アクセス制限甘い制御システムが攻撃の対象に - 検索エンジンから検索可能なケースも

トレンドマイクロは、制御システムが攻撃対象となっており、誤ってインターネット上へ公開した場合、短時間で攻撃にさらされる可能性があるとのレポートを発表した。実際に意図せずインターネット上へ公開しているケースも複数確認しており、制御システムの管理者は対策状況の確認が求められそうだ。

ネットワークへ接続されておらず、物理的にセキュリティが確保されていた従来とは異なり、多くのシステムが、ネットワーク経由でアクセス可能となっていることから、制御システムの置かれている現状について米Trend Microが調査を実施したもの。

アクセス制限が適切に行われていないため、検索エンジンから関連キーワードで容易に制御システムを発見できるケースを、同社では複数発見しており、いずれもセキュリティ対策が行われていない状況だった。さらにテキスト共有サイトで、こうした脆弱な制御システムのIPアドレス情報を交換する事例も把握している。

こうした現状を踏まえ、同社では2012年11月にインターネット上へ水道設備に見せかけた「ハニーポット」を設置し、攻撃者や動機など脅威の現状を調べた。

同調査では、米国内の静的なIPに、実在するシステムが動作していると見せかけた「ハイインタラクションハニーポット」や、生産システムのミラーに見せかけた「ピュアプロダクションハニーポット」を設置。さらに実在する工場用の温度調節システムを活用した。

また「ポートスキャン」や「SQLインジェクション」など、制御システム以外を狙ったと見られる自動化された攻撃は対象外とし、制御システムに関連するコントローラーや、特有プロトコルに対する攻撃について調べた。

今回の調査では、公開から18時間後に最初の攻撃の兆候を確認。その後28日間で39件のサイバー攻撃を受けた。同一の攻撃者が複数回繰り返したと推測される攻撃も確認されており、攻撃に失敗しても別の脆弱性を狙うなど、執拗に攻撃を続ける傾向も見られたという。

攻撃内容を見ると、水道設備の稼働状況を診断するためのファイルへ不正アクセスして、改ざんを試みるケースや、ポンプ作動システムを冷却するCPUファンの速度を変えようとする攻撃もあり、制御システムを乗っ取り、インフラシステム全体に障害を起こそうとする意図的な攻撃ではないかと同社では分析している。

攻撃元IPを分析したところ、14カ国から攻撃を受けており、中国からの攻撃が33.3％で最多だった。次いで米国が17.9％と多い。そのほか、ラオス、イギリス、ブラジル、ロシア、北朝鮮などからの攻撃も確認しており、日本国内のIPを経由した攻撃もあったという。

（Security NEXT - 2013/05/01 ）ツイート