OT環境にサイバーデセプションが必要な理由

OPINION

運用技術(OT)システムへのサイバー攻撃に対応する防御側にとって、苛立たしい現実を言い表す3つの言葉があります。攻撃データが存在しない。追跡すべき痕跡がない。調べるべき履歴がない、というものです。

こうした状況はOTにおいて今後も変わらないでしょうが、防御側はサイバーデセプションという手法に助けられつつあります。ハニーポットの域を超え、より高度で能動的なサイバー防御ツールへと成熟してきているためです。

この問題を説明するために、時間をさかのぼってみましょう。今から約12年前、ウクライナの電力網の一部が停電しました。これはIT環境からOT環境へと移動するタイプの攻撃、いわゆる「IT-to-OT攻撃」でした。攻撃者はまず企業システム内に足場を築き、徹底的な偵察を行って認証情報を窃取し、運用システムへ至る経路を見つけ出したうえで、電力網の主要コンポーネントを制御する技術領域へと侵入していきました。

ITからOTへのこうした侵入は、深刻な問題を生み出します。環境のOT側は、有用なセキュリティテレメトリをほとんど生成しません。ログやフォレンジック情報の提供にもあまり長けていません。その結果、防御側は厳しい現実に直面します。攻撃者がOTに到達した後、そもそも証拠を生成するようには設計されていない環境の中で、証拠を探さなければならないのです。

攻撃者はどこにいるのか

通常のIT調査では、セキュリティチームは見慣れた問いを投げかけます。どのユーザーがシステムに認証したか。ログインは対話的だったのか、それともリモートだったのか。どのプロセスが実行されたか。どの親プロセスがそれを起動したか。PowerShellは使われたか。ホストは既知のコマンド&コントロール(C2)アドレスに接続したか。新しいサービスが作成されたか。エンドポイント検知エージェントは無効化されたか。ファイルハッシュは既知のマルウェアと一致したか。セキュリティ情報イベント管理(SIEM)システムはその活動を他の不審なイベントと相関付けたか、といった具合です。

OT環境では、これらの問いに自信を持って答えることは困難、あるいは不可能です。

プログラマブルロジックコントローラ(PLC)は、攻撃者がクエリを発行したことを教えてはくれません。遠隔端末装置(RTU)は、意味のある認証ログを生成しません。カメラシステムはセキュリティイベントの詳細を提供しません。プリンター用VLANに至っては、そもそも監視すらされていません。ビルディングマネジメントコントローラーは、偵察行為、アクセス失敗、列挙、コマンド実行の試みについてほとんど可視性を提供しません。

たとえログが存在していても、ローカルにのみ保持されていたり、すぐに上書きされたり、SIEMから参照できなかったり、通常のセキュリティ分析にうまく適合しない形式で書き出されていたりすることがあります。シグネチャベースやヒューリスティックのツールに頼る防御側にとって、攻撃者を検知できる可能性は低くなります。シグネチャベースのツールは、そもそも受け取っていないテレメトリに対してシグネチャを照合することはできません。SIEMは、一度も収集されていないイベントを相関付けることはできません。ログ分析ツールは、意味のあるログを持たない資産を通過する攻撃経路を検知できません。

サイバーデセプションはIT-to-OT攻撃の両側面で活きるツール

サイバーデセプションは、こうした問題に対処すると同時に、ITからOTに至る攻撃経路全体にわたる知見を提供します。うまく設計されたデセプション防御では、攻撃者に対して攻撃を続けるために必要な情報や機器がまさに提示されることになります。ネットワークに関する情報が用意され、攻撃者が探索できる脆弱な資産も用意されます。これらはそれぞれフォレンジック情報を取得し、リアルタイムで防御側に警告を発します。

攻撃者は組織の境界を尊重しません。運用上の目的に近づくルートであれば、どのようなものでも辿っていきます。この横断的な視点が重要なのは、最も意味のある証拠がOT資産そのものから得られるとは限らないためです。むしろ、その資産に至るまでの攻撃者の経路から得られる場合があります。

デセプションは、こうした点と点をつなぐことができます。ITワークステーション上で触れられた偽の認証情報、攻撃者によって開かれたビーコン付きのOTネットワーク図、侵害されたホストからアクセスされたおとりのエンジニアリングワークステーション、想定外の送信元からクエリを受けたシミュレートされたPLC。これらはすべて、同一の検知ストーリーの一部になり得ます。その価値は、個々のアラートの精度が高いというだけではありません。最も重要な境界を越えて攻撃者が移動していることをアラートが示してくれる点にこそ、価値があるのです。

デセプションを用いれば、あらゆる機器を最新のITエンドポイントに変えられるかのように装うことなく、こうした領域をカバーできます。おとりのプリンター、カメラ、バッジコントローラー、ビルディングマネジメントサーバーは、あらゆる攻撃手法を理解した上で本物の機器を守る必要はありません。ネットワークとやり取りする攻撃者にとって、価値ある標的と見なされるだけの説得力があればよいのです。一度触れられれば、それは防御側にとって貴重な情報になります。正規のユーザーがおとりと関わる理由のないシステムやセグメントを、何者かが探索しているということです。

これは対応の質も向上させます。OTでは、判断を誤った場合のコストが高くつく可能性があるため、対応の意思決定は困難です。ホストの遮断、認証情報のリセット、ベンダートンネルの無効化、サブネットのセグメント化、ワークステーションの停止といった対応には、いずれも運用上の影響が伴います。信頼度の低いアラートには対応しづらいものです。しかし、デセプションによるアラートは事情が異なります。ハニー認証情報が使用された、偽のOT文書が開かれた、あるいはおとりのPLCにクエリが発行された場合、それは何か異常な事態が発生していることを意味します。これにより防御側は、より迅速かつ的確に対応する自信を持てるようになります。

ウクライナへの攻撃は、これらの点をよく物語っています。攻撃者の成功は、事前準備、アクセス手段、知識、そして企業システムの侵害から運用制御への移行を成し遂げる能力にかかっていました。ITとOTの両方にデセプション要素を配置していれば、防御側はより早期に検知し、両ドメインにまたがるインテリジェンスを得られていたはずです。