産業用制御システム（ICS）のセキュリティをクラウドでどう確保するか
先月、イギリスの大手水道事業会社が同社のSCADAシステムのかなりの部分をクラウドに移行する計画を発表しました。これはOTをマネージドクラウドサービスに移行する事例としてはこれまでで最も大きな注目を集めています。
ICS（産業用制御システム）をクラウドに移行することは、理論的には少なくとも10年前から可能でしたが、付随するリスクによりそうした動きは緩慢でした。OTは多くの場合それぞれ独自のものであり、従来インターネットからは隔離されていました。そのためOTシステムをクラウドに移行することによる信頼性、パフォーマンス、そしてセキュリティ上の影響が考えられます。ICSはリスクの大きい環境です。ごくわずかなダウンタイムが発生しても作業者の安全およびビジネス全体に深刻な悪影響が及ぶ恐れがあります。
これらを考慮して、これまでほとんどの企業はICSをクラウドに移行する利点、すなわち管理をより低コストかつ簡単にし、可用性を高めることよりもリスクのほうが大きいと結論付けてきました。例えば、クラウドへの移行で工場の設備をリモート制御することができるようになるかもしれませんが、悪意を持った者が同じプロトコルへのアクセスを得ることの脅威は、この分野でのデジタル変革を踏みとどまらせる強い抑止力となります。
しかしながら、パンデミックによりもたらされた状況はオンサイトでのSCADAシステムの管理にさまざまな課題を突き付け、その結果多くの組織はこれらの環境を徐々にクラウドに移行するための安全な方法について検討を始めました。
しかしOTがクラウドのITと統合されると、それぞれのリスクもまた統合されます。ITとOTの両方に対する完全かつ統一された可視性によってのみ、デジタル変革を加速させると同時に、デジタル化とワークフォースがますます動的になることのリスクを管理することができます。
ICSaaS
ICSのクラウドインフラとは実際にはどういったものでしょうか？ICSアプリケーション、サービス、およびデータベース、たとえばHistorianなどはクラウドでホスティングされ、PLCが直接クラウドにデータをフィードすることになります。これにより、ワークステーションからICSデータにリモートでアクセスすることができます。ICS向けのSaaS、いわゆる ‘ICSaaS’ のアタックサーフェスは、従来のSCADA/ICSネットワークよりも、一般的なSaaSネットワークにより近いものとなるでしょう。
端的に言えば、産業用システムをクラウドに移すことによって、これまでのセキュリティコンセプトは使えないものになるということです。たとえば、Purdueモデルで推奨されているネットワークのセグメンテーションおよび階層は、ますます多くの高リスク環境がデジタル変革を取り入れるにつれてその意味が希薄になります。
図1：ICSaaSクラウドインフラの構成
セキュリティ上の懸念
SaaSに付随するセキュリティ上の問題点は、ICSとクラウドの統合によりICS環境にもそのままあてはまります。ICSaaSでは、産業用プロセスに関係したデータにどこからでもアクセスでき、データの安全性に対する懸念が高まるとともに、コンプライアンスと規制の点からも問題となります。
さらに、ICSaaSでは、ネットワークに対する可視性とコントロールが失われます。ワークフォースがますます分散し、本社に縛られなくなるばかりでなく、組織はより多様なテクノロジーに日々依存するようになります。これは、これらの変数に対応しなければならないセキュリティチームの仕事が増えることを意味します。これらの要因は内部関係者による脅威のリスクを高めるだけでなく、産業用設備の運転がオンプレミスの作業空間にいない者によって扱われることに伴うさまざまな攻撃ベクトルからのリスクを高めることになります。
産業労働者がクラウドでのオペレーションを始めると、サイロ型で静的なセキュリティコントロールは今日のダイナミックに分散するワークフォースによってもたらされたものと同じ落とし穴に陥ります。ハードコードされた、事前に定義済みのルールやシグネチャは突然の変化に適応できるよう設計されておらず、デフォルトの「インクルージョンリスト」に頼らざるを得ない、あるいは過剰な「偽陽性」を生成してオペレーションに悪影響を及ぼす結果となります。
ICSセキュリティチームは根本的に異なるアプローチを必要としているのです。「奇妙だが無害」な動作も、「奇妙だが危ない」サイバー脅威を示すアクティビティも識別できるようにするため、産業分野の何百社もの組織が、ICSからクラウド、そしてその先も含めたデジタルエコシステム全体に渡り動作のパターンを学習する、自己学習型のAIを使ったテクノロジーを採用しています。
テクノロジーやプロトコルの種類を問わない、DarktraceのIndustrial Immune System はクラウドでのICSの保護に伴う課題を解決することができます。AIテクノロジーはオンザジョブで学習し、あらゆるユーザー、デバイス、コントローラーにとっての「正常」を理解します。これにより侵入の兆候である異常を検知することができるのです。検知を受けて、DarktraceのCyber AI Analystは自動的に調査を開始するとともに、セキュリティインシデントについての自然言語で書かれたまとめを作成し、ITセキュリティチームやICSエンジニアがこれを使ってすぐにアクションを取ることができます。
図2：ICSaaSクラウドインフラに対するさまざまな脅威
ICSaaS とAI
ICSaaSが実用されるようになると、攻撃者達はこれまでにない新たな攻撃ベクトルを利用し始めます。クラウドセキュリティとICSセキュリティの統合による課題、すなわち可視性の損失、コミュニケーションの障壁、技術的知識の違い、異なる役割、目標の不一致、などによりICSaaSクラウドインフラの保護は非常に難しいものとなっています。
最近の攻撃事例、たとえばEKANSランサムウェアなどは、ITとOTのギャップを利用して侵入することに成功しています。しかしこうしたブラインドスポットは、産業用システムおよびITシステムを保護するための一元的プラットフォームアプローチにより明らかにすることができます。単一のシステムでデジタルエステート全体のアクティビティを監視することにより、1つのエリアで発生したアクティビティが、別の、より重要なエリアでの侵害の前兆となるかもしれないことを認識できます。
事前に定義された脅威のルールやシグネチャを脱却し、組織全体のデジタルの「生活パターン」を学習することにより、DarktraceのAIはサイバーセキュリティにおいて大胆な変革を実現しています。自己学習型AIシステムをセキュリティインフラに導入することにより、デジタルエステート全体に渡って脅威のリアルタイムでの検知と調査が可能になります。こうした機能があれば、古いタイプのOTシステムも、ICSaaSによりもたらされるリスクを管理しながらデジタル変革を遂げることが可能になります。
この脅威事例についての考察はDarktraceアナリストOakley Coxが協力しました。
Industrial Immune Systemについて詳しく知る
