図1　「Stuxnet」の攻撃対象となった国（W32.Stuxnet｜シマンテックより引用）

　図1を見てみると、Stuxnetが感染している地域／国別のホスト数が、イラン、インドネシアに偏っていることが分かります。ここからStuxnetが特定の目的を持って製作された可能性が高いことがうかがえます。

　Stuxnetには、実は産業システムにおける「PLC（Programmable Logic Controllers）」を攻撃するコードが含まれています。正確には、PLCを制御するシーメンス社の分散制御システム（Distributed Control System）の脆弱（ぜいじゃく）性を突き、“特定の産業施設”を制御するPLCのパラメーターを改ざんし、制御機器を乗っ取るということを最終目的としています。同時に、改ざんされたパラメーターを隠すという機能もあり、この誤作動に気が付きにくいという隠蔽（いんぺい）機能も存在していました。

　この“特定の産業施設”とは、イランのウラン濃縮プラントだったと考えられています。特定の国、特定の施設で使われている特定の製品を狙うため、まだ明らかになっていなかった複数の「ゼロデイ脆弱性」を組み合わせ、自己更新、感染を繰り返し、最終的に産業系でしか使われていないプロトコルを攻撃するという、大変手の込んだマルウェアです。2010年末にはIPAが「新しいタイプの攻撃」と表現して、レポートを公開しています（ちなみに、こうした“新しいタイプの攻撃”は「APT」と表現されることがよくあります）。

「Stuxnet」から身を守ることはできたのか？

　Stuxnetの特長は、標的となる産業制御機器を乗っ取るために、ありとあらゆることを想定していることです。工場などをイメージしていただくと分かりやすいのですが、通常、工場のネットワークと一般のネットワークは分離されていることが多く、基本的にはネットワーク経由で攻撃を仕掛けることは難しいはずです。しかし、Stuxnetはそれを前提とした感染の手法を用意しています。

　その1つが「USBメモリ」です。Stuxnetはリムーバブルデバイス経由での感染が確認されており、一般的な「autorun.inf」を利用したものだけでなく、ショートカット（.lnk）の脆弱性も利用しています。そのため、autorun.infだけを無効化したUSBメモリ対策では守れなかったと考えられています。

　そして、このStuxnetは「攻撃されるはずがない」という人の心を攻撃したともいえるかもしれません。ターゲットである制御系システムは、プロトコルも利用している機器も特殊であり、サイバー攻撃とは無縁だと考えがちです。もちろんインターネットとは分離したところで利用していますので、直接インターネットに接続できない部分ならば、外部との通信もできないと考えるのが当たり前でした――Stuxnetが登場する以前までは。

　Stuxnetは、メンテナンスのために利用するUSBメモリに潜伏し感染行動を行うだけでなく、P2PでStuxnet感染端末同士が通信します。そのうち1つでもインターネットに接続できれば、アップデートを行うことも可能だったようです。さらに、その先にあるPLCにつながる高周波コンバーターの、特定の出力周波数にあるもののみを攻撃していることから、サイバー攻撃の手法だけでなく、制御系システムの専門的な知識を持つ攻撃者がいることが分かります。

　サイバー攻撃を行う者が“製造業の専門知識を学んでいる”のであれば、製造業に携わる者も“サイバー攻撃の専門知識を学ぶ”必要があるのです。Stuxnetはそれをあらわにした大事件だったといえるでしょう。

「Stuxnet」を踏まえて、今何ができる？

　では、Stuxnetの教訓から、今考えられることは何でしょうか？　それはこのような「制御系システムを狙い撃ちした手法」を学び、これまでの常識を疑うことかもしれません。Stuxnetを知れば、「ネットワーク分離」はセキュリティ対策の1つの手法ではあるものの、万能の解決策ではないことが分かります。

　技術だけに頼ることはできません。完璧なセキュリティ対策ソリューションが導入されたとしても、攻撃者は次に“人”の思い込みを攻撃するでしょう。Stuxnetは検知されないような仕組みが多数ありますが、それを上回る「監視力」が必要になるでしょう。もはや制御系であっても「攻撃されない」ということはないのです。

　そのため、まずは「情報収集」を心掛け、エンジニアはそれを誰かに説明できるくらいに“学ぶ”ことを強くオススメしたいと思います。仮想的に「上司」「経営者」に説明できるくらいになっておくと、後々役に立つと思います。

　今後もさまざまな記事で見掛けるであろうStuxnet。なぜ、ここまで注目されていたのか、今回の内容で納得していただけたら幸いです。

&raquo 連載バックナンバー

併せて読みたいお薦めホワイトペーパー：

• 調査結果から見えてきた、製造業におけるIoT／M2Mの活用状況と課題
• 「つながる工場」実施済みは36.5％、コスト・標準・セキュリティが課題
• 製品開発において日本製造業が抱える課題とものづくりプロセス改革への道標
• 回答者の92.8％が経験済みの品質問題、設計部門がこれから取るべき対策とは？