この記事は、当社の NERC CIP-015 ウェビナーシリーズのハイライトを振り返るブログシリーズの一部です。このシリーズでは、業界の専門家たちが、公益事業者が内部ネットワークセキュリティ監視（INSM）プログラムを構築する過程で得た知見や現場での教訓を共有しています。
第7話では、異常の検知から、異常の調査と対応、つまりCIP-015でいう「異常の評価と今後の対応の決定」へと話題を進めました。今回は、日々この業務に携わっている2名の方をお招きしました。そのお二人は、 SkyHelmの創業者兼CEOであるジェレミー・ドレイヤー氏と、同社のテクニカルアカウントマネージャーの一人であるローガン・サリントン氏の2名をお招きしました。SkyHelmは公益事業に特化したMSSPであり、主に電力協同組合分野を扱っていますが、送電、配電、発電といった他の公益事業分野にも携わっています。彼らの現場の視点は、まさにこのトピックに不可欠なものでした。
R1 第1.3部：異常を評価し、今後の対応を決定する
異常の調査と対応については、CIP-015 R1 の第 1.3 部に規定されています。この要件は、細かく分析するまでは非常に単純に見えます。実際には、1 つの文の中に 2 つの義務が盛り込まれているのです。
1つ目は「手法」です。つまり、異常を評価するための1つ以上の方法を実装することです。2つ目は、人々が見落としがちな点ですが、「今後の対応を決定する」ことです。単に何をすべきかを評価するだけでなく、具体的な結論を導き出さなければなりません。監査の際には、これが証拠として直接反映されます。そこでは、手法（方針、プロセス、対応マニュアル）だけでなく、異常の検出を受けて講じた措置についても文書化しなければなりません。
CIP-015の技術的根拠は、この評価をCIP-008と明確に結びつけており、後述するように、その関連性の中に多くの微妙なニュアンスが込められています。CIP-015 R1 第1.3部とCIP-008との整合性は極めて重要です。基準やエスカレーションプロセスに不整合がある場合、コンプライアンス上のギャップが生じる可能性があります。
評価プロセス
異常を評価するための再現性のあるプロセスを構築することは、CIP-015プログラムを成功させるための鍵となります。プロセスの構築には、チームの能力、異常検知手法、および異常評価を行う担当者にとっての背景情報を提供できるデータソースを理解することが必要です。期待される成果を定義し、それに基づいてプロセスを構築することができます。このプロセスを支えるために、手順書やプレイブックを整備しておく必要があります。
異常の分類：必要な対応に焦点を当てる
適切に設計されたOT ネットワークでは、真に悪意のある活動はめったに発生しません。検出される異常のほとんどは誤検知であり、まったく無害で、追跡の対象にもなりません。例えば、誰かが変電所で許可されていない機器に接続し、関係者にその旨を報告しなかったといったケースが挙げられます。
異常の評価にはその分類が含まれますが、従来の「真陽性／偽陽性」という分類枠組みは、2つの異なる問い――「アラートが発動したか」と「アラート発動の背後に悪意があったか」――を混同しているため、混乱を招きがちです。後者の方がはるかに重要です。
CIP-015の起草チームは、ラベルそのものではなく、異常が検出された際に取るべき措置に焦点を当てることで、この混乱を巧みに回避しました。技術的な根拠として、4つの措置に加え、5つ目の「状況に応じた対応」というカテゴリーが提示されています。実際には、悪意のあるものと悪意のないものの間のグレーゾーンにある誤検知に対処するために、他にもいくつかの一般的な措置を重ねて適用する必要があります。
そのグレーゾーンの好例として、「RTUに不明なデバイスが接続されました」というアラートが挙げられます。これはインシデントである可能性もあれば、全くの日常的な事象である可能性もあります。それは、適切な担当者が適切な機器に接続し、適切な操作を行っているかどうかによって異なります。それでは、技術的根拠の最初の2つのアクションと、それに関連する一般的なアクションについて詳しく見ていきましょう。
「措置なし」→ チケットの関連付けを変更
SOCアナリストが異常アラートを検知した際、まず行うべきことは、その異常を、その活動を説明する変更チケットと照合することである。トラフィックに劇的な変化をもたらした、プライマリ制御センターからバックアップ制御センターへのフェイルオーバー事象と関連している可能性はないだろうか。異常な活動を変更チケットと照合することで、追加の対応が不要であることを立証できるが、それはチケットに十分な詳細情報が記載されている場合に限られる。 チケットが存在しない場合や、関連付けを行うには情報が不十分な場合は、単にアラートを閉じることではなく、上流のプロセスを修正すべきだというシグナルとなります。
さらなる調査 –> ベースラインへの反映
ネットワークのベースラインは、定期的に確認すべき比較的静的なものだと考えがちです。しかし、ベースラインは時間の経過とともに変化します。ソフトウェアのアップグレード、新しいプロトコル変数、フェイルオーバー、そして頻度の低いメンテナンス作業（年次の中継装置やバッテリーのテストなど）は、ベースラインに影響を与えます。とはいえ、そうした活動をすべてベースラインに含めるわけにはいきません。頻度は低いものの正常な活動をネットワークのベースラインに組み込むことは、事実上例外を生み出し、悪意のある攻撃に利用される余地を広く残してしまうことになります。
より望ましい方法は、そのトラフィックが最初に発生した時点でそれを捕捉し、ナレッジベースに記録しておくことです。そうすれば、同じ保守作業が再度行われた際に迅速に関連付けを行うことができ、発生時にSOCにアラートが通知され、その内容を特定できるようになります。
ネットワークのベースラインを超えて：「正常」な状態と良性の逸脱の認識
INSMにおいて、「ベースライン」とはネットワークのベースラインを指します。しかし、システムが実際に何を行っているかを真に理解するためには、ベースラインの概念をネットワークフローの枠を超えて広げる必要があります。その通信の目的は何でしょうか？例えば、エンジニアリングシステムが計測装置やリレーから電圧値を読み取っている場合、それはDNP3やベンダープロトコルによるポーリングとして表示されます。それだけでは、これが正常な動作なのか悪意のある行為なのかを簡単に判断することはできません。ここで重要なのが「コンテキスト」なのです。
可能な限り、資産インベントリについて単一の信頼できる情報源を確保し、文書化を統一しておくことで、とりわけ調査の迅速化につながります。資産とその属性を列挙しただけの基本的なインベントリでは、フォレンジック上の価値は限定的です。各デバイスの動作や通信状況を完全に把握できることが求められます。
拡張ベースライン内のエンジニアリング上の異常を特定する有効な方法は、過去1年間のコントロールセンターの変更指示（通常は処理可能な件数）を抽出し、それらをグループ分けして、SOCチームが認識し、再発時に即座に関連付けられるよう、10～20件を選定することです。こうした活動はベースラインに組み込まれる場合もあれば、アラートをトリガーするものの、適切に把握されていれば正常または無害であると判断される場合もあります。以下に、それぞれの代表的な例をいくつか挙げます。
季節的・負荷に応じた運用と「戦場の霧」
「良性の逸脱」がどのように悪用され得るかを如実に示す例が、暴風雨時の運用です。ハリケーンや冬の吹雪、その他の季節的な気象現象に見舞われやすい地域の電力会社は、このことを痛感しています。暴風雨が襲来すると、予備の制御センターが稼働を開始し、対応センターが人員で埋まるにつれて、読み取り専用ログイン数が最大で半数も急増することがあります。暴風雨の最中に制御室に電話をかけて異常の確認を求めることはできません。安全と信頼性が最優先されるからです。
攻撃者は、いわゆる「戦場の霧」を悪用し、大規模な嵐の発生に合わせて攻撃のタイミングを計ります。SOCには、異常な挙動に関連するアラートが多数届くことになるでしょう。こうした嵐に起因する異常を記録しておくことで、関係者全員の時間と手間を節約できます。
CIP-015 ↔ CIP-008 の引き継ぎ
多くのNERC信頼性基準と同様に、CIP-015も別のCIP基準、具体的にはCIP-008と関連付けられています。CIP-015 M1の第1.3項では、「サイバーセキュリティインシデント対応計画を含む可能性のあるエスカレーションプロセスの文書化」が求められています。明らかに、特に措置を決定する定義に関しては、これら2つの基準を整合させる必要があります。
適切に設計されたネットワークでは、CIP-008の発動は稀であるべきですが、その手順は確実に実践しておく必要があります。この基準では、2つの事象について報告義務が発生します。それは、「侵害の試み」と「サイバーセキュリティインシデント」です。CIP-015の評価において、ある事象を「侵害の試み」と認定しながらCIP-008を発動しなかった場合、報告上の問題が生じることになります。 監査の時期が来れば、否定的な判断を文書化しておいてよかったと実感するかもしれません。何かが「侵害の試み」や「サイバーセキュリティインシデント」に該当しないと判断した場合、その理由を明記しておくのです。監査人が特定の期間のイベントを抽出して確認する際、その記録を探してくる可能性があるからです。
異常事象の調査と対応：得られた教訓とよくある落とし穴
INSMウェビナーシリーズが進むにつれ、いくつかの共通するテーマが浮き彫りになってきました。ここでは、公益事業者が異常事態の調査および対応計画を策定する過程で、私たちが確認した教訓やよくある落とし穴をいくつか紹介します：
- NERC CIPに関するあらゆる事柄と同様に、言葉や定義は重要です。チーム間や規格間で認識を統一し、文書化を真剣に捉えてください。
- 調整が必要だと考えられます。もしチームが毎週同じ誤検知アラートを再確認したり、結局は無害なアクティビティの相関分析に数日かかったりしているなら、本来の目的である「悪意のあるアクティビティの発見と積極的な対応」に集中することはできません。これは必ずしもアラートを無効にすることを意味するのではなく、これまでのセッションでアドバイスしてきたように、アラートをミュートすることに他なりません。
- ベースラインの設定は一貫して行われる必要があり、理想的には変更諮問委員会を通じて毎月実施すべきです。SOCマネージャーであるあなたが、特定の問題が定期的にベースラインに組み込まれていない（あるいはその他の形で文書化されていない）ことに気づいている場合、あなたのチームは本来必要以上に過重な負担を強いられていることになります。
私たちが常に見かける2つの最大の落とし穴は、このトピックやINSMの枠をはるかに超えて当てはまります。1つ目は、要件を満たすプログラムを設計すること自体が大変な作業ですが、紙面に書かれた内容とチームが実際に行っていることが一致していない場合、監査人がそのことに気づくのは難しくありません。このリスクは、方針や手順を策定したチームが孤立した状態で作業を行い、その内容が日々の実情に合わせて調整されることがない場合に発生します。 時間が経つにつれて、両者の乖離があまりにも大きくなり、多くの場合、外部の支援を得て一からやり直さざるを得なくなります。
私たちが引き続き目にする2つ目の大きな落とし穴は、規模を問わずあらゆる電力・ガス事業者が、CIP-015を単なるプロジェクト、あるいは単なる技術プロジェクトとして扱っていることです。これは、人材、プロセス、技術が等しく重要な要素となる大規模なプログラムです。ほとんどの電力・ガス事業者は、過去に大規模な取り組みに対してプロジェクト型のアプローチを採用した際のことを振り返るだけで、なぜそれが失敗したり、期待通りの成果を上げられなかったのかを悟ることができるはずです。
この投稿では、ウェビナーで取り上げられた内容のほんの一部にしか触れていません。NERC CIP-015 ウェビナーシリーズの全編をご覧になりたい方は、ぜひご登録の上、第7回のアーカイブ動画をご覧ください。そこでは、評価プロセスを構築するために活用できるフローチャートや、SOCと制御室間の連携を図るためのヒントなど、詳細な議論が紹介されています。これらの内容がご自身のプログラムにどのように適用できるかについてご相談されたい場合は、お気軽にお問い合わせください。私たちは皆様をサポートいたします。
