海外における個人情報流出事件とその対応「標的は重要インフラ、狙われるSCADAシステム」（2）SCADAネットワークへの攻撃は簡単なのか

SCADAネットワークやシステムへの攻撃はほかのシステムに対するより難しい。ほかの攻撃ベクターやターゲットと同様に、“熱意を持って攻撃を開発する”必要があるだろう。しかし、今後、多くのSCADAベース、もしくはSCADAに焦点をあわせた攻撃を見ることになるだろうという。

国際海外情報

2011.12.27 Tue 8:00

●今後、増加が懸念されるSCADA攻撃
McAfeeのMarcusはブログで、「この種のインシデントに関して、『SCADAネットワークへの攻撃はどれぐらい簡単なのか』や『この種の攻撃が増えてくるのか』という質問を聞く」と書いている。そしてMarcusは「イエス」と明瞭に答えているわけではないが、時間の問題という見解を示している。

SCADAネットワークやシステムへの攻撃はほかのシステムに対するより難しい。ほかの攻撃ベクターやターゲットと同様に、“熱意を持って攻撃を開発する”必要があるだろう。しかし、今後、多くのSCADAベース、もしくはSCADAに焦点をあわせた攻撃を見ることになるだろうという。もうひとつ、既に攻撃されている、もしくは侵入を受けている場合、知ることができるのかも問題だ。

「CSO Online」のSalted Hashは、「いずれについても驚くようなことではない」として、重要インフラへの攻撃は予想されていることだという姿勢だ。2011年3月にはロシアのセキュリティ企業Glegが、SCADAのセキュリティホールを利用した攻撃ツールについて発表を行った。

事件を受けて、多数のサイバーセキュリティの専門家が、SCADAシステムが侵入をうけるリスクを浮き彫りにしたと言っている。その上で、さまざまなアドバイスを行っている。CSOのGeorge V. Hulmeはソフトウェアベンダに対するのと同様に、SCADAデベロッパーに対してセキュリティに関して圧力をかける必要があるとする。

SCADAソフトウェアは、インターネットに接続することを意図されていない。インターネットを通して攻撃を受けることが多いため、インフラのプロバイダは通常、システムを隔離している。しかし、ネットに接続する組織が増えているようで、結果、セキュリティ上のリスクとなっている。さらに、SCADAシステムのデベロッパーや製造業者などは、ソフトウェアの企業ほどオープンではなく、セキュリティ上の知識、情報の交換を行っていない。

McAfeeのMarcusは
・政府が調整や（事件の）公開を改善すること
・業界との情報共有の改善
・管理システムのサイバーセキュリティについてのトレーニングと方針の用意
・制御システムのフォレンジックの実施

さらには
・全てのリスク管理で「サイバー」を組み込む
・広範囲の侵入テストを設定する
・幅広いソーシャルエンジニアリングに対するトレーニングを調整する
・SCADA特定のCERTプランとチームを整備する
・あらゆるレベルの法執行機関とのネットワーキング
・攻撃を受けることを予期して、適切な措置をとる
を勧めている。

ソフォスのブログは「多くのセキュリティ問題同様、これらのシステムの安全性の改善に、製造業者、コンサルタント、運用者がともに取り組んでいく必要がある。ふたつのインシダントにより、関係者全てが自分たちのシステムについて、より詳しく見ることを期待したい」と結んでいる。

イリノイ州での事件については、12月1日に「Associated Press」が、Jim Mimlitzが6月にロシアに旅行中、Navionics ResearchのCurran-Gardner Public Water Districtからの依頼を受けてSCADAシステムにアクセスしたためで、SCADAがハッキングされたというのは誤報であったと報じている。これが事実として、過剰反応だったとしても、米国がいかにSCADAへの攻撃を警戒して神経質になっているかが分かる

（バンクーバー新報　西川桂子）