運用技術(OT)ネットワークの世界では、サイバーセキュリティよりも産業プロセスの信頼性と可用性が優先されます。しかし、安全性が重要な通信の可用性を迅速に確保するために設計されたOTネットワーキングプロトコルが、そのアーキテクチャ自体にセキュリティ上の弱点を抱えていたとしたらどうなるでしょうか。
十分なサイバーセキュリティ制御が組み込まれていない場合、本来は産業設備の障害を防ぐはずの信頼性確保の仕組みそのものが、逆にそうした障害を引き起こす手段になりかねません。
「可用性とセキュリティは非常に密接に関係しています」と、Nozomi Networksのシニアセキュリティ研究者であるルカ・クレモナ氏は語ります。同社は今年1月に成立した約10億ドル規模の取引で三菱電機に買収されました。「セキュリティが確保されていないプロトコルは、可用性も保証されません」
クレモナ氏と同僚らは、先週のBlack Hat USAで発表した最新の研究成果でこの力学を実証しました。発表はオンデマンド限定のセッションとして9月14日まで参加者向けに公開されています。研究チームは、TSN(Time-Sensitive Networking)プロトコルの弱点を悪用することで、最終的にはそのプロトコルが関わるすべての産業システムを操作できることを示しました。
「このセッションで示したのは、TSNネットワーク内のプロセス変数をすべて改ざんできるということです」と同氏は述べます。「ロボットアームを起動・停止させることもできますし、例えば掴んでいる物体を落とすようにグリッパーを開かせることも可能です。基本的に何でもできてしまいます」
クレモナ氏によると、ロボットアームの例は今回示された中で最もインパクトの大きいシナリオですが、研究ではそれ以外にも静かに進行する攻撃シナリオが実証されています。その一つが、OTの同期クロックを密かに改ざんし、プロセスのスケジューリングに損害を与える変化を注入する手法です。
「基本的には、クロックにわずかなドリフトを注入できます。これは見つけにくく、検知も困難ですが、一定時間が経過するとその影響が現れます。ただし、その時点で攻撃がいつ行われたかを遡って特定するのは難しいでしょう」と同氏は説明します。
現代の産業オートメーションにおけるTSNの役割
産業オートメーションにおいて台頭しつつあるこのタイミングプロトコル群は、運用技術(OT)の信頼性ある可用性を維持するうえで欠かせないものであり、基本的には産業用トラフィックのフローを制御する役割を担っています。TSNプロトコルは、今日の産業オートメーションが抱える大きな課題の一つを解決する助けとなります。すなわち、これほど多くの重要なプロセス通信とITネットワークの信号が、いわば同じイーサネット配管を共有している状況では、トラフィックの競合が深刻な安全上の問題になり得るという課題です。
通常の企業ネットワークであれば、2つのパケットが同時に到着しても、何の影響もなく再送信すれば済みます。しかし、運用技術(OT)の安全通信や同期制御メッセージが重なり合うと、その衝突が想定外の停止を引き起こし、産業施設に実際の物理的な影響を及ぼしかねません。こうしたメッセージは、コントローラーとフィールド機器の間でマイクロ秒単位の速さで送信されなければ、ウォッチドッグタイマーが作動し、機械が保護シャットダウンに入るおそれがあります。
TSNは、標準的なイーサネット上で確定的な通信を実現し、産業制御ロジックを製造環境により合理的に統合できるようにするために、IEEEのブリッジング仕様への一連の修正として考案されました。これにより、最も重要なトラフィッククラスを他のすべてより優先させることが可能になります。
「例えば、緊急停止ボタンの安全信号がある場合、それは最優先事項であり、その時ネットワークを輻輳させているベストエフォート型のトラフィックによってそのメッセージがブロックされないようにする必要があります」とクレモナ氏は説明します。「つまり、こうした安全信号は何としても通過させなければなりません。これを管理しているのがTSNなのです」
主要TSNプロトコルの一つの整合性を狙う
クレモナ氏によると、TSNはかなり新しいプロトコル群です。同氏のチームの研究はまだ始まったばかりで、CC-Link IE TSNという特定のプロトコル一つに焦点を当てています。これは三菱電機のプロトコルで、TSNの実装の中でも比較的広く展開されているものの一つであり、Nozomiの親会社自身が開発したものでもあります。三菱電機は2026年1月にNozomiの買収を完了しており、これはBlack Hatでのセッションの6か月前にあたります。Nozomiは、自社が完全子会社として独立して運営されており、ベンダー中立のロードマップを維持していると説明しています。とはいえ、Nozomiの自社セキュリティ研究ラボにCC-Link IE TSNの稼働環境が実際にあったことは、研究を進めるうえで有利に働きました。
このプロトコルのトラフィック解析を始めた際、クレモナ氏はGOOSEというエネルギー配電システム向けプロトコルとの類似性に気づいたといいます。GOOSEには、タイミングのシーケンスが予測可能であるという既知の問題がありました。この勘を頼りに、GOOSEに対して使われていた攻撃手法をCC-Link IE TSNで再現しようと試みたところ、いくつかの試行錯誤の末に成功しました。研究チームは同期の挙動をリバースエンジニアリングして有効な値を予測し、周期的なI/O信号を操作しました。この研究から明らかになったのは、正しいタイムスロットに特別に細工した信号を注入することで、あたかも正規のスケジュール済み通信であるかのように受信させることができるという、このプロトコルの脆弱性です。この欠陥については、7月30日付のCISAのICSアドバイザリでも最近警告が出されています。
「そうなると次に問題になったのは、『では、この攻撃を実行するにはTSNネットワークの内部にいる必要があるのではないか』ということでした」と同氏は述べます。「つまり、通常は外部に露出していないTSNネットワーク内でトラフィックを閲覧し、注入できる立場になる必要があるのです」
そこから同氏と同僚らは、Phoenix ContactのTSNスイッチに対する負荷テストを開始し、昔ながらの地道な脆弱性調査を通じて、攻撃チェーンを前進させる未発見のバグをいくつか発見しました。これらの欠陥により、エンジニアが使用するリモート管理インターフェースからスイッチのプロセスポートにアクセスできることが判明しました。
「最も重要な侵入口は、TSNスイッチの管理インターフェースです。これがより広いネットワークに露出している場合もあれば、偽装機器や改ざんされた機器がネットワーク付近からアクセスできてしまう場合もあります」と同氏は説明します。「スイッチの管理インターフェースにアクセスでき、かつそのスイッチに私たちの研究で示したような脆弱性があれば、基本的にそれで終わりです」
最終的に、今回の研究成果が示しているのは、このプロトコルにはセキュリティモデルとユーザーデータのオプションの暗号保護機能が備わっているものの、レイヤー2の保護における不備によって、攻撃者が通信ストリームにトラフィックを注入しやすくなっているという点です。
TSNセキュリティ強化に向けて
今回の研究は単一のTSNプロトコルに限定されたものですが、クレモナ氏は、自身のチームや業界全体が、TSNの基本要素に依存する他のプロトコルの弱点を洗い出していくための良い出発点になると考えています。
最も直近のレベルで言えば、クレモナ氏は、産業サイバーセキュリティチームがこの研究を、自社のすべてのOTネットワーク機器のファームウェアを可能な限り最新の状態に保つべきだという良い教訓として受け止めるべきだと述べています。実証された攻撃シナリオについては、この拡張攻撃シナリオを可能にするPhoenix ContactのTSNスイッチ管理インターフェースの欠陥に対し、すでにファームウェアパッチが提供されています。
同氏によると、Nozomiのチームは親会社と協力し、改ざんされたメッセージの注入を可能にしているTSNの根本的な弱点に対する長期的な是正策の策定を進めているとのことです。
「ネットワークを保護し、かつメッセージが正しい送信元から来ていることを証明するために、いくつかの暗号プリミティブを追加することを検討しています」と同氏は述べ、この課題がパフォーマンスとセキュリティの間の緊張関係に帰着することを説明します。「高速性が求められるシステムに暗号化を追加するのは常に厄介な作業であり、1マイクロ秒未満の時間精度が求められるネットワークでは、それに見合う速度の暗号プリミティブを追加するのはより困難になります」
とはいえ、初期のテストでは、同氏のチームが検討している暗号化案が実現可能であることが確認されています。
「セキュリティのタイミングと制約のトレードオフを最適化する最善の解決策を見つけるべく、協力を進めています」と同氏は述べます。
とはいえ現時点では、OTネットワークにとって最善の防御策は、TSNネットワークに対する非常に強固なネットワークセグメンテーションです。
「現状、ネットワークを保護する唯一の方法はネットワークの分離です」と同氏は述べます。「適切な権限なしに(攻撃者が)あるネットワークから別のネットワークへ飛び移ることを防ぐためには、ネットワークを厳格に分離しておく必要があります」
翻訳元: https://www.darkreading.com/ics-ot-security/how-emerging-industrial-protocol-family-put-ot-at-risk
