この記事は2019年9月12日に更新されました.
オープンソースソフトウェア（OSS）のツールを悪意を持って組み合わせるだけで、重要なインフラに混乱や損害が生じかねないと思うと、不安を覚えます。幸いなことに、世界中のICSセキュリティ研究者たちは、まさにそれらのツールを活用して、産業用制御システムのサイバーセキュリティ強化に取り組んでいます。
SC Magazineが最近発表した記事「攻撃者はOSSツールで重要インフラ内の脆弱性を簡単に見つけることができる」の中で,Nozomi Networks CTOのモレノ・カルロは,重要インフラの脆弱性を見つけてシャットダウンするためにセキュリティ研究者が行っていることを取り上げている.
オープンソースソフトウェアはICSサイバーセキュリティ問題にどう貢献するか？
オープンソースソフトウェアはあらゆるところで使われている.ソフトウェア・ベンダーのブラック・ダックが最近発表したレポートには,目を引く統計がある：
- 調査監査中にスキャンされたアプリケーションの96%にオープンソースコンポーネントが含まれていた.
- 調査したコードベースの78%に少なくとも1つの脆弱性があった.
- コードベースの脆弱性の平均件数は64件であった.
オープンソース・コードは非常に普及しているため,攻撃者は1つのハッキングを多くのターゲットに利用することができる.実際,ブラック・ダックは,オープンソース関連の脆弱性に基づくサイバー攻撃は,昨年だけで20％増加すると予測している.
攻撃者はOSSツールで重要インフラ内の脆弱性を簡単に見つけることができる」という記事の中で,モレノは産業制御システム(ICS)の脆弱性の他の根本的な原因について,以下のように論じている：
- OT システムにはICSセキュリティが組み込まれていない
- 産業用プロトコルは,完全性と機密性を提供するようには設計されていない.
また,世界中のICSセキュリティ研究者がOSSツールを活用して,どのように安全でない慣行や脆弱性を発見し,暗号化通信やネットワークの可視化,セグメンテーション,モニタリングによってドアを閉じているかについても説明している.
例えば,Nozomi Networks の研究者は最近,OSSを使ってセキュリティ・テストとファジング・ツールを作成した.このツールは,PLCやリモート・ターミナル・ユニット(RTU)などのICSデバイスが使用する独自プロトコルの脆弱性を自動的に発見するように設計されている.
Nozomi Networks チームは,OSSベースのツールだけを使用して,複数のベンダーのPLC内の複数のゼロデイ脆弱性を迅速に特定した.このツールは,各デバイスに少なくとも 1 つの脆弱性を発見し,いくつかのデバイスの管理ソフトウェアに関連する問題も発見した.
産業用サイバーセキュリティ問題の解決に向けた責任の分担
重要インフラのセキュリティ確保に対する責任は、デバイスベンダーや重要インフラ事業者から、ICSサイバーセキュリティの研究者 やソリューションプロバイダーに至るまで、私たち全員に課せられています。
規制機関は急速にガイドラインを策定し,脅威を減らすための目標を設定している.最近,米国商務省と国土安全保障省(DHS)による報告書は,IoT コンポーネントとソフトウエアのセキュリティ機能を向上させるために,デバイスメーカーとソフトウエアプロバイダが必要であることを強調した.同報告書は,IoT の耐障害性を強化する効果的なツールは存在するものの,まだ広く利用されていないと指摘した.具体的には,IoT 機器に既知のセキュ リティ上の欠陥がある状態で出荷しないこと,また,脆弱性が発見された場合にパッチを適用するための更新メカニズムを機器に含めることを推奨している.
産業インフラ市場は、OT に対処するために正しい方向へと進んでいるが、すべての脆弱性を解消するには時間がかかるだろう。幸いなことに、重要インフラの運営者は、ICS-CERTアラート、マルウェアに関する調査、対策概要、Nozomi Networks研究論文「TRITON: 安全計装システムに対する初のICSサイバー攻撃――マルウェア、その通信、OT 解明。さらに、Nozomi Networks 「Guardian 」のような効果的なソリューションGuardian 、産業用制御ネットワークに対してOT 性を提供します。
.webp)
