ミネソタ州の水道事業者、協調型サイバー攻撃の標的に

ミネソタ州内の30を超える地域水道事業者を標的とした協調型のサイバー攻撃を受け、州全体でサイバーセキュリティ対応が発動しました。

飲料水の水質への影響は報告されていないものの、今回の事案は産業制御システムに対する攻撃が、公共サービスの提供を一時的に混乱させ得ることを改めて示しています。

この攻撃はOT(運用技術)に対するものと報じられていますが、当初の侵害はエンタープライズITネットワーク上で発生し、その結果としてOTのフェイルセーフや安全機構が作動した可能性はないのでしょうか。

Black Hills Information Security, Inc.のオーナーであるJohn Strand氏は、eSecurityPlanetへのメールでこう述べています。「多くのセキュリティプログラムは、ランサムウェアや『押し入って奪って逃げる』式の侵入といった、騒々しい攻撃を検知するように今なお設計されています」

さらに同氏は次のように付け加えています。「そうしたプログラムは、多くの国家主導型作戦を特徴づける、低速で目立たない活動を見つけ出す点では、はるかに有効性が劣ります」

ミネソタ州水道事業者の事案における重要ポイント

• ミネソタ州内の30を超える水道事業者が協調型サイバー攻撃の標的となり、運用技術(OT)システムが混乱させられたとされています。
• 各事業者は手動運用と事業継続計画により給水を維持し、飲料水の水質への影響は報告されていません。
• 当局は関与した脅威アクターを特定しておらず、技術的な詳細も公表していません。
• 今回の事案は、ネットワークセグメンテーション、継続的な監視、安全なリモートアクセス、検証済みのインシデント対応計画を含む、多層的なOTセキュリティの必要性を改めて浮き彫りにしています。

ミネソタ州水道事業者へのサイバー攻撃で何が起きたのか

この協調型攻撃は7月26日と27日に発生し、ミネソタ州内の30を超える地域水道事業者が利用する運用技術(OT)システムを標的としました。

これを受け、Minnesota IT Services(MNIT)は州全体のサイバーインシデント対応体制を発動し、連邦、州、地方、部族、そして民間セクターの各パートナーと連携して攻撃を調査し、被害を受けた事業者を支援しました。

調査が続く中、当局は攻撃者が被害を受けたOT環境にどのように侵入したのかを公にはしておらず、責任を負う脅威アクターの特定も行っていません。

公に確認された最初の障害の一つは、Braham市で発生しました。同市当局によると、市営の水処理プラントが突然オフラインになったといいます。

数時間のうちに作業班が運用を復旧させ、施設が通常のろ過・水処理作業を再開したことを確認しました。

ミネソタ州の他の自治体でも一時的な機器の不具合が報告され、各事業者は調査対応が進む間、手動運用への切り替えや事業継続計画の発動を余儀なくされました。

こうした混乱があったものの、州当局は住民に対して飲料水の利用方法を変更するよう求めてはいないとしており、これは今回の攻撃が水質や公衆衛生の安全性ではなく、運用面に影響を及ぼしたことを示しています。

今回の事案は、運用技術環境が直面する独特のサイバーセキュリティ上の課題も浮き彫りにしています。

ビジネスデータを扱うITシステムとは異なり、OTシステムは水処理、ポンプ稼働、薬品投入、配水といった物理的なプロセスを制御しています。

そのため、ランサムウェアやデータ窃取を伴わない攻撃であっても、システムが復旧するまでオペレーターが手動制御に頼らざるを得なくなることで、重要なサービスに支障をきたす場合があります。

調査は現在も継続中であり、本稿の公開時点で技術的な詳細は公表されていません。

組織がOTセキュリティリスクを低減する方法

今回の事案はまた、OTリスクの低減には、システムを保護するとともに運用上の混乱に備える多層的なアプローチが必要であることを改めて示しています。

• OT資産の棚卸しと継続的な監視を行い、産業ネットワークにおける不正な活動や新たな脅威を迅速に検知できるようにする
• 運用技術をエンタープライズITネットワークから分離し、インターネットに接続されたシステムやHMIなどのリモート管理インターフェースを最小限に抑える
• リモートアクセスおよびサードパーティによるアクセスを保護し、多要素認証、最小権限の原則、時間制限付きの特権アクセスを導入する
• リスクに基づくパッチ適用プロセスを確立し、OTシステムを強化する。古くなったソフトウェア、ファームウェア、デバイス構成の定期的なレビューも含める
• 産業制御システムを継続的に監視し、通常とは異なるコマンドや構成変更、その他の侵害の兆候を検知する
• PLCやSCADAシステム、HMI構成、その他の重要なOT資産を定期的にバックアップし、インシデント発生後に迅速に復元できることを検証する
• IT部門とOT部門の双方でインシデント対応、事業継続、手動運用手順をテストし、サイバー攻撃発生時にも重要なサービスを維持・復旧できるようにする

プロアクティブなOTセキュリティ戦略は、攻撃対象領域の縮小、サイバーレジリエンスの向上、そしてインシデントの発生中および発生後も重要な業務を継続できることの確保に役立ちます。

まとめ

今回のミネソタ州の事案は、重要インフラの保護にはITとOTを別個の環境としてではなく、相互に連結したセキュリティ領域として扱う必要があることを改めて示す事例です。

地政学的な緊張がサイバー空間へと波及する傾向が強まる中、重要インフラの運営組織は、金銭目的の脅威アクターと、重要サービスの妨害や戦略的な足がかりの確保を狙う国家主導型グループの双方から、引き続き狙われることを想定しておくべきです。

攻撃がITで始まったのか、OTで始まったのか、あるいはその両方であったのかにかかわらず、組織は両方の環境にわたる可視性を高め、レジリエンスを検証すべきです。

ITとOTの環境が一層密接に結びついていく中、組織はゼロトラストを活用することで、OTシステムを取り巻くセキュリティを強化できます。