産業用制御システム(ICS)のオペレーターに対し、脅威アクターがAIを使ってSiemens S7シリーズのプログラマブルロジックコントローラー(PLC)を標的にしているとの警告が発せられました。
攻撃者は、水道や電力といった重要分野の運用技術(OT)システムを侵害するための様々な悪意ある目的にAIを活用しています。その一つが、初期アクセス後の攻撃活動に使うため、これらのPLCに対する悪用スクリプトをAIで生成することです。
CISA、FBIおよびその他関連機関による共同勧告では、Siemens S7シリーズをはじめとするPLCデバイスを使用する製造業、エネルギー、上下水道、食品・農業などの重要インフラ分野が、この活動によって重大なリスクにさらされていると指摘されています。
リスクの範囲は、重要な産業プロセスの中断、安全上の事故、ダウンタイム、設備損傷、機密データの侵害にまで及びます。これらはいずれも、水道・電力サービスの停止といった深刻な現実世界の被害につながりかねません。
そのため、オペレーターにはセキュリティ対策を積極的に見直すことが求められています。
この対策は特に、PLCへのリモートアクセス権を持つサードパーティのサービスプロバイダーやシステムインテグレーターと連携しているICSの所有者・オペレーターにとって重要だとされています。というのも、資産の所有者自身が、自社システムが露出しリスクにさらされていることに気づいていない場合があるためだと、同文書は指摘しています。
今回の発表は、イランのハッカーがRockwell Automation、Allen-Bradley、Schneider Electric、Siemensといったブランドのインターネットに露出した産業システムを標的にしているとする、米政府による以前の警告に続くものです。
この活動は、8月上旬に報じられた、米国複数州の水道システムがイラン国家の支援を受けているとみられるハッカーの標的になったとする報道と関連している可能性が高いとみられています。
AIの活用が示すICS攻撃の進化
8月19日に公開された最新の勧告では、悪用スクリプトの生成にAIを用いる手法が、脅威アクターの能力における進化を示していると指摘されています。
脅威アクターは、CensysやZoomEyeといった正規のスキャニングサービスを使い、インターネットに露出している、あるいはセグメンテーションが不十分なSiemens S7シリーズのPLCを特定していることが確認されています。
脆弱なシステムが特定されると、AIが生成したスクリプトを使って悪用可能な脆弱性が探索されます。作成機関は、インターネットに露出しているPLCは悪用のリスクが特に高いと指摘しています。
PLCへのアクセスに成功した後は、AIが横展開の活動を支援し、攻撃者の防御回避能力を高めています。攻撃者は、オープンソースの産業オートメーションライブラリとAI支援によるスクリプト作成を組み合わせ、正規のOT監視ソリューションを模倣したカスタムツールを作成し、セキュリティチームによる検知を回避していることが確認されています。
これらのツールは、S7comm プロトコルを介してSiemens S7シリーズPLCのメモリ、設定データ、ラダーロジックプログラムへの読み書きアクセスを提供します。
作成機関は、この活動が将来の攻撃に向けて重要産業内での持続的な偵察を確立することを狙ったものである可能性が高いとみています。
「能力開発の段階では、攻撃者は特定のPLCモデルに対して悪用手法をテスト・改良し、PLCを侵害する能力の向上を図っています。運用上の効果に備える段階では、読み取りアクセスを活用して標的環境を把握し、将来的な書き込み操作による妨害やその他の運用上の影響を引き起こすための準備・態勢構築を進めています」と、同勧告は述べています。
ICSオペレーターに求められる積極的な防御対応
米政府は、確認された脅威活動を軽減するためICSオペレーターが取るべき一連の緊急対策を示しました。内容は以下の通りです。
- エンジニアリング用ワークステーション以外からの接続、パラメータを変えながらの接続の繰り返し試行、ベンダーやインテグレーターと関連のない予期しない国やIP範囲からの接続など、侵害の兆候を積極的に探索する
- 環境内に存在するすべてのSiemens S7シリーズPLCの棚卸しを直ちに実施し、対象デバイスに重要なパッチを適用する
- PLCがインターネットからアクセスできない状態を確保し、OTネットワークとITネットワークを完全に分離する
- PLCへのアクセスを許可されたエンジニアリング用ワークステーションに限定するなど、アクセス制御を強化し、OTネットワークへのリモートアクセスすべてに多要素認証を有効化する
- Siemens S7シリーズデバイス上のWebサーバーと未使用の通信プロトコルを無効化する
- モデル固有の堅牢化に関する推奨事項についてSiemensに問い合わせる
この勧告についてコメントしたOPSWATのCEO兼創業者であるBenny Czarny氏は、最大の教訓はAIがもたらす脅威そのものではなく、ICS環境における基本的なセキュリティ対策の底上げが必要だという点にあると主張しています。
「AIによって、攻撃者はPLCを狙うスクリプトの作成・改変が格段に容易になり、産業システムへの攻撃のハードルは下がり続けています。しかし私に言わせれば、答えは単にAI検知を強化することではありません。確かにAIによってこの問題の緊急性は増していますが、本当に学ぶべき教訓は変わりません。そもそも攻撃者に重要システムへの経路を与えないこと、そしてアンチウイルスやサンドボックスにデータフローの保護を委ねきらないことです」と、同氏はアドバイスしています。
翻訳元: https://www.infosecurity-magazine.com/news/ics-ai-attacks-siemens/
