Stuxnetと呼ばれる、スマートグリッドを狙った初の本格的なウィルス
スマートグリッドは、その技術の登場以来、セキュリティに対する懸念と対策の重要性については議論されている。 NISTにおいてもスマートグリッドのセキュリティに関する専門の諮問組織を作り、下記のようなドキュメントを作成し、公開している。
Guidelines for Smart Grid Cyber Security
introduction-to-nistir-7628.pdf
NISTが定義するスマートグリッドのアーキテクチャに基づいて、採用すべきセキュリティの技術、方策について記述している。
このような動きがある中、今年の夏頃から、とあるスマートグリッドに関するセキュリティの問題が発生し、話題を集めている。
Stuxnetと呼ばれるコンピュータワームである。
このStuxnetワームは、Microsoft Windowsのセキュリティの脆弱性をいくつかついて、電力グリッドネットワークに入り込み、その心臓部である電力供給制御ITシステムである、イランの原子力発電所施設を制御する、SCADA (Supervisory Control and Data Acquisition)に障害を与える事を意図的に設計したものである事が明らかになっている。
７月に発覚したこのワーム、だんだんとその詳細が調査の結果明らかになってきている。特に最近になって、IEEE主催のシンポジウムにて詳細な分析結果が報告されている。
- ３０人が開発に関わっている、という形跡がある。
- このワームが独自に構築するネットワーク事態は非常にセキュリティ性が強く、FIPS140-2という規格を採用している。
- Stuxnetが登場してから、数日間活動し、Siemens社製のWindowsベースのSCADAシステムを攻撃対象として、USBでバイスを経由してどんどんと広がって行った。
- Siemens社製のSCADAシステムが攻撃されやすかった原因の一つとして、そのシステムのソースコードにデータベースをアクセスするためのパスワードが直接書き込まれている、という事が指摘されており、SCADAシステムのセキュリティに対する意識の低さを露呈している。
- Stuxnetの開発者は、Windows 2000からWindows 7に渡って提供されるすべてのウィルス防止ソフトウェアを購入し、発覚されないための対策が施されている。
- Symantec社が行ったStuxnetを分析する過程に置いて、リバースエンジニアリングの技術を活用しているが、Stuxnetの開発自体も同様な技法をもって開発されている、と指摘している。
- ターゲットとしている特定のSCADAシステム以外に対しては全く何も影響を与えない、という事もわかっている。
このStuxnetが突いた、Microsoft Windowsの脆弱性は下記の要件である。非常に高度な構造を持っている、という事が理解できる。
- USBデバイスに関するプログラムを自動的に起動する機能の脆弱性を経由して自分をどんどんコピーしていった。
Microsoft Windows Shortcut ‘LNK/PIF’ Files Automatic File Execution Vulnerability (BID 41732)
- Windows Print Spoolerの脆弱性を利用し、LAN内でどんどんを自分を複製していった。
Microsoft Windows Print Spooler Service Remote Code Execution Vulnerability (BID 43073)
- RPCに関する脆弱性をついて、SMB内で広がっていった。
Microsoft Windows Server Service RPC Handling Remote Code Execu- tion Vulnerability (BID 31874).
- Network Share機能を利用してさらに自分の複製をリモートコンピュータに作った。
- WinCCデータベースを稼働するリモートコンピュータに自分の複製を作る。
- Windows Rootkitを利用し、バイナリーコード隠蔽する。
- Microsoftがまだ公開もしていないものも含む、Windowsの脆弱性、４件が使用されている。
スマートグリッドによるネットワークはまだまだこれから、という時代に、かなり技術レベルの高いウィルスが早くも登場した事に業界がかなり動揺している状況である。この様なベンチマークが初期の段階から登場すると、今後さらに高度な技術を保有するウィルスによる電力グリッドに対する攻撃が想定されることになり、問題はこの一件にとどまらず、今後の対策に大きな注目が集まっている。
SCADAシステムは、通常の企業内のITシステムと異なり、頻繁にメンテナンスを行う事が少なく、このようなウィルスの攻撃に対する防御、対策の体制がしっかりしていないケースが多い。
McAfee社が公式に述べている見解によると、Stuxnetの懸念すべき問題は次の２点である、と述べている。
- 未だに公開されていない、Windowsの脆弱性を突いている事
- Malwareには珍しく、Rootkitを巧妙に利用するDigital Signatureをもつドライバーを保有する。
Stuxnetの感染は、次のような形で行われる、と解説されている。
- ユーザがシステムにUSBドライブを挿入する。
- このUSBデバイスが感染し、Windows Shell Codeに関する脆弱性をつく方法でMalwareを起動する。
感染したシステム上で、Siemens社のとSIMATIC WinCC呼ばれるSCADAシステムの存在を検知し、そのソースコードにハードコードされたパスワードを利用してWinCCのデータベースシステムの制御を乗っ取る。
McAfeeはさらに、SCADAシステムに代表される制御システム、というものは企業に置けるITシステムと根本的に異なる面がある、と説明している。
- 制御システムであるため、Avalabilityが最重要課題であり、そのためにパッチやアップデート等の適用はITシステムのようにシステム停止を行う事を通して出来ない。
- 制御システムは通常ITシステムとは異なる場所に設置され、全く異なる部隊によって管理されているケースがある。
Siemens社のSCADAシステムが攻撃された要因の一つとされている、ソースコードにデータベースアクセスのためのパスワードをハードコードしている問題は、実はこのAvailabilityを保証するために取られている対策である。ITの感覚では考えられない事であるが、パスワードを不用意に変更した事によるシステム障害を防止しようと思うと、この方法を足らざるを得ない、というのがSiemens社の見解である。立場が変わるとシステム設計も大きく影響を受ける事例の一つであるが、Stuxnetをそこを突いている、という事である。
ComputerWorld誌によると、さらにStuxnetの分析で次のような事も明らかになっている、としてる。
- 開発には相当の時間が要している。これだけの時間をかけているとなると、更なる攻撃手法も開発している、と想定される。
- Stuxnetはデジタル証明書を利用していて、それも捏造ではなく、台湾にある、２つの会社に発行された正式なものである事がわかっている。盗用せずに、これらをブラックマーケットで購入しようとすると、数十万ドルの価格になる、としている。
Stuxnetによる問題が発生して、幸運だと言わざるを得ないのは、このワームは特定のシステムのみを攻撃するためにデザインされていたため、問題が広がらずに済んだ、という事である。これがもし広い範囲のデバイスやシステムを対象としていたとしたら、かなり大きな障害に繋がったのでは、と関係者は予測している。また、今回のStuxnetは、相当高度な知識、特にSiemens社のシステムの内情に相当詳しい人間が関わっている、という見解が強い。この知識レベルを利用すれば、今後さらに高度なワームを開発する知識レベルをもっている、というのも共通の認識である。今後どのような形でそれが現れていくのか、アメリカの政府筋は非常に大きな懸念をもって対策を講じるべく動いている、というのが現状のようである。
上記のように、Avaliabilityを重要視する文化と、基本的にインターネットと切り離された環境で稼働する、という事情があるため、セキュリティにはあまり注目しない設計思想が流れている、というのが事実のようである。しかしながら、このような事件が発生し、さらに今後高度なものが登場する可能性が高い、という分析結果が出ているとなると、いよいよ制御システム全般に対するセキュリティの考え方については大きく前進する必要性が出てくる、というものである。
北米の基準として、制御システムのセキュリティは、NERC(North American Electric Reliability Corp.)という組織が発行する規格によって規制を受ける。この規格は、NISTの発行するリスク管理フレームワークに基づいているが、ITシステムを中心に書かれているため、SCADシステムに必ずしも適用できるものばかりでは無い、とされている。ましてや、スマートグリッドを採用する高度なワイヤレスネットワークを保有システムには全く対応していない、というのが現在の課題である。
セキュリティの問題は世界共通のものであり、日本市場に置いても重要視されるべき問題である。