OTセキュリティ担当者へ — 攻撃者視点で見る盲点と通信監視

この記事では、攻撃者はOT環境へのサイバー攻撃をどのような観点で見るのか、そして専門製品や大きな予算がなくても始められる通信監視の考え方の一端を紹介します。読み終えたあとに、「まず自社で何を確認すればよいか」が分かることを目指しています。

はじめに

「OTセキュリティ対策は行っている。でも『なぜ・どのようにリスクが下がったのか』を、自分で納得した上で説明できるわけではない。」OTセキュリティ担当者の中には、こんなストレスを抱えている方も多いのではないでしょうか？制御システムのペネトレーションテストをやるたびに、皆さんせっかく対策に取り組んでいるのにもったいないなと感じます。

「上層部から『うちの工場は大丈夫か』と急かされているけれど、大きな予算も専門知識もない。」そんな悩みを抱える一人担当者の方に向けて、今日から現場で手を動かせる現実的なアプローチをお伝えします。

サイバーディフェンス研究所の安井です。制御システム開発の現場を経験した後、2019年から制御システムのペネトレーションテストや模擬環境での攻撃実験に取り組んできました。

本ブログの最後で紹介している2本の動画は、一般社団法人JPCERTコーディネーションセンター主催の「制御システムセキュリティカンファレンス2021・2024」で講演した内容です。今改めて、OTセキュリティを担当されている方々に届けたいと思い、その背景と要点をまとめました。

なぜ今、このブログを書くのか

数年前と比べると、OTセキュリティへの関心は確実に高まっていると感じます。経営層がリスクとして認識し始め、ガイドラインや規制の整備も進んできました。現場担当者が「何とかしなければ」と思い始めている組織も増えているのではないでしょうか。

ただ、その「何とかしなければ」を、納得した行動につなげられているのは、セキュリティ専門家がいる組織や、外部の専門家に相談できる組織に限られているのではないかなと感じます。つまり、それなりの予算をかけられる組織です。

制御システムに関わる現場には、中小規模の事業者も多く、専任のセキュリティ担当者がいない場合も多いでしょう。現場を担う担当者・技術者が、対策はしたいがそこまで大きな予算はなく、専門家に相談する機会もない。ガイドラインを読んでも「で、何をすれば？」という状態のまま——そのような状況は、まだまだ多いのではないかと思います。

ガイドラインや規制文書はあふれているのに、「現場で手を動かすきっかけになる具体的な情報」が届いていない場面も多い。このブログはそこを少しでも埋めたいと思って書いています。

まず、現実のリスクを正しく見る

OTセキュリティというと、Stuxnetのような制御システムを直接狙った高度な攻撃を想像する方もいるかもしれません。しかし、現実の被害を見ていくと、入口は必ずしも制御システムそのものではありません。少なくとも日本国内で広く知られている公開事例を見る限り、インターネットにさらされたModbus機器（制御プロトコル通信を行う機器）が直接攻撃され、大きな被害につながったケースは多くありません。

ランサムウェアがITネットワークに感染し、業務システムが止まったことで工場の稼働が止まる。サプライチェーンの保守ベンダのネットワークが侵害され、そこを経由してOT環境に侵入される。こういった、ITネットワークやサプライチェーンからの波及によってOT運用に支障が出るケースのほうが、現場で意識すべきリスクとしては大きいのではないでしょうか。

したがって、予算や人員が限られる中小企業がOTセキュリティに取り組む順番は、自分であれば次の順番で考えるだろうと思います。

ITネットワークのセキュリティ対策（本ブログはOT環境内の対策に絞るため、ここでは割愛します）
IT-OT間の境界防御（多層防御、ネットワーク分離、FWの適切な設定、保守接続の管理など）
その上で、OT環境内の対策を考える

この順番を飛ばして、OT固有の高度な対策だけに手を出しても意味をなしません。以下では、1と2がある程度できている前提で、「さらに何を確認し、何を強化するか」を考えます。

攻撃者として見えるもの

ITネットワークの対策と境界防御が整った上で、「侵入されてしまったら自分たちのOT環境はどうなるか」を考えるとき、ペネトレーションテストで実際に見えてくることがあります。

FWのアウトバウンドは“抜け道”になっていないか

インターネットからの侵入はFWでブロックしている。でも、制御ネットワーク側からインターネットへのアウトバウンド通信が許可されたままのケースが散見されます。攻撃者の観点では、コードを実行させたあとに外部のC2サーバ（攻撃者が侵害した端末を遠隔操作するために使うサーバ）へのアウトバウンド接続が張れれば、リバースシェル（標的側から攻撃者サーバへ接続を確立し、遠隔操作を可能にする手法）で任意操作が可能になります。インバウンドを守っていても、アウトバウンドが開いていると攻撃の選択肢が大きく広がります。自らの環境がどうなのか確認してみたい方は、OTセキュリティ:インターネットへの疎通可否に確認手順を紹介しているのでご覧ください。

USBメモリだけでなく、USB機器全般を見ているか

USBを利用した攻撃には、代表的なものとして次の3つがあります。

AutoRunを利用した攻撃（主にWindows XP時代）

以前のWindowsには、USBメモリのルートフォルダに置かれた autorun.inf の指定に従い、プログラムを自動的に起動する仕組みがありました。これを悪用したマルウェア感染が猛威を振るったことを覚えている方も多いでしょう。 Windows 7では、通常のUSBメモリなどの非光学リムーバブルメディアに対するAutoRunが無効化されました。そのため、現在の対策済みのWindows環境では、通常のUSBメモリを挿しただけで autorun.inf からマルウェアが自動実行される攻撃は、基本的には成立しません。

USBメモリ内のファイルやショートカットを利用した攻撃

攻撃者は、文書、実行ファイル、ショートカットなどを正規のファイルに見せかけてUSBメモリ内に配置します。被害者が正規のファイルだと思って開くと、ショートカットから不正なコマンドが実行されたり、マルウェアが起動したりします。現在のWindows環境でUSBメモリから端末を感染させる場合、AutoRunよりも、利用者にファイルを開かせるこのような手法の方が現実的です。

BadUSB

BadUSBには、USBメモリ型（検証動画）、USBケーブル型（検証動画）、USB機器型など、さまざまな形があります。共通するのは、単なるマスストレージ、つまり記憶媒体としてではなく、キーボードやネットワークアダプターなど、別のUSB機器としてコンピューターに認識させる点です。たとえば、USB機器をキーボードとして認識させ、人間が操作しているようにコマンドを高速入力し、PowerShellなどを起動して不正な処理を実行させるものがあります。脅威アクターによる大規模な悪用事例として公表されているものは多くありませんが、ペネトレーションテストやレッドチームでは利用されている手法です。こうしたUSB機器が存在することを知っておくことは、対策を検討するうえで重要です。

以上のように、USBを利用した攻撃にはさまざまな手法があります。

そのため、記録媒体としての「USBメモリだけを管理する」のではなく、キーボード、ネットワークアダプター、ケーブルなどを含む「USB機器全体を管理する」という考え方が重要です。

ホワイトリストだけでは止められない攻撃がある

OT環境では可用性を重視するため、AV（AntiVirus）製品の導入が難しく、登録済みの実行ファイルやスクリプトだけを実行可能にするアプリケーションホワイトリスト製品を導入している組織もあります。これは、未知のマルウェアや未承認プログラムの実行を抑止するうえで、一定の効果が期待できる対策です。

ただし、アプリケーションホワイトリストを導入していても、制御システムの運用・保守で使用する正規のツール、たとえばSSH、RDP、PowerShellなどは、業務上必要なものとして許可される場合があります。

攻撃者がこのような正規ツールやOS標準機能を悪用して攻撃を進める手法は、Living off the Landと呼ばれます。これは、マルウェアを新たに持ち込まず、すでに端末に存在する機能を利用して攻撃を進める手法です。このような攻撃に対しては、アプリケーションホワイトリストだけでは十分に防げない場合があります。

たとえば、現行端末上の実行ファイルを一括でホワイトリスト化した場合、PowerShellやSSH/SCPなどの正規のリモート管理・ファイル転送ツールまで許可されることがあります。その結果、攻撃者に侵入された際に、遠隔操作、横展開、情報持ち出しなどに悪用されるおそれがあります。

また、PowerShellのような許可済みツールは、起動オプションや入力されるコマンドによってさまざまな操作ができます。つまり、ホワイトリストは「そのツールを起動してよいか」は制御できますが、「許可されたツールが何に使われるか」までは制御しきれない場合があります。

そのため、現行端末上の実行ファイルを単純に一括登録するのではなく、業務上不要なツールは許可しないことが重要です。運用・保守に必要な機能に絞り、必要に応じてスクリプト制御、ログ監視、通信制御などを組み合わせる必要があります。

このように、アプリケーションホワイトリストは有効な対策ではありますが、登録内容や運用方法によっては攻撃を十分にブロックできない場合があります。ホワイトリストを過信せず、他の対策と組み合わせて多層的に運用することが大切です。

制御室の扉だけでなく、LAN配線や空きポートまで守られているか

物理セキュリティというと、制御室への入退室管理、監視カメラ、サーバーラックの施錠などを思い浮かべる方が多いかもしれません。

しかし、攻撃者が制御室やサーバールームそのものに入れなくても、制御ネットワークにつながるLANケーブル、ネットワークスイッチ、制御盤内の通信機器、保守用ポートなどに触れられれば、ネットワークへの侵入口を作られる可能性があります。

たとえば、工場内の人目につきにくい場所にある空きポートへ小型端末を接続したり、既存のLANケーブルの途中に機器を追加したりすることが考えられます。接続した機器に無線通信や外部への通信機能があれば、攻撃者が現場に居続けなくても、制御ネットワークへアクセスする足掛かりとして利用されるおそれがあります。

このような攻撃が、VPN機器の侵害や認証情報の窃取より頻繁に発生しているというわけではありません。しかし、外部ネットワークから侵入しにくい環境では、攻撃者が次の選択肢として物理的な接続を検討する可能性があります。

重要なのは、「重要な部屋に入れるか」だけではありません。LAN配線がどこを通っているか、ネットワーク機器や空きポートに誰が触れられるか、不審な機器を接続された場合に気づけるかまで確認することが必要です。

攻撃主流はランサムウェア、やはり大切なバックアップ

OTシステムにおいても、実際に耳にするインシデントの多くは、ランサムウェアによるファイル暗号化や、ワイパー攻撃によるファイル削除をきっかけとしたシステム停止ではないでしょうか。

そう考えるとバックアップから復元できるということは、やはり重要だと考えます。すぐには、なかなか難しいことだとは思いますが、バックアップからの復元まで含めて確認できる仕組みを検討することは、壊滅的な被害を避けるという意味では重要だと思います。これを実現するには、長期的視点で、発注段階の要件を決めるときからバックアップの復元テストを検討することを考えても良いと思います。

ここまでをまとめると、確認してほしいポイントは以下です。 ITシステムの対策と境界防御がある程度できていることを前提に、さらに対策を強化するならば——という観点で見てください。

FWはアウトバウンドも制限しているか
USB管理はメモリだけでなくUSB機器全般を対象にしているか
ホワイトリストを過信していないか
LAN配線、ネットワーク機器、空きポートに第三者が触れられないか
バックアップは復元テストまで実施しているか

ここまで挙げた対策は、それぞれ重要です。しかし、USB機器の持ち込み、許可済みツールの悪用、物理的な機器の接続など、すべての攻撃経路を事前に完全に塞ぐことは簡単ではありません。

一方で、攻撃者が侵入後に端末を遠隔操作したり、ネットワーク内を探索したり、別の端末へ接続したりすれば、その行動は通信として現れる場合があります。

すべてを入口で防ぐことが難しいのであれば、侵入後に現れる「いつもと違う通信」に気づけるようにする。この考え方が、次に紹介する通信監視です。

なぜOT環境では「通信監視」が現実解になるのか

通信監視が現実的なのは、稼働中の制御機器に大きな変更を加えず、侵入後に現れる異常な通信を外側から確認できるためです。

境界防御を徹底していても、VPN機器の脆弱性や保守担当者の認証情報漏洩など、複数の問題が重なってOTネットワークへ侵入される可能性は残ります。

OT環境には、IT環境とは異なる事情があります。

可用性が最優先であるため、システムを止めてのアップデートやパッチ適用が容易ではありません。また、制御システムは10年・20年単位で運用されることが多く、設計当初にセキュリティ機能が組み込まれていない古い機器が現役で動いているケースは珍しくありません。そういった機器が多数接続されたシステムに、あとからセキュリティ機能を個別に追加することは、現実問題として困難です。

つまり、守りたくても「機器の中に手を入れる」対策が取れない状況が多い。

だからこそ、システムの通信を見るネットワーク監視が、OT環境における現実的な対策として機能します。対象の機器に何もインストールせず、ミラーポートやネットワークタップを使ってパッシブ（受動的）にパケットをキャプチャする構成であれば、稼働中のシステムに影響を与えずに始めやすいです。

そしてOT環境は、通信監視と特に相性が良いと思います。ITシステムのネットワークは常に多種多様な通信が飛び交い、異常を見つけるのは一定の技術知識がない方には難しいと思います。しかし制御システムは、誰が誰と何のプロトコルで通信するかがほぼ決まっています。通常の通信が決まりきっているからこそ、そこに現れた「いつもと違うもの」は比較的容易に浮かびあがります。ポートスキャン（ネットワーク上の機器や開いているポートを探索する行為）、見慣れない宛先へのアウトバウンド通信、保守作業がないはずの時間帯のSSH接続——こういった侵入兆候は、高度な分析を行わなくても、目視で気づける場合があります。これはOT環境ならではの強みではないでしょうか。

常時監視できなくても、まずは"一度見る"だけでも効果はある

常時監視が難しければ、定期的に各拠点を回ってキャプチャするという方法でも始められます。現状の資産や通信状況を知ることで、見えなかったものが見えてくるので、今後の対策を検討する上でもとても参考になると思います。通信監視を始める方法はいくつかありますが、私はOSSであるArkimeを使った方法を以前紹介しています。

低予算で始めるArkimeによるOT IDS運用 - 実践ガイド（DARK MATTER）

なお、パケット監視よりさらに手前の一歩として、未知の端末の接続だけを検知する実験ツールも作りました。記事の最後で紹介します。

実際のデモを見たい方へ

ここで書いたことを、模擬制御システムを使って私が実演した講演映像を公開しています。いずれも、一般社団法人JPCERTコーディネーションセンター主催の「制御システムセキュリティカンファレンス」で講演した内容です。

「FWのアウトバウンドが開いていると危ない」と文章で読むよりも、実際にBadUSBを挿してC2サーバへの接続が成立する瞬間を映像で見るほうが、理解の深さが違います。また、攻撃後の通信監視画面に侵入兆候がどのように現れるかも、映像で見ると直感的につかめます。

▶ ペネトレーションテスト事業者から見た制御システムセキュリティ対策の惜しい点（制御システムセキュリティカンファレンス 2021）
https://youtu.be/0pwoTzdL6uw

▶ 攻撃者視点からみたOT環境の通信監視　スモールスタートから始めてみよう（制御システムセキュリティカンファレンス 2024）
https://youtu.be/buyiqtYT9_s

補足：このブログで扱う範囲について

本記事は、一人担当者の方に向けて、OTシステムにおいて今日から現場で手を動かせる現実的なアプローチという観点でまとめた内容です。 OTシステムに侵入した攻撃者が考えることは、ここで挙げた以外の手法もありますし、慎重な攻撃者が、監視システムに発見されにくいように、正規の通信のみを使って行動することも理論上はありえます。とはいえ、まずは、今回挙げたような攻撃行動をとる、基本的な攻撃技術を持つ攻撃者に対して備えることが、限られた予算の中での第一歩だと思います。

今後も、現場の皆さんが手元で検証・実験しながら、OTセキュリティを体感できるようなコンテンツを、段階的に準備していきたいと思います。