4つのランサムウェア事故が示した侵入経路

自動車部品メーカーの被害は、取引先の完成車メーカーの生産計画にまで影響しました。港湾では基幹システムの停止でコンテナの搬出入が約3日間滞り、通販・物流事業者の被害は物流を受託していた他社のECサイトにまで波及しています。病院では電子カルテが使えず、紙カルテでの診療が続きました。

4件は業種も規模も異なります。それでも公開された資料を並べると、侵入の起点、あるいは最有力とされた経路は共通していました。子会社が使っていたリモート接続機器。接続元を制限していなかった保守用VPN。多要素認証が例外的に適用されていなかった委託先向けのアカウント。委託先から常時許可されていた接続。経路の断定に至らなかった事案もありますが、調査資料が弱点として挙げた場所は、いずれも組織の外から中へ入るための接続点でした。

ここで注意したいのは、4つの緩みがいずれも特定の製品や技術の欠陥ではないという点です。外部との接続を誰が把握し、誰に許し、いつ開き、どう記録するか。破られたのは、その管理構造でした。

構造の問題である以上、同じ緩みは技術領域を選びません。製造業であれば、まだ点検が済んでいない場所は工場のOT環境であることが多いはずです。装置メーカーが保守のために設置した接続機器。ベンダーごとに開けられた接続。担当者間で共有されている保守アカウント。つなぎっぱなしの遠隔監視回線。しかもOTの機器は寿命が長く、設置したベンダーの担当者が代替わりしていることも珍しくありません。時間が経つほど全数の把握は難しくなります。

各事案で何が起き、調査資料が何を弱点として挙げ、どこまでを断定できなかったのか。4件それぞれの詳細は、本ホワイトペーパーで1章ずつ掘り下げています。

Secomeaは、製造現場のOT環境を対象とするセキュアリモートアクセスを提供しています。守るのは外部から生産設備へ届く経路であり、社内の業務システムやオフィスのネットワークといった情報システム環境は対象に含みません。本ホワイトペーパーが行っているのも、4件の事故にSecomeaを当てはめることではなく、事故が明らかにした構造をOTの側へ翻訳することです。この線引きは第5章で正面から扱っています。

現場に置くゲートウェイであるSiteManagerは、GateManagerへ向けて通信を開始します。通信はアウトバウンド方向のみで確立されるため、現場側にインターネットからの着信を待ち受ける口を設けない構成を取れます。誰がいつどの機器へ接続したかという記録は、現場側の機器ではなくクラウド側に保存されます。