先週、FBIとEPA(米国環境保護庁)が共同で警告を発出しました。これはアメリカで水を飲むすべての人、つまり全国民が懸念すべき内容です。7月27日以降、少なくとも7つの州の上下水道事業者が、ポンプやバルブ、処理設備を制御する小型産業用コンピューター、プログラマブルロジックコントローラー(PLC)がインターネットに公開された状態を狙われ、サイバー攻撃を受けたと報告しています。これらの攻撃の一部は実際に業務運用を悪化させました。事業者からは水圧低下や浸水の報告があり、複数のシステムが手動制御に切り替わったほか、ミネソタ州のある地域では非常事態を宣言する事態にまで発展しました。
これらの攻撃には高度な手法は一切必要ありませんでした。攻撃者はゼロデイ脆弱性や新種のマルウェアを使ったわけではありません。彼らはインターネットに公開されたコントローラーを見つけ出しただけです。その多くは非常に古く、何年も前からセキュリティパッチの提供すら終了していたものでした。攻撃者はログインしてIPアドレスとパスワードを変更し、運用担当者を自分たちの機器から締め出しました。少なくとも1件では、産業用機器を制御するラダーロジックまで改変されています。これらはハリウッド映画さながらのハッキングではありません。コントローラーは無防備なまま、外部に晒されていたのです。
既視感を覚える方も多いでしょう。実際その通りです。2023年後半にも、複数の州の水道事業者でコントローラーが侵害され、中でもペンシルベニア州アリクィッパの事件は広く報道されました。当時も連邦政府はガイダンスを発出しています。あの時と今との決定的な違いの一つは、攻撃者の野心が拡大している点です。彼らは画面の改ざんにとどまらず、数十もの系統を同時に狙って運用そのものを混乱させる段階へと進化しました。サードパーティのシステムインテグレーターが多くの小規模事業者に対して同一の脆弱な構成を横展開しているという実態を、まさに突いてきているのです。
不都合な真実ですが、これは防げたはずの事態です。それが阻止されなかった理由は、技術的というよりむしろ構造的な問題にあります。米国にはおよそ5万の地域水道システムが存在します。その大半は小規模で公的資金によって運営されており、運用担当者の第一の使命は安全な水を絶やさず供給することです。サイバーセキュリティの優先順位はそれよりもはるかに低く、そもそも優先順位に入っていないことすらあります。問題となっている機器はしばしば10年以上前のもので、更新には多くの事業者が持ち合わせていない資本が必要です。水道分野のサイバーセキュリティに関する規則は依然としてほとんどが任意にとどまっています。攻撃者はこうした経済的事情を完全に理解しています。私たちも同様に理解すべきですが、それでもなお攻撃は繰り返されているのです。
しかし、何もしないこともまた一つの選択です。ここで効果を発揮する防御策は費用もかからず、特殊な技術も必要としません。FBIとEPAのガイダンスは的を射た内容であり、すべての上下水道事業者は先延ばしにせず、今週中に行動を起こすべきです。具体的には以下の通りです。
- コントローラーをインターネットから切り離す。 いかなるPLCも外部から到達可能な状態であってはなりません。リモートアクセスは、すべての接続を仲介・監視・記録する安全なゲートウェイを経由させる必要があります。これにはセルラーモデムも含まれます。ほぼすべての監査で見落とされがちな侵入経路です。
- パスワードを見直す。 デフォルトパスワードや使い回されている認証情報は、今も最も一般的な侵入経路です。強固でユニークなパスワードは、利用可能な中で最も安価なセキュリティ対策です。
- 機器間の通信を制限する。 ファイアウォールのルールとアクセス制御リストは、既知の制御システム機器間で想定される通信のみを許可すべきです。ホスティングプロバイダーなど、水処理施設と本来関わりのない発信元からの通信は遮断してください。
- ロジックをロックする。 物理・ソフトウェアのキースイッチは、正規の更新作業時を除き常時「実行(run)」位置に固定してください。これにより構成やファームウェアへの不正な変更を防止できます。
- 手動運用の訓練を行う。 今回の攻撃をうまく乗り切った事業者に共通していたのは、迅速に手動運用へ切り替えられたことです。この対応力は日頃の訓練なくして身につきません。
- 思い込みではなく検証する。 ほとんどの事業者は、自社のPLCがインターネットに公開されていないと信じ切っています。棚卸しでその思い込みが覆されるまでは。可視化できていないものを守ることはできません。実際に完全な資産棚卸しを行うと、忘れられたモデムやインテグレーターが設置したリモートアクセス、誰も存在を把握していなかった稼働中の機器など、驚くべき実態が明らかになるケースがほとんどです。
この種の攻撃はいずれも同じパターンをたどります。攻撃者は設定を変更し、パスワードをリセットし、プロジェクトファイルを改変します。こうした行動の一つひとつが、実際の運用が悪化する前にネットワーク上に痕跡を残します。今回最も新しい事例では、ある被害者は複数の拠点にまたがるラダーロジックの不整合に気づいただけでした。侵入の検知が、たまたま鋭い観察眼を持つ技術者の「良い日」に左右されるようであってはなりません。OT環境の継続的な監視は、まさにこうした兆候を数日ではなく数分のうちにアラートへと変換するために存在します。この違いこそが、単なるインシデント報告書で済むか、それとも「水の煮沸勧告」にまで発展するかを分けるのです。
水道システムはミスを許容する余地が最も小さいにもかかわらず、自らを守るための資源が最も乏しいことが少なくありません。FBIとEPAは、今何が起きていて、何をすべきかを明確に示しました。攻撃者は私たちがそれを実行に移さないだろうと見込んでいます。3年連続で3度目となる今回、彼らは再びその賭けを試そうとしているのです。
今度こそ、その賭けが間違いだったと証明しようではありませんか。
翻訳元: https://cyberscoop.com/water-utility-cyberattacks-prevention-nozomi-networks-ceo-op-ed/
