暗黒面のサイバー関連ニュース – 2014年6月4日付

※元の英語記事は、2014年6月4日に公開されました。

約束したとおり、私の週1回（くらい）の新連載『サイバー空間からの暗いニュース』（ちょっと違ったか？）の第2回をここにお届けする・・・

今回の主なテーマは重要インフラのセキュリティだ。特に、重要インフラに関して注視すべき問題や危険を取り上げる。製造設備や原子力施設、交通機関、送電網、その他の産業用制御システム（ICS）への攻撃だ。

実をいうと、この記事にあまり「ニュース」はない。先々週のニュースのようなものをお伝えする記事だ。幸い、重要インフラのセキュリティの問題は毎週起きるわけではない。少なくとも、記事にするほど興味深い事件はそうそう起きるものではないのだ。しかし、おそらくその理由は、ほとんどの事件が隠ぺいされるためだろう（無理もない話だが、それでも心配だ）。あるいは、誰も気づいていないからかもしれない（攻撃はひそかに実行されている可能性がある。こちらの方がずっと心配だ）。

というわけで、重要インフラのセキュリティ問題に関する現在の状況とトレンドを示す興味深い事実と、それに伴う脅威を目の前にしてなすべきことについてのヒントを紹介する。

重要インフラの問題には驚くような理由がいくつもあることが判明した・・・

ICSの建造と設置を手がけるエンジニアは、「中断のない安定した運用ができれば、後のことなど知らない！」をモットーにしている。そのため、ハッカーにシステムを乗っ取られてしまうぜい弱性が制御システムに見つかったとしても、システムがインターネットに接続されたとしても、本当にひどいパスワードが・・・たとえば「12345678」というパスワードが使われたとしても、知ったことではないのだ！エンジニアは、システムが絶えず、円滑に、同じ温度で動作することしか頭にない。

やはり、パッチ適用などを実施する場合は、システムの稼働がしばらく停止する可能性があり、実際に停止する。ICSエンジニアにとっては受け入れがたいことだ。とはいえ、これが重要インフラの現状である。黒と白の中間の灰色は見ていない。それとも、必死になって現実から目をそらしているのだろうか？

我々は昨年9月、稼働中の産業システムに見せかけたハニーポットをしかけて、インターネットに接続した。するとどうなったか？1か月のうちに442回の侵入を受け、内部のプログラマブルロジックコントローラー（PLC）にまでアクセスされることも何度かあった。PLCを再プロミングした頭のいいサイバー犯罪者も1人いた（Stuxnetのようだ）。我々のハニーポットの実験でわかったのは、ICSがインターネットに接続されたとしたら、ほぼ100%間違いなく、初日にハッキングされるということだ。ハッキングされてしまったICSに対して何ができるかというと・・・そう、天を仰ぐしかない。まるでハリウッドのアクション映画のような筋書きだ。それに、一口にICSといっても、さまざまな形状やサイズがある。たとえばこれだ。

原子力施設のマルウェア

ニュースソース

斬新な新年の迎え方ではないか・・・。日本の原子力発電所もんじゅの管制センターにある1台のコンピューターが、2014年を迎える数時間前、マルウェアに感染したことが判明した。このマルウェアはフリーソフトウェアの更新によって侵入したのだ！冗談で言っているのではない。

私はこの事実をしばらく受け入れられなかった。

原子炉の制御室でフリーソフトウェアを使うような職員が働いていたのか？長く孤独な夜勤を乗り切るためにビデオプレイヤーを更新したというのか？そもそも、このコンピューターはインターネットに接続されていたのか？？？？？

このようなことが二度と起きないように言っておくが、産業用コンピューターは世捨て人のような存在となり、外の世界とは一切関わりをもってはならない。簡単な話だ。これはUSBメモリにも当てはまる。このような重要な施設と関わりを持つものは、何一つ残らず極めて慎重に調べる必要がある。ナタンズに侵入したStuxnetもUSBから感染したことを忘れてはならない。

凶事の予言

以前、『ダイ・ハード4.0』の脚本について書いた。半分はハリウッド映画のでたらめな脚色だが、もう半分は、いつか現実に起きる可能性が十分にある。これと同様に、いつの日か現実になるかもしれないという話がある・・・

あるリサーチャーが、信号機の制御システムに侵入することで米国の都市の道路にディスコの照明を設置できるかどうかを確かめた。

このリサーチャーのレポートは非常に説得力がある。私が特に気に入っているのは、以下の結論の部分だ。

• 「…［交通制御システムの］ぜい弱性をみつけるのは難しくなかった（実際のところ、正常に稼働させることの方が難しいが、それはまた別の話だ）」
• 「上空650フィート（約200m）を飛行するドローンからの攻撃もテストしたところ、成功した」
• 「米国の45の州と10か国に250以上の顧客を抱える」
• 「ベンダーによれば、もう1つのぜい弱性はこのデバイスの新しいバージョンで修正済みだという。しかし、新しいデバイスを購入して古いものと交換する必要があるというのは、大きな問題だ」

コカイン風味のバナナ

今では実質的にあらゆる場所のあらゆるものがコンピューターによって制御されている。コンピューターを持っているということは、常にハッキングされる可能性があるということだ。ハッキングが可能なのだとしたら、『ウォッチドッグス』のようなシナリオがますます現実味を増してくる。

ベルギーでの例を紹介しよう。

常に独創的な南米の麻薬密売人が、バナナを運ぶ貨物コンテナーにコカインを忍ばせた。コンテナーは船でヨーロッパまで運ばれて、アントワープの倉庫に置かれた。次に、コカイン密売人に雇われたハッカーが作戦を引き継ぐ。マルウェアを使った何らかの方法で倉庫の制御システムに侵入し、コカインの入ったコンテナーの位置情報を追跡した。そして大型トラックを向かわせて、バナナの荷受人が現れる前にコカインを回収したというわけだ。

この例から、昔ながらの麻薬組織とサイバー犯罪が、産業システムという分野で結びつきを強めつつあることがわかる。

Appleのパッチ提供は遅いかもしれないが、ICSはもっと遅い

ICSのセキュリティの問題が深刻化するのは、運用する側がICSの稼働中断に消極的であることだけでなく、ICSのベンダーにも原因がある。

とはいえ、少なくとも今は、状況は少しずつ改善し始めている。開発元が自社製品のセキュリティに関する明らかなミスを露骨に隠ぺいするという常軌を逸した事例は、しばらく見ていない。だが、ここでの真の問題を理解するために、RuggedComという企業に関するケースをお話ししたいと思う。同社はエネルギー、産業、交通機関といった重要な分野向けにネットワーク機器を製造している企業だ。

これは珍しいケースではない。その反対で、よくあるケースなのだ。

2011年初頭、あるリサーチャーがRuggedComの機器にセキュリティホールを発見した。管理者アクセスの情報を比較的簡単に取得できるというぜい弱性だ。リサーチャーはこのぜい弱性をRuggedComに伝え、何らかの不正アクセス対策を実施するか、せめてリモートアクセスをブロックするよう顧客に推奨することを、1年にわたって同社に訴え続けた。しかし、すべては無駄だった。無視されたのだ。1年後、同社の対応にうんざりしたリサーチャーは、US-CERTにかけあって事実を公にした。

もちろん、この有名企業はさまざまな批判にさらされ、大きな騒ぎになってぜい弱性がすぐに修正された。誰もが胸をなで下ろした。勇敢なリサーチャーもその1人だ（よくやった！）　だが、実際にパッチを適用したユーザー企業は、全体の半数を大きく下回るだろう。驚くべきことに、ぜい弱なシステムが今もあちこちで稼働している・・・

七面鳥の日に七分間でぜい弱性を発見

現代のICSは大量のセキュリティホールを抱えている可能性がある。その一例を紹介しよう。

感謝祭の日の早朝、また別のリサーチャーがいくつかのICSソフトウェアを詳しく調べてみることにした（ちなみに、このリサーチャーにとってICSはまったくの畑違いだった。仕事が休みだったのだろうか？他に何か目的があったのか？）　七面鳥の料理が出てくるころには、彼はすっかり取り乱していた。7分間で最初のゼロデイぜい弱性を発見し、一日が終わるころにはさらに20のぜい弱性を発見していた。その中には離れた場所からコードを実行できるものもあった。

Kaspersky Security Analyst Summit（SAS）で講演者の1人が述べたように、「ICSはまだ1990年代のまま」なのだ。20世紀に、20世紀の人々によって、20世紀の基準に従って作られたが、現在も稼働している。

世界のサイバー空間の混乱という点で事態が悪い方向に進み、政府が赤いサイバーボタンを押して、実際にサイバー空間の秩序が崩壊し始めれば、そのときこそICSの大量のぜい弱性が本格的に悪用されるようになるだろう。氷山の下の方の（巨大な）部分が姿を現すときだ。というよりも、そういったニュースを耳にするだろう。いや、読むことになるかもしれない・・・。違う！気づくことすらできないはずだ。何もかもが動かなくなるのだから！

ロボ*.*

あと5年もすれば、さまざまな目的を持った多種多様なドローンが、私たちの周りを大量に飛び回り、走り回り、泳ぎ回るような時代が来るに違いない。

昨年Amazonがドローンによる配送サービスの計画を発表したが、これは単に時代を先取りしたPRではない。現実の計画だ。ドローン配送は間もなく実現する！問題は、技術面もさることながら、法律面でも出てくるだろう。特別な飛行ルートを用意しなければならないし、配送ドローンを飛ばすための新しいルールも必要だ。飛行のための天気のレポートの配信、ユーザーやメーカーへのライセンス・・・他にも問題は山積している。

だが、事態はそういう方向に進もうとしている。それは空の話だけではない。先ごろGoogleが、同社初の運転手のいない自動車のコンセプトを発表した（1世紀以上を経て、「自動車」という言葉がようやく、言葉通りの意味で使われるようになる）。

さらにドローンは重要インフラの分野にまで進出しようとしている。

一面では良いことずくめだ。ドローンによって、人が嫌がり、難しく、無駄なプロセスを自動化できる。一方、こうした自動化はいつか、とてつもなく大きな音をたてて崩壊する可能性がある。そのときが来たら、ポップコーンを買い込んでおかなければ・・・

そう、光はある！

最後にちょっとした「ロマンス」を。

2000年代の最初のころから、送電網はウイルス攻撃の影響を受けやすいことがわかっていた。一般ユーザーの家庭用コンピューターと同じくらいぜい弱だ。

フランスの写真家が、この『Darkened Cities』（明かりの消えた街）という興味深い写真を作成した。こうした攻撃が発生すると、どんな景色が見えるのかを示している。香港、ニューヨーク、サンフランシスコ、パリ、上海、サンパウロなどの大都市から明かりが消えた驚くべき夜景だ。なので、ある夜家にいて、突然電気が消えたとしても、パニックにならないでほしい。あり得る話だし、ただのウイルスかハッカーの攻撃だ。実際はパニックになるだろうが・・・

ニュースソース

その前に、誰もが『ドクター・フー』を見た子供のように、シーツの下やソファーの後ろで小さくなるのだろうか？それとも、ゆっくりと墓地に向うのか？現状は本当にそこまで悪く、これからも悪くなっていくのだろうか？

そう、本当にひどい状況だ。我々はすでに何年も、崖っぷちに立ってバランスを取ろうとしてきた。重要インフラの根幹の部分が、トランプでできた家のように今にも崩れるかもしれない。だが、少なくとも我々が、セキュリティエキスパートがいる（笑）

しっぽを丸めて逃げ出し、泣きごとを言うのは、我々のやり方ではない。世界は次の3つの方法でこの問題に対処していくと固く信じている。新世代のソフトウェアを開発し、重要インフラ向けの新しい安全なアーキテクチャを開発して、セキュリティに関する各国の標準と国際標準を策定するのだ。

この3本の柱から成る戦略を進めていけば、街の明かりが消える原因は、電球が切れたこと以外になくなるはずだ。