ガイダンスでは、これらは一時的な保護策として有用だが、最終目標はあくまで物理的隔離であるべきとしています。
• データダイオード(Data diode): データを一方向のみに流すことを可能にする専用機器で、データや悪意あるトラフィックが逆方向に流れるリスクを低減します。
• 隔離後の対応(Post-isolation): ルーティングテーブル、ネットワークトラフィック、侵入検知システムを監視し、隔離対策が引き続き有効であることを確認します。管理者は、ルーター、ファイアウォール、その他のネットワークインフラを管理するための管理ネットワークゾーンについても、攻撃者から隔離された状態を保つよう対策しておくべきです。

物理的隔離は最も高い防御効果をもたらしますが、サイバーセキュリティ関連機関は、インターネット接続サービス、通信キャリアのネットワーク、クラウドサービス、地理的に分散した拠点に依存している組織にとっては、実現が難しい場合もあると指摘しています。

そうした環境では、OT境界の強化、専用回線または暗号化された通信リンクの利用、企業システムへの不要な依存の排除、システムを迅速に再構築できる態勢の維持が推奨されています。

隔離計画では、各手順の実施を誰が承認できるか、どのような条件で発動するか、どのシステムを稼働させ続ける必要があるか、通常のネットワーク接続がない状態でどのように運用を継続するかについても定めておくべきです。

組織には、個々のシステムのみを対象とするテストではなく、重要システム全体を隔離する完全なテストを定期的に実施するよう求められています。部分的なテストでは、共有インフラやその他の隠れた依存関係を見落とし、実際に隔離計画を発動した際に問題を引き起こす可能性があるためです。

また、企業ネットワークやストレージサーバーへのアクセスが遮断された場合に備え、隔離計画のオフラインまたは印刷版のコピーを安全に保管しておくことも推奨されています。

システムの隔離後も、事業者はネットワークトラフィック、ルーティング情報、管理システムの監視を継続し、重要ネットワークと非重要ネットワークの間で不正または意図しない接続が復元されていないことを確認する必要があります。

ただし各機関は、隔離にはセキュリティアップデートの遅延、監視の低下、システム間のデータ移動におけるリムーバブルメディア利用の増加といったリスクも伴うと警告しています。

そのため組織は、重要システムを切り離す準備だけでなく、再接続が可能になるまでの間、システムを手動で運用・監視・更新できる体制も整えておく必要があります。