この夏のサイバー攻撃を受け、WaterISACが多様な脅威への対応を強化

全米の浄水処理システムを自動制御するコンピューターは、耐久性を重視して作られたもので、インターネットに接続された時代を想定していません。多くは今も基本的な機能を果たしていますが、この夏に水道分野へのサイバー攻撃が激化するなか、水道業界の関係者は、こうした老朽化したシステムが依然として攻撃者にとって最も侵入しやすい経路の一つだと指摘しています。特にインターネットに公開された制御技術（OT）やプログラマブルロジックコントローラー（PLC）が狙われやすいといいます。

水道情報共有分析センター（WaterISAC）のトム・ドビンズ事務局長はCyberScoopの取材に対し、同分野が抱える主な弱点として、公開状態のOT、脆弱なPLC、インテグレーター経由の不安全な接続、小規模事業者のサイバーハイジーン（基本的なセキュリティ対策）の不備を挙げました。こうした状況を受け、同センターは分野全体での脅威情報の共有を迅速化しています。

「私たちは攻撃を受けています。米国が世界各地の複数の紛争に関与するなか、敵対する攻撃者は活動を活発化させています」とドビンズ氏は述べました。

その脅威はイランだけにとどまらず、中国やロシアにも及ぶと同氏は語りました。米政府は、この夏の水道施設への攻撃の背後にイランがいるとみていると報じられています。

WaterISACは水曜日、Cywareとの提携を発表します。同社の脅威インテリジェンスプラットフォームを活用する計画です。同社を選んだ理由の一つは、他業界のISACとすでに関係を築いている点だとドビンズ氏は説明しました。WaterISACはすでに全米農村水道協会（National Rural Water Association）と提携しており、水道分野で最も小規模な2万の事業者を支援しています。ドビンズ氏によると、Cywareの導入は同センターのアナリストの業務をさらに後押しするといいます。

水道分野は数多くの課題に直面しています。資金面や技術面の制約から、システム防御の取り組みが他分野より遅れているとの見方も広がっています。

「インターネットに公開されたOTシステムは大きな課題です。旧世代のシステムの多くは、インターネットからアクセスできないようにする必要があります」とドビンズ氏は述べました。

さらに、プログラマブルロジックコントローラー（PLC）は「明らかに」「脆弱性のある箇所」だと同氏は指摘しました。 

この夏の攻撃で最も多く関連が指摘されたのが、この二つの脆弱性でした。

ドビンズ氏によると、水道分野全体で、PLCはハッカーにとっての「主な侵入口」になっています。その一因は、PLCが「もっと単純で穏やかな時代」に設計されたことにあります。

「機器の多くは、サイバー脅威やその活動が存在する前に開発されました」と同氏は言います。「機器にはまだ価値があり、稼働もしています。そのため、事業者にはアップグレードする大きな理由も動機もありません」

ドナルド・トランプ大統領は、サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が警告を出したにもかかわらず、この夏の攻撃の背後にイランがいるとの見方を否定しています。

「こう言いましょう。最近のCISAの発表がイランを攻撃者として名指ししたのを私は見ました。大統領はイランではないとほのめかしたようですが、この分野ではおそらく大統領よりCISAのほうが専門知識を持っているでしょう」とドビンズ氏は述べました。「大統領はあの発言をした時点で、十分な説明を受けていなかったのかもしれません」

ただしCISAは、ロシアや中国による潜在的な脅威についても警告していると同氏は語りました。

水道分野には、このほかに二つの脆弱性の要因があります。外部要因のインテグレーターと、内部要因の従業員です。

「インテグレーターが作業を行い、個別に管理されていないOTシステムへの接続を持っている場合、攻撃者はインテグレーターを経由して侵入し、システムに入り込めます」と同氏は述べました。 

さらに、「実際には優秀な従業員で、正しいことをしようとしているのに、悪意のあるリンクを含むメールを開いてしまい、フィッシング攻撃の被害に遭う」ケースもあるとドビンズ氏は語りました。

小規模な事業者では、パスワードの変更や多要素認証の導入といった基本的なサイバーハイジーンを維持するのも難しい場合があると同氏は述べました。

Cywareの政府・重要インフラ担当マネージングディレクターのトム・ストックマイヤー氏は、Cywareが支援できる方法の一つは、他のISACとの関係を活用することだと語りました。

「水道分野をポートフォリオに加え、分野横断の情報共有を可能にしていけることを嬉しく思います」と同氏は述べました。