鉄道部門は、世界の輸送産業において主要な役割を果たし、貿易、経済成長、社会発展のバックボーンとしての役割を果たしている。製造業、鉱業、農業、水処理、消費財は、高速で信頼性が高く、環境に優しい輸送手段として鉄道部門に依存している。今日、鉄道網の構成要素は、重要な物資、資源、サービスのボトルネックとなっている。
鉄道部門は、他の多くの産業と同様に、過去10年間、レガシーシステムの近代化、新技術の採用、効率性と最適化の向上を推進してきた。その結果、コンピュータ化された機器と旧式のハードウェア・コンポーネントが相互作用し、統合と監視が必要な多数のシステムが混在するエコシステムがしばしば発生する。
不明瞭さによるセキュリティが過去のものとなりつつある現在、鉄道セクターのセキュリティを効果的に確保するためには、運用技術(OT )システムやモノのインターネット(IoT )デバイスの可視性を確保することが不可欠です。このブログでは、鉄道資産所有者が直面しているサイバーリスクシナリオを、現在の鉄道セクターの規制や資産所有者がリスク分析を行うのに役立つフレームワークとともに検討します。最後に、重要なネットワークを保護するために利用できるリスク管理戦略をご紹介します。
鉄道事業者はどのようなリスクシナリオに直面しているのか？
鉄道システムに対する攻撃は、製造業などのサプライチェーンへの影響から、水質浄化に使用される化学薬品の配送の中断、燃料配送の阻害、必要な労働者の通勤の妨げなど、広範囲に及ぶ結果をもたらす可能性がある。欧州連合サイバーセキュリティ機関(ENISA)は、『鉄道サイバーセキュリティ』(Railway Cybersecurity)の中で、鉄道事業者や利用者のさまざまなサイバーリスクシナリオについて説明している。このリストは、鉄道関係者がリスク分析を行う際に役立つことを目的としている。
ENISAは以下の7つの脅威シナリオを概説している：
- 攻撃者が信号システムや自動列車制御システムを侵害し、事故を引き起こす。ENISAは、このようなシナリオの可能性は低いとしながらも、人的被害の可能性を含む潜在的な影響から、鉄道部門にとって最大の懸念事項であると指摘している。
- 攻撃者が列車の運行管理システムを妨害し、鉄道の運行を停止させる。この種の攻撃には、鉄道交通を監視する産業用制御システム(ICS)にリモートアクセスできるように設計されたマルウェアが使用される。
- 攻撃者は予約管理システムを侵害し、顧客の個人データを盗みます。この種の攻撃を実行するために、悪意のある行為者は管理者の認証情報を盗む。そして、その認証情報を使って顧客データにアクセスし、漏えいや売却を行います。
- 安全性が確保されず、公開されたデータベースは、機密データの漏洩につながる。 サードパーティ・ベンダーが適切なサイバーセキュリティを提供しない場合、鉄道ネットワークがこの種の脅威にさらされる可能性がある。
- 分散型サービス拒否(DDoS)攻撃により、旅行者が航空券を購入できなくなる。このシナリオでは、攻撃者はボットネット・ネットワークを使用してデバイスにリクエストを殺到させ、ユーザーがアクセスできないようにします。この種の攻撃は、鉄道ネットワークを直接標的にするか、ネットワークのインターネット・サービス・プロバイダー(ISP)を標的にすることで、その運営に影響を与える可能性があります。
- 鉄道ネットワークのITサービスは、悲惨な出来事の後に中断される。それが自然災害の結果であれ、人為的ミスであれ、破壊工作の結果であれ、このシナリオではデータセンターが被害を受け、ITシステムと関連活動が中断される。
2019年には、デンマークの国営鉄道運営会社DSBが、発券システムに影響を与えるDDoSサイバー攻撃を受け、2022年にはイタリア国鉄とその子会社が所有する駅で、ランサムウェア攻撃の成功により切符の販売が中断された。ポーランドでは今年、無許可の無線放送により重要な鉄道輸送システムが妨害された。緊急停止機能を作動させるなりすまし攻撃により、20本以上の貨物列車と旅客列車が停止した。
鉄道活動に影響を与えるランサムウェア攻撃は最も重要な脅威シナリオだが、データセンター、発券システム、サードパーティー・ベンダーも攻撃の標的になる可能性がある。鉄道システムは、列車、線路、架空送電線、マスト、カンチレバー、信号システムで構成されています。鉄道事業者はまた、信号システム、牽引システム、列車制御システム、旅客情報システム、駅のインフラを保守・運用している。
近年、無人列車は世界最大のロボットシステムとなり、効率性と安全性のためにIoT センサーに依存している。鉄道システムとオペレーターの重要性は、その複雑さと露出度とともに、脅威行為者にとって鉄道システムとビジネスをますます魅力的な標的にしている。
鉄道セクターの枠組みと規制
規制や枠組みは国や地域によって異なるが、線路保守、列車運行、安全プロトコル、従業員訓練、設備基準、緊急事態への備えといった側面を大まかに取り上げている。サイバーに特化した要件も増加しており、一般的なベストプラクティスや業界主導の標準を活用し、特に現実世界に影響を及ぼすサイバーシナリオを防止している。
鉄道は、サイバー基準やガバナンス体制がサイバーセキュリティ戦略やコンプライアンスへの取り組みを再考している多くの国で重要インフラとみなされている。関連する基準や規制を遵守することは、脅威行為者が上記のリスクシナリオを達成する可能性を減らし、サイバーイベントの被害を最小限に抑えるための良い第一歩となり得る。
下表は、鉄道事業者が利用できる基準、規制、遵守措置の概要を示しており、一部は強制的、一部は任意的なものである。
サイバーリスク管理戦略
鉄道会社は、包括的なサイバーセキュリティ戦略を採用することで、重要システムのセキュリティ体制を強化し、サイバー脅威から保護することができます。MITREのICS向けATT&CK(Adversarial Tactics, Techniques and Common Knowledge)フレームワークやゼロトラスト実装戦略などのフレームワークは、重要なシステム、ネットワーク、コンポーネントの安全で信頼性の高い運用を確保するのに役立ちます。
MITRE ATT&CK for ICS
MITRE ATT&CK Framework for ICS は、セキュリティオペレーションセンター(SOC)のアナリストやインシデントレスポンス担当者が、検出された行動の重要性を理解するための迅速かつ効果的な手法を提供します。サイバー攻撃で使用される一般的な手口をカタログ化し分類することで、MITRE ATT&CKは、鉄道所有者や運営者が既知の脅威活動に基づいた防御戦略を策定するのに役立ちます。
このフレームワークは、悪意のある活動を「最初のアクセス」から「影響」までの攻撃経路の各ステップごとに分類した11の手口に分類しています。これらの11のカテゴリの中には、各テクニックに一般的に関連する特定の脅威の詳細な説明とともに、約100のユニークなテクニックがあります。これはサイバーセキュリティのソリューションではなく、個々の組織のリスクプロファイルのコンテキストを測定することはできませんが、そのカテゴリは、市場で利用可能な多くのセキュリティツールに組み込まれています。
信頼ゼロ
鉄道部門は、OT とIoT デバイスの複雑な相互運用ネットワークに依存している。システムによってはパッチを当てることも、適切にハード化することもできず、ネットワークによっては分離できず、リモートアクセスを切断できないものもある。この複雑で相互依存的なセクターのサイバーセキュリティを向上させるために、ゼロトラスト・アプローチは、防御可能なアーキテクチャのますます魅力的な要素になりつつある。すべてのデバイスとアプリケーションが一貫して管理され、セグメント化され、デフォルトで権限が最小化されていれば、悪意のある行為者がサードパーティの脆弱性を悪用して鉄道ネットワーク・システムを攻撃することは少なくなる。
米国家安全保障局によれば、ゼロ・トラスト・ モデルは、3つの主要原則を適用することで、システム、ネットワーク、ユーザー間に内在する、検証されていない信頼の量を制限しようとするものである：
- 信頼せず、常に検証する- ダイナミック・セキュリティ・ポリシーを使用して、すべてのユーザー、デバイス、アプリケーション、データ・フローを必要最小限の権限で認証し、明示的に承認します。
- 侵入を想定する- 敵対者がすでに環境内に存在しているかのように運用する。つまり、デフォルトでリソースへのアクセスを拒否し、すべてのアクセス要求、設定変更、ネットワークトラフィックに不審な動きがないかを継続的に監視します。
- 明示的に検証する - 複数の動的および静的属性を使用して、リソースへのアクセスを許可するかどうかを決定する。
鉄道の安全保障への道
サイバー攻撃は、鉄道の運行を中断させ、ランサムウェアや修復作業に多大な損失をもたらし、機器を破壊し、物理的な被害をもたらす恐れがある。鉄道所有者や鉄道事業者が直面しているリスクシナリオや規制要件を考えると、防御可能なアーキテクチャを構築し、耐障害性を向上させ、脆弱性を管理することがますます重要になっている。
最悪のシナリオを回避し、必要なコンプライアンスを達成するためには、サイバーセキュリティチームが直面する脅威を正確に検知し、対応することができなければなりません。そのためには、資産の可視化、脆弱性管理、threat intelligence 、セキュリティ分析と異常検知という4つの主要機能が必要です。
Nozomi Networks ソリューションは、鉄道資産所有者がネットワーク上のすべての通信デバイスとトラフィックパターンを完全に可視化し、デバイスの脆弱性を自動的に特定してスコア化するのに役立ちます。また、当社のプラットフォームは、潜在的な脅威をセキュリティチームに警告する検出機能を構築し、threat intelligence の情報をより広範なネットワーク動作と関連付けることで、最大限のセキュリティと運用に関する洞察を提供します。
詳しくは、デモをご予約ください。
