このリスク、どう対処する？

　トレンドマイクロはこれらの対処として、産業用IoTゲートウェイをはじめとするITとOTに関連する機器の「棚卸し」をすることを挙げています。ITの世界では「資産管理」と呼ばれる、システムにつながっている機器を全て把握するということをまず行うべしということなのですが、これはITの世界においてもなかなか実現できていない部分でもあります。むしろ工場における「5S」（整理・整とん・清掃・清潔・しつけ）の延長線上にあると考えると、その重要性をスッと理解できるのではないでしょうか。

　それらの棚卸しが済み、システムに存在する機器が一覧できたら、そこに「脆弱性がないか」を確認できるようになります。今回のように実証実験やインシデントを通じ脆弱性が明らかになれば、それを元に対策を取ることができるでしょう。ただし、今回発見された脆弱性のうちいくつかは「サポート切れのため対応せず」という判断が行われたものも存在します。こうなってしまうと、最新の製品に置き換える、もしくはサポートされているベンダーに変更するといったことも検討しなければなりません。

　「脆弱性があるのに、修正が行われない」ということはITの世界でも往々にして直面する問題です。むしろ「修正パッチが出たのに適用ができない」と表現した方がよいでしょうか。そうなると、攻撃を防ぐためにより厳密な運用をするということが望まれます。トレンドマイクロはもう一つの対策として、産業用ファイアウォールを導入することを提案しています。これは正しいトラフィックのみを通すというもので、機器の棚卸しが完了してしまえば通信の発信機器が特定できるため、特定の機器以外から発せられた通信を破棄したり、通信プロトコルに準拠しない通信を検出したりできるはずです。そのような通信許可リストを作ることも、対策の1つになるわけです。

そもそも「内部に入り込まれている」前提で考えるべし

　トレンドマイクロの実証実験で最も興味深いと思ったのは、そもそもの前提として「攻撃者が産業用ネットワーク側に既に入り込んでいる」上での実験であることです。おそらく現場の方にとってみれば、そんなことはあり得ないと思うのではないでしょうか。しかし多くのサイバー犯罪者、特に重要インフラを狙う攻撃者は、専門知識を付けてでも攻撃する理由があるわけです。マイナーな通信プロトコルも熟知し、知識レベルはもしかしたら私たちよりも数段上の可能性があります。今回の実証実験においても、パケットのヘッダをそのまま転送する脆弱性を元に、コマンドを差し替えてしまうというテクニックが紹介されました。

図3　通信パケットの変換に存在する脆弱性で、読み込み命令を書き込み命令にすり替えるなどのことが可能になってしまう

　攻撃者が既に内部に侵入し、機器の乗っ取りが行われているかもしれないという前提であると、実はゲートウェイだけを守ることでシステム全体を守れているとは限らないことになります。産業用IoTゲートウェイがやられたとしたら、内部全てがやられている前提で考えるべきかもしれません。そうなると、何らかの対策機器をいれただけでは、完全なる安全を手に入れたとはいえないわけです。

　こうなってしまうと、もはやどう守ればいいのかは簡単には説明できません。しかし、「機器の棚卸しをする」「脆弱性の有無を確認する」というのはセキュリティの基礎ですので、これが無駄になることもないと思っています。一番危ないのは産業用IoTゲートウェイだけでなく「内部に侵入されているわけがない」という思い込みなのかもしれません。

　トレンドマイクロの石原陽平氏は、今回の実証実験が「産業用IoTゲートウェイがおかれたセキュリティリスクに目を向けるきっかけとなれば」と話しています。あくまで実証実験でありこれがそのまま攻撃につながるともいえませんが、2015年12月にはウクライナで重要インフラの攻撃による計画外停電が起き、実際に産業用IoTゲートウェイのファームウェアが改ざんされているという事実もあります。今回の実証実験がまさに皆さんにとって「きっかけ」となり、この紹介記事が頭の中に小さな引っ掛かりになってくれれば幸いです。

図4　実証実験を解説したトレンドマイクロ グローバルIoTマーケティング室 セキュリティエバンジェリスト 石原陽平氏

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さまに覚えていただけるようなコラムにしたいと思います。お楽しみに！