新たに公開されたインターネット露出分析により、米国内1,063か所のデータセンター周辺で、外部からアクセス可能な産業用制御システム(ICS)およびビル自動化デバイスが6,300台以上確認されました。これらは高い確度で存在が確認されたものです。
この結果は、これまであまり注目されてこなかった攻撃対象領域を浮き彫りにしています。冷却、電源調整、環境モニタリングを担うインフラです。
今回の調査結果は、根本的なセキュリティ上の課題を示しています。サーバーネットワークが厳重に防御されていても、そのサーバーを維持する運用技術(OT)にまで防御が及んでいるとは限らないのです。
セキュリティコンサルティングサービス
今回の調査は、直接的な探査や攻撃的手法ではなく、Shodanの受動的なデータを用いて実施されました。その結果、公表されているデータセンターの所在地から半径1キロメートル以内で、外部から到達可能なBACnetコントローラー、Niagara Frameworkインスタンス、PLC関連インターフェース、電源管理システムが特定されました。
重要な点として、IPジオロケーションが示すのはあくまで都市圏レベルの近接性であり、各デバイスが特定の施設内に存在することの証明にはなりません。したがって今回の結果は、帰属を特定するリストとしてではなく、地域単位での重大な露出状況を示す指標として捉えるべきです。
このリスクは運用面で見て極めて重大です。データセンターは、CRACやCRAHユニット、チラー、冷却塔、ポンプ、湿度制御、UPSプラットフォーム、発電機、配電機器などの調整をビル自動化システムに依存しています。
侵入に成功した攻撃者は、温度設定値を変更したり、監視機能を妨害したり、施設スタッフをシステムからロックアウトしたり、電源管理機能を操作したり、保護のためのシャットダウンを引き起こす状況を作り出したりする可能性があります。
従来型のIT侵害とは異なり、想定される結果は単なるデータ損失にとどまらず、物理的な可用性そのものが脅かされる事態にまで発展しかねません。
検証済みサンプルのうち、BACnetは3,664台で全体の58%を占め、Fox/Niagaraサービスは1,453台で23%を占めました。
TrendAI™ Researchによると、ハニーポットや誤検知、非OTサービスを除外するフィルタリングを73,847件の生データに対して実施した結果、研究者らは3,991個のユニークIPアドレスにまたがる6,300台の検証済みデバイスを特定しました。
これらのプロトコルを合わせると露出環境全体の81%を占めており、データセンター市場周辺では従来の重工業向けSCADAではなく、ビル自動化システムが支配的な攻撃経路であることを示しています。
ネット上に露出した6,330台のICSデバイス
今回の調査では、143台のマルチプロトコルゲートウェイも確認され、そのうち125台はNiagaraとBACnetの両方を同時に外部へ露出させていました。こうしたシステムは、HVAC、環境監視、電気系統といった異なるサブシステムを橋渡しする性質上、価値の高い集約ポイントとして機能する可能性があります。
同一の座標に300台を超えるデバイスが確認される場合、これはそのIPアドレスブロックに関するISPの登録所在地であることが一般的で、多くの場合、データセンターが集積する商業地区や工業地区に相当します。
辞典・百科事典
Niagara/Tridium系のシステムは、確認されたデバイス全体の28%を占めていました。同プラットフォームは、複数のビル関連技術を一元的な管理レイヤーで統合するために広く導入されていますが、強固な認証や暗号化、ネットワーク分離を伴わずに外部へ露出すると、運用上は有用である反面、潜在的な危険性を伴います。
研究者らはまた、Vertiv/Liebert製品に関連するデバイスも確認しました。これらのベンダーは、データセンター向けに設計された精密冷却、UPS、配電インフラなどの製品を扱っています。
これらの存在は、一部の露出が周辺の商業施設ではなく、重要施設の運用そのものに直接関連している可能性を示唆しています。
水道分野では、カンザス州アーカンソーシティで2024年9月に処理施設が攻撃を受け、FBIの捜査を招いたことを受けて、手動運用への切り替えが行われました。
今回のデータは、新しいインフラの方が本質的に安全性が高いという前提に疑問を投げかけています。2021年以降に許可された施設では、近隣における露出率が13.1%だったのに対し、2010年以前の施設では4.9%にとどまっていました。
この相関関係は因果関係を証明するものではありませんが、現実的な運用上の背景と整合しています。AI時代の急速な施設拡張は、迅速な展開、遠隔管理のしやすさ、そしてますます複雑化する冷却システムを優先する傾向にあり、その結果としてOT側のセキュリティ強化が後回しになりやすい状況が生まれています。
脅威アクターは、防御の甘いOT環境を悪用するために目新しいゼロデイを必要としません。CISA、NSA、FBI、DOEによる共同勧告では、PLCやOPC UAサーバーを含むICSデバイスをスキャンし、侵害し、制御できるツールを攻撃者が開発していると警告されています。
各機関は、ICSを企業ネットワークやインターネットから分離すること、リモートアクセスに多要素認証を導入すること、初期設定の認証情報を変更すること、管理接続を制限すること、そしてオフラインで整合性が検証されたバックアップを維持することを推奨しています。
データセンター運用事業者にとって、教訓は明確です。インターネットから到達可能なBAS、EPMS、UPS、冷却系インターフェースをすべて洗い出し、直接的な露出を排除し、厳格に管理された経路を通じてOTとITを分離し、異常な制御トラフィックを継続的に監視することが求められます。
現代の施設では、コンピューティング環境を守るファイアウォールだけでは不十分です。チラーや発電機、UPSコントローラーが公衆インターネットから到達可能な状態のままであれば、そこがリスクとなり得るからです。
[ライブウェビナー] Elastic と UnderDefense が共催するウェビナーにご参加ください。少人数のセキュリティチームが、AIの可視化とエージェント型の対応を単一の運用モデルへ統合する方法を解説します。 -> 今すぐ登録
翻訳元: https://gbhackers.com/6330-internet-exposed-ics-devices/
