米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、水道・下水道システム(WWS)事業者に対し、プログラマブルロジックコントローラー(PLC)を標的とした悪意ある活動から運用技術(OT)を保護するよう呼びかけています。
この警告は、ミネソタ州で数十の水道事業者の自動制御が協調的なサイバー攻撃によって混乱させられたわずか数日後に発表されたものです。
CISAは7月30日に公表した警告の中で、水道・下水道分野のPLCを標的とする脅威アクターが著しく増加していると指摘し、重要インフラの所有者・運用者・インテグレーターに対し、インターネットに公開されているPLCなどのOTを可及的速やかに切り離すよう強く求めています。
同庁は、公開状態にあるコントローラーに対して確認された具体的な手口についても説明しています。攻撃者はパスワードを変更して運用担当者をロックアウトしたり、IPアドレスを変更してPLCを切断したりしているとのことです。CISAによれば、こうした攻撃は「煮沸消毒勧告」の発令や、手動運転への長期的な切り替えを引き起こしており、これは今週報告されたミネソタ州の複数の水道事業者の状況とよく似ています。
この警告で注目すべき点は、標的となっているのがあらゆる規模の水道事業体に及んでいるとされていることです。成熟したサイバーセキュリティ体制を持つ組織であっても、外部接続の状況を再確認すべきだとしています。CISAは特に、運用者やベンダー、システムインテグレーターが設置したセルラーモデムについて言及しており、これらは文書化されていなかったり、定期的な攻撃対象領域スキャンで見落とされていたりする可能性があると指摘しています。
ミネソタ州での攻撃が警告の裏付けに
CISAが今回改めて注意喚起を強化した背景には、ミネソタ州情報技術サービス(MNIT)によると、7月26日と27日に30以上の地域水道システムのOTシステムが標的となった協調サイバー攻撃があります。
今週SecurityWeekが報じたところによると、Maple Plain、Braham、South St. Paul、Plymouthを含む被害を受けた各市からの発表では、一部の自動制御機能に支障が出たものの、緊急時対応手順が発動され、ほとんどの場合で上下水道の運用機能は維持されたとのことです。被害を受けた各市は住民に対し、飲料水の安全性には問題がないと説明しています。
州および連邦当局が調査を進めていますが、正式な攻撃者の特定には至っていません。
イランによるPLC攻撃キャンペーンとの関連
ミネソタ州での侵入事案の発生時期は注目に値します。これは、米政府がSiemens、Rockwell Automation、Schneider Electric製の産業用制御システムに対するイラン関連の攻撃について重要インフラ組織に警告を発した直後のタイミングで発生しています。
この警告は、4月に最初に公表された勧告AA26-097Aの7月22日付更新版によるもので、標的となるベンダーの範囲をRockwell AutomationのAllen-Bradleyコントローラーから、Schneider ElectricおよびSiemens製デバイスにまで拡大するとともに、他のメーカー製PLCもリスクにさらされている可能性があると指摘しています。調査担当者は、Rockwell製CompactLogixおよびMicro850、Schneider Electric製Modicon M340、Siemens製S7-1200シリーズのPLCに対する不審な活動を確認しています。
イランの脅威アクターであるCyberAv3ngersやHandalaは、ミネソタ州で見られたような水道システムへの攻撃の特徴に合致していますが、調査担当者はこれまでのところ、今回の事案を特定の攻撃者と結びつけるには至っていません。CyberAv3ngersは、小規模な水道事業者や自治体施設を標的にしてきた長い実績を持ち、2020年のイスラエルの水道施設への攻撃では、イラン関連の攻撃者が脆弱なセルラールーターを侵入口として悪用しました。
OT運用者が取るべき対応
CISAが業界に向けて発するメッセージの核心は従来と変わりませんが、その緊急性は増しています。インターネットに公開されたOTは保護しなければならないということです。7月30日の警告では、直ちに実施すべき3つの対策が推奨されています。運用者は、PLCをインターネットから切り離した上で、運用目的でのリモートアクセスはコントローラーに直接ではなくVPNやゲートウェイ機器を経由させること、パスワード保護を有効化しデフォルトパスワードを変更すること、そしてリモートアクセスを既知のエンジニアリング用ノートPCやその他の重要なOT資産からのみに限定するIPアドレスのアローリストを設定することが求められています。
CISAはまた、PLCを切り離した後には、パスワードを変更されてロックアウトされた場合に備え、正常であることが確認済みのPLCイメージのバックアップを確保しておくよう助言しています。Rockwell Automation製MicroLogix 1400コントローラーの所有者・運用者に対しては、パスワードが不明な場合のアクセス復旧についてRockwellの専用ガイダンスを参照するよう案内しています。
直近の対策に加え、各水道事業者は自社ネットワーク上に現在または過去の不審な活動の兆候がないか、AA26-097Aに記載された手口・手法・侵害の痕跡(IoC)を確認することが推奨されています。詳細については、CISAが公表した警告全文をご覧ください。
