セキュリティ
すべての防御担当者へ
米国では少なくとも12州の水道システムがハッキング被害を受けており、その大半がイランによるものとみられています。退役陸軍大将で元NSA長官のポール・ナカソネ氏はDEF CONで記者団に対し、こうした状況を踏まえてサイバー防御をさらに強化する必要があると述べました。
「私たちはより高い基準を持たなければなりません」とナカソネ氏は述べました。「これらのPLC(プログラマブルロジックコントローラ)は、インターネットに接続すべきではないのです」
7月下旬、FBIは「悪意あるサイバー攻撃者」による攻撃について捜査を進めていると発表しました。攻撃対象はPLCを含む運用技術(OT)機器です。イラン関連の攻撃集団は、タンクの水位などのセンサーデータを監視し、ポンプの起動・停止を制御できるこれらの機器を長年にわたり標的にしてきました。
民間セキュリティ研究者の一部は、最近の水道・下水処理施設を混乱させたサイバー攻撃の背後にイランの侵入者がいると見ています。Halcyon Ransomware Research CenterのシニアバイスプレジデントであるCynthia Kaiser氏は、金曜日にDEF CONでThe Registerの取材に対し、「イランでなければ驚きです」「ほぼ間違いなくイランでしょう」と語りました。
ただし、FBIもトランプ政権関係者も、公式にはイランを名指ししていません。
ナカソネ氏は、連邦当局が攻撃主体の特定について「慎重なアプローチを取っている」との見方を示しました。「ただ、私から見れば、これを実行できる能力を過去に示してきた攻撃主体がここにいるのは確かです」と述べ、以前にも水道施設のPLCを標的としたイランによるサイバー攻撃があったことに触れました。
「彼らには間違いなくその能力があります」とナカソネ氏は述べました。「そして意図もある……私たちはイランと対立関係にあるのですから」
米国の水道システムは、点在する多数の施設にまたがる巨大な攻撃対象領域を抱えています。これらの施設は歴史的に資金不足で、ITスタッフも限られており、専任のサイバーセキュリティ担当者がまったくいない場合もあります。
「私たちは、この防御のあり方について発想を転換する必要があります」とナカソネ氏は述べました。「今まさに私たちが向き合っている攻撃対象領域について話しましょう。米国内には5万にのぼる水道自治体があり、私たちが使う水の90パーセントはこの5万の自治体から供給されているのです」
こうした水道システムを守るにはパートナーシップが不可欠だとナカソネ氏は付け加え、その一例としてDEF CON Franklinを挙げました。これは、水道施設のセキュリティ強化のためにハッカーたちが自らの時間と技術を提供する取り組みで、2年前にこの年次イベントで立ち上げられました。
ナカソネ氏はまた、ヴァンダービルト大学の国家安全保障研究所(Institute of National Security)、および同研究所のWicked Problems Labの創設ディレクターも務めています。さらに、重要インフラのレジリエンス強化を目指し、オープンソース技術をベースに学術関係者やサイバーセキュリティ実務者が開発を進めるサイバーセキュリティプラットフォーム「Project Chimera」にも取り組んでいます。
「どうすればより良い防御ができるのか。それには、今よりもはるかに踏み込んだ形で、さまざまなパートナーと連携する体制が必要です」とナカソネ氏は述べました。®
