CISAが重要インフラをサイバー攻撃から隔離するための6段階の指針を発表

危機的状況において重要インフラを隔離すべきだということは、多くのIT運用担当者が理解しています。しかし、セキュリティを最大化しつつ業務への支障を最小限に抑える形でそれを実行する方法を知っている担当者は多くありません。

そこで今回、複数の国際機関が段階的な行動計画「CI Fortify」を公表しました。米サイバーセキュリティ・インフラセキュリティ庁(CISA)と、米国・英国・オーストラリア・カナダ・ニュージーランドにまたがるファイブ・アイズの複数のセキュリティ機関が共同で発表したこのガイドは、攻撃発生時に悪意ある攻撃者が被害を拡大させるのを防ぐために組織が不可欠なシステムを隔離・分離する方法を示し、攻撃後の安全な再構築を可能にすることを目的としています。

「最終的な目標は、隔離された状態であっても重要なサービスの運用を継続できるようにすることです」とガイドは強調しています。

システムを封鎖するための6段階ガイド

サイバー攻撃者、特に国家の支援を受けた攻撃者は、スパイ活動を行ったり、電力や水道の供給網といった重要インフラを妨害したりするために、運用技術(OT)システムを標的にする傾向を強めています。

その結果、一部の組織はシステムを完全にオフラインにせざるを得ない状況に追い込まれています。例えば今週、CAFバンクはサードパーティ製ソフトウェアの脆弱性が原因でオンラインサービスを停止し、これによって同行が支援する慈善団体は職員への給与支払いができなくなりました。また同じく今週、ミネソタ州の水道事業体のOTサービスが、組織的なサイバー攻撃によって妨害される事態も発生しています。

こうした事態に見舞われる可能性のある組織を支援するため、新しいガイドは「隔離への重要な道筋」と呼ばれる、実行可能な6つの段階を示しています。

• 不可欠なシステムとネットワークの特定
• 重要な顧客の特定
• ネットワークとホストにおける重要度・信頼度レベルの共通基準の特定
• 隔離ポイントの候補の特定と、不可欠なシステムへの接続経路のマッピング
• 効果的な分離・隔離ポイントの構築
• 隔離計画の策定とテスト

最初の2段階は比較的シンプルです。重要なサービスを支えるために必要な最小限のシステム群を把握したうえで、必要な電力量(メガワット)や水量(ガロン)など、主要な顧客のニーズに基づいて提供目標を設定します。

重要度の異なるレベルを割り当てるということは、ネットワークやホスト、システムを、その性質や脅威への露出度に応じて異なるゾーンに区分することを意味します。リスクマネジメントのプロセスがこの分野で役立ちます。

システムの分類が完了したら、次の段階は、それらの重要なネットワークと他のシステムとの間の相互接続ポイントをマッピングし、継続的に更新していくことだとガイドは助言しています。考慮すべき接続としては、コンサルタントや請負業者、マネージドサービスプロバイダーなどリモートアクセスを持つベンダーとの接続、プライベートクラウドを含むクラウド環境との接続、信頼できないネットワークとの接続、そして公益事業者や指令システムといった同等の重要ネットワークとの接続などが挙げられます。

また、キャリア提供のネットワークやWi-Fi、衛星、無線のポイント・ツー・ポイント接続、モバイル通信といった、信頼度を低下させたりネットワークの脆弱性を高めたりしかねない接続を特定することも重要です。これらの機関によれば、運用担当者はこうした箇所において、暗号化などの保護機構が導入されているかどうかを確認すべきだとしています。

さらに運用担当者は、各接続を流れる情報の種類や、それが業務およびシステム所有者・サードパーティプロバイダーにとってどれほど重要であるかといった、各接続のビジネス上の文脈を理解しておく必要があります。これらの相互接続に関する技術情報、例えばインターネットゲートウェイの情報、アーキテクチャ図、ファイアウォール・ルーター・仮想プライベートネットワーク(VPN)の設定、さらには緊急連絡先の情報なども文書化しておくべきです。

「こうした重要な技術情報は、隔離のための制御機構を構築する上で不可欠になります」とガイドは指摘しています。

分離・隔離ポイントの構築

ゼロトラストネットワークは、デバイス同士が互いを本質的に信頼しないよう設計されているため、隔離の必要性を低下させるという考え方があります。しかしガイドは、ネットワークやサービスの間の隔離ポイントが依然として必要であり、攻撃を封じ込めるうえで「非常に効果的」であることを強調しています。これにより、業務全体への影響や攻撃者の横展開能力を抑え、インシデント発生時のサービス復旧時間を短縮できます。

「組織は、隔離された状態で運用を継続できる能力を実現するために、不可欠なシステムに物理的な隔離ポイントを組み込む必要があります」とガイドは述べています。

これは、スイッチング、ルーティング、コンピューティング、リピーター、マルチプレクサーを介した非OTネットワークとの接続や、インフラの共有を一切行わないことを意味します。さらに、電源、冷却設備、バックアップ発電機、物理セキュリティシステムといった重要な資源についても、重要度の低いネットワークから制御できないようにすべきです。

企業はOTの境界を強化し、管理・運用系システムを完全に分離したうえで、ネットワークの制御プレーンを保護すべきだとガイドは助言しています。また、仮想LAN(VLAN)、マルチプロトコルラベルスイッチング(MPLS)、IPアクセスリスト、ルートブロッキング、そして悪意あるパケットをサーバーに到達する前に破棄するブラックホールルーティングといった、管理系ネットワークの制御手段を導入することも可能です。

ただし、複数の機関は、フットプリントが大規模かつ分散している一部の企業の運用システムでは、完全な物理隔離が運用上現実的ではない場合があることも認めています。

サードパーティとの通信が避けられない、こうした分散型の重要インフラにおいては、OTの境界を強固な暗号化で保護すべきです。さらに、波長分割や光ファイバーのペアリングといった専用の通信経路を用いることで、不可欠ではないシステムとのデータ共有を防ぐのに役立ちます。

また、レイヤー2およびレイヤー3のサービスは暗号化すべきであり、リモートアクセスは禁止するか、少なくとも制限し、不要なサービスは無効化すべきだとガイドは述べています。企業はOTデバイスに組み込まれた暗号化機能に頼るべきではなく、キャリアの回線を経由する暗号化には専用のデバイスを使用すべきです。

結局のところ、運用担当者はキャリアが提供するあらゆるサービスを「信頼できず、潜在的に危険なもの」として扱うべきだと、ガイドは警告しています。

依存関係とリスクを理解し、段階的に隔離する

こうした点を踏まえ、運用担当者はOTシステムと非OTシステムの間の依存関係を理解し、専用のOT機能を構築すべきだと各機関は指摘しています。依存関係は、ルーティング、仮想化、スイッチング、ストレージ、文書管理、Active Directory、証明書・認証サービスといった共有機能の中に存在する場合があります。物理的な隔離を行う際に、予期しないパフォーマンスの問題やサービス品質の低下を防ぐためには、こうした依存関係を把握しておく必要があります。

また企業は、長期にわたる分離状態が発生した場合に、それが運用上・セキュリティ上のリスクにつながりうることを踏まえ、その間どのように業務を継続するかについても理解しておく必要があります。例えば、システムがパッチ適用の基準を満たせなくなったり、リムーバブルメディアが更新を受け取れずに感染リスクが高まったり、外部からの可視性が低下したりする可能性があります。

システムの隔離は、最初は非常に大掛かりな作業に思えるかもしれません。そこで各機関は、段階的な計画の策定を提案しています。これにより、業務プロセスの継続性を保ちながら、不可欠なOTおよびそれを支えるシステムへの経路を「段階的に隔離」していくことができます。

自組織を守るために、企業は以下の手順を順番に検討すべきです。

• 非OT環境上のジャンプホストなどの中継システムを介して、リモートワーカーがOTシステムにアクセスできないようにする
• 企業システムからOTシステムへのオンプレミスのリモートアクセスを無効化する
• 非OT環境とOT環境の間のすべての接続を隔離する
• 分散型OTシステム同士の間の、優先度の低い接続を隔離する
• OT環境および不可欠なシステムを完全に隔離する

「サイバー脅威の状況が悪化するにつれてOTシステムへのアクセスを段階的に排除していくことは、不可欠なOTおよびそれを支えるシステムへの攻撃を阻止・妨害するうえで効果的である可能性があります」とガイドは指摘しています。