CISAと同盟国、OTネットワーク露出に警鐘

米国および同盟国のサイバー機関は水曜日、運用技術（OT）システムの防御強化を目的とした指針の中で、安全でない接続性がサイバー脅威アクターにとって産業環境を混乱させる最も迅速かつ確実な手段の一つであり続けていると警告した。

FBIとサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は、英国の国家サイバーセキュリティセンター（NCSC）およびファイブ・アイズと欧州各地のサイバー当局とともに、指針を公表し、リモートアクセス、監視、データ分析のためにOT環境の接続が進むことで生じる攻撃対象領域を縮小することを目的とした8つの「安全な接続性の原則」を示した。

運用技術ネットワークは、歴史的に隔離された状態を保ち、安全性と稼働率を重視して設計されてきたが、組織がレガシーシステムをITネットワーク、クラウドプラットフォーム、第三者サービスプロバイダーに接続するにつれて、近年ますます露出するようになっている。各機関は、この急速な変化により、国家支援型および便乗型のアクターがサイバー侵入から物理的な混乱へと移行する機会が拡大したと警告した。

「これらの課題は、サードパーティベンダー、リモートアクセスソリューション、サプライチェーン統合の利用拡大によってさらに複雑化しており、いずれも潜在的な攻撃対象領域を拡大する」と指針は述べている。また、接続性が従来のプラント境界を越えて拡大するにつれ、産業ネットワークが弱点を狙ってスキャン、インデックス化、探索されるケースが増えているとも警告している。

サイバー機関は、接続性に関する判断をリスクに基づく事業判断として扱うよう組織に促し、新たな接続はすべて、運用上の利点、許容可能なリスク閾値、導入される依存関係、経営層の説明責任を文書化した正式なビジネスケースによって正当化されるべきだと推奨している。提言の一つは、OT境界での露出を抑えるため、外部からのインバウンドアクセスを許可するのではなく、ネットワーク内部から開始されるアウトバウンド専用の接続をデフォルトとすることを求めている。

外部アクセスが避けられない場合、各機関は資産の直接露出を防ぐため、堅牢化されたゲートウェイを介した仲介接続を推奨している。指針はまた、レガシーおよびサポート対象外のデバイスにも正面から言及し、旧式のコントローラやゲートウェイは現代的な認証、暗号化、ログ取得機能を欠くことが多く、信頼できないものとして扱うべきだと警告している。

近年、安全でない、または適切にセグメント化されていない接続性により重要インフラの運用が妨げられた著名なサイバーインシデントが複数発生している。これには、脅威アクターがITネットワークやリモートアクセスサービスを通じて初期侵入に成功した後、エネルギーパイプライン、食品加工工場、製造オペレーションの一時停止を余儀なくさせたランサムウェア攻撃が含まれる。CISAはこれまで、OTおよび重要インフラの運用者に対し、OTのパブリックインターネットへの接続を減らすこと、デフォルトパスワードを変更すること、OTネットワークへのリモートアクセスを保護すること、ITネットワークとOTネットワークをセグメント化することを促してきた。（参照：OTシステムは基本的なハッキングにさらされているとCISAが警告）。

指針は、断片化したアーキテクチャは設定ミスを増やし可視性を低下させるため、場当たり的なVPNや代替アクセス経路に依存するのではなく、リモート接続性をさらに集約・標準化するよう運用者に求めている。集約されたアクセスポイントにより、ベンダーやその他の用途にわたって一貫した認証、セッション監視、ログ取得が可能になると述べた。

指針はまた、フラットなOTネットワークでは、侵害された単一のデバイスや認証情報がシステム全体へ連鎖的に波及し得ると警告している。運用上必要なものに限って通信経路を制限することで、横方向移動の機会をより効果的に減らせると各機関は述べている。