インフラを含む制御機器のセキュリティ問題

またクローズアップ現代より。今回は、私の解釈も多く入っています。そのため、誤謬もあるかもしれません。

制御システム全般のセキュリティが問題になっているそうです。

制御システムは、水道、交通など様々なインフラや、企業の生産システム、家庭内の多数の機器といった多数のシステムに組み込まれています。

これらは何十年といった歴史があり、過去には独自のシステムで運用され、インターネットにも接続されていませんでしたが、近年は共通のOSが使用され、インターネットに接続されるようになってきました。

汎用のOSが使用されたり、インターネットが使用されたりというのは利便性もあるでしょうが、コストの面から選択されたということもあるでしょう。自宅のエアコンを外から操作するのにはインターネットが必要ですが、インフラや生産システムでは自社ネットワークで構成する代わりに、コストが安いインターネットを使用するなどという選択があり得ます。そもそも、自宅のエアコンと、インフラや生産設備のためのシステムとでは規模がまったく違います。

日本のある企業の制御コンピュータ(僕にはシーケンサーと呼ばれるもののように見えました。)が米国の企業によって様々な脆弱性の指摘を受け、期限が来たらExploit Codeを発表すると言われました。Exploit Codeはシステムの弱み(脆弱性と言われます)を実証するコードで、これが悪用されれば実際にシステムが被害を受けてしまうようなものです。

結局その企業のシステムは脆弱性だらけで、インターネットへの接続をしないよう基板上のディップスイッチを切り替えるという対策しか間に合わなかったそうです。もっともその後Exploit Codeが公開されてからも被害の報告は無いらしいのですが。

なお、そのExploit Codeを発表する米国企業は、他の世界中の有名企業の制御システムについても脆弱性を指摘し続けているそうです。サイバーテロのリスクがある制御機器が世界中を覆い尽くしているといっても過言ではないでしょう。彼らはブルートフォース攻撃という、パスワードをパターンの総当たりで破る方法で、破るそうです。この攻撃は、パスワードが使われる多くの場合に脅威となります。

アマダという日本企業は金属版の加工をするための制御機器で定評があるらしいのですが、クライアント企業で使用されている同社製機器がウイルスに冒されるということがあったそうです。

アマダは対策としてブラックリストという、ウイルスの型に一致するファイルを検出する方法で最初対策をしようとしていたそうです。ところがこの方法では、制御装置に組み込まれているCPUの稼働率が100%という状況が続き、この負荷のために誤動作が発生したそうです。パターンファイルによる検出で都合が悪ければビヘイビア法を採るのかな、と私は思いましたが、違いました。ホワイトリストという、あらかじめ登録した正しいプログラムだけを検出して、正しければ動かし、それ以外を動かさないというようにしたそうです。この方法ではCPUの稼働率はあまり上がらず、大丈夫だったそうです。開発した技術者は「技術屋の矜持」などと語っていました。

しかしこの方法では、正しいと検出されるプログラムになりすまそうというウイルスが登場するかもしれないのでは、と思います。

バッファローブランドで周辺機器を開発しているメルコは、生産している主力製品にウイルスが混入するという事態に遭ったそうです。工場はインターネットと接続しておらず大丈夫と考えていたが、USBメモリから感染したそうです。ネットワークに接続していないパソコンだからウイルス対策しなくて大丈夫だろうと思っていたが、これと同じように感染したなどという事例はいくらでもありそうで、お粗末な話です。対策として、USBメモリにウイルス検出機能を付けたそうです。

しかし、ウイルス検出機能がないUSBメモリの方が多いので、そういったUSBメモリがウイルスに感染した状態で挿されたら、感染してしまいます。

ゲストの専門家の方も、こういった対策も乗り越えられるとおっしゃっていました。そして、システム自体が免疫機能のようなものをもたなければならないとおっしゃっていました。それがどのようなものなのかわかりませんが、興味あります。