KICSで産業用設備を保護しよう

バンザイ！

このたび当社は Kaspersky Industrial CyberSecurity（KICS）の提供を開始した。これはいわばサイバー感染症に対抗するための特別な予防接種だ。これで工場や発電所、病院、空港、ホテル、倉庫、皆さんのお気に入りのデリ、産業用制御システム（ICS）が使われている他のさまざまな業種の多くの企業を保護できる。あるいは別の言い方をすれば、今日、そうしたシステムなしで運営されている企業はあまりないのだから、世界各地で製造業やサービス業に携わる無数の大規模、中規模、小規模企業を対象としたサイバーソリューションと言ってもいい！

では、そのKICSとやらは具体的にはどのようなものなのか？その用途は？それを説明するにはまず、時を遡って…

2000年代に入る前は、産業用設備に対するサイバー攻撃などというものは、SF作家の発想の種になるだけだった。ところが2003年8月14日、米国東北部とカナダ南東部で、SFが現実のものになった。

なんと

電力グリッドに何らかの不具合が起きたせいで、当該地域の5,000万人が停電の被害に遭った。停電は、一部では数時間、一部では数日にも及んだ。この人災の背後にどのような原因があったのか、さまざまな説が唱えられた。木の剪定不足、落雷、悪意のあるリス、そして…コンピューターワームSlammer（Blaster）を使ったサイバー攻撃の副産物だという説も。

私が理解している限りでは、実際にはそうした要素がすべて組み合わさって起きたことだった。つまり、運命のいたずらでいくつかのこと（木の問題やリスの問題）が同時に起き、さらにそれと同時にたまたまコンピューターワームが通信システムを停止させたのだろう。中央制御メカニズムが事態に対応できなかったため、ドミノ式に被害の範囲が広がり、局地的な小規模の事故だったものが広範囲に及ぶ大規模な緊急事態になったというわけだ。

ICSもコンピューターネットワークも普及してからもう数十年経っているのだから、そうした事故はおそらくその前にも起きていただろう。しかし内密に処理されていたか、別の原因によるものと考えられていた。今日さらに重要になのは、2003年以来、産業用設備に対するサイバー攻撃に関するニュースは数を増し、頻度も上がってきていることだ。そして2010年には、イランの核開発プログラムに対するStuxnetの攻撃によって、この問題に軍事的な側面もあることが明らかになった。

結論：産業用設備にもサイバー攻撃に対する脆弱性がある。さらには、この事実を無視すると非常に不愉快な結果、時には壊滅的な事態に陥るおそれがある。

さて、これで、産業用設備に保護が必要であることははっきりした。ではどうやって保護するのか？

まず、一般的なエンドポイントソリューションは、企業インフラの特定の部分、通常「企業ネットワーク」と呼ばれる部分だけを保護する。生産プロセス、つまり「産業用ネットワーク」の保護には、まったく異なるアプローチが必要だ。産業用ネットワークというのは、保護対象となる要素（PLC、SCADA、HMI…）から、設置されている環境、最も重要な点であるその機能、さらにはその機能を果たす仕組みまで、企業ネットワークとはまったく異なるものだからだ。

通常のオフィスIT環境の場合と異なり、生産プロセスを制御する産業用IT環境には停止されることのない継続的な（24時間365日体制の）稼動が不可欠であり、それが何よりも重要だ。したがって、情報セキュリティの3つの基本概念として昔から言われている機密性、完全性、可用性（この順で優先される）は、産業用ネットワークに関しては優先順位が入れ替わり、可用性、完全性、機密性となる。しかしセキュリティを考えると、単に優先順位を入れ替えれば済むという話ではない。当社がKICSを考案する仕事に着手したのはそのためだ。

まずはっきりさせておきたいのは、KICSは単なる製品ではなく「ソリューション」だということだ。

単にセキュリティソフトウェアをインストールするだけでは産業用ネットワークを保護することはできない。内部プロセス、技術、機器の分析、脅威モデルと保護戦略の策定、ネットワーク固有の要件に合わせたソフトウェアの調整、専門スタッフのトレーニングといった多くの作業が必要になる。すべて最重要事項である継続性を維持するためだ。

当社では、一般企業顧客や産業分野の顧客から聞いた意見やベストプラクティスの分析結果を活用して、そうした作業をすべて行い、現時点でKICSには既に2件の導入実績がある。1件は石油会社、もう1件は港湾事業だ。いずれの事例でも、導入後、現在のところ非常に興味深い結果が出ている…

…お察しのことと思うが、残念ながら、事例の詳細をすべて明かすことはできない。全体像の概要だけでもお伝えして、せめて当社がやろうとしていることについて何らかのイメージを持っていただくことができればと思う。

ある顧客の産業用ネットワークでKICSを稼動させてからわずか数日のうちに、1件どころか数件の深刻なセキュリティ侵害が発見された。中には（なんと！）従業員が無許可でノートPCを接続していたというものもあった。前述のとおり、これはわずか数日のことだ。1か月、1年経ったら一体どんなものが見つかることやら。そう、あらゆる種類の危険が見つかるに違いない。しかしそのためにKICSがあるのだ。そうしたものすべてから保護するために。

いくつかの点では、産業用ネットワークは通常の企業IT環境より保護が不十分だとさえ言えるくらいだ。本当に！

産業用設備に関して、世界中で広く共有されている考え方がある。「動くなら、触るな」というものだ。もちろん、ありとあらゆるところでというわけではないが、実に広範囲でそうした考えが支持されている。その意味するところは、コンピューター化された生産プロセスが円滑に動いていれば、20年以上もアップデートが適用されないままになる可能性もあるということだ！インターネットに接続される可能性があろうとも…構わない！とにかくそのままにしておけ！というわけだ。そしてもし、セキュリティを強化しようなどという気まぐれを起こした人がいた日には、そしてその作業でほんの1分でもプロセスが停止することになるとすれば、「パッチは？21世紀ですよ？皆さーん？聞いてますか？」などと言う間もなく、その場からつまみ出されるのがオチだ。

しかし、今日この時代、継続性を確保する必要があるという理由だけで産業用制御システムの脆弱性をすべて放置しておくわけにはいかない。そんなことは言っていられないのだ。

当社では昨年、重要インフラに対する攻撃ベクターを調査するための公開サイバーコンテストを開催した。そのために本物の変電設備を搭載したパネルを用意した。最新技術を使用しIEC1850規格に準拠したものだ。

それでどうなったか？

3時間のうちにハッキングされた。1つだけではなく2つの攻撃手法が使われた。2日間の開催期間を通じて計26回ハッキングされ、そのうち多くは変電設備を完全に停止させるものだった。搭載機器はすべて故障し、ゼロデイ脆弱性までも見つかった！

しかし心配は無用、KICSがある！攻撃は1つ残らず検知された。つまり、本物のネットワークであれば、すべての攻撃を防止できたことになる。しかも、生産ラインのエンジニアさんに朗報だ、1秒足りとも生産を停止せずに防止できるのだ！