ミネソタ州全域の30を超える地域水道事業者を標的としたサイバー攻撃により、州全体でサイバーセキュリティ対応が開始された。
飲料水の水質への影響は報告されていないものの、この事件は産業用制御システムへの攻撃が不可欠な公共サービスを一時的に妨害し得ることを示している。
これはOTへの攻撃として報じられているが、最初の侵害は企業ITネットワーク上で発生し、その結果としてOTのフェイルセーフや安全機構が作動した可能性はあるのだろうか。
「課題は、多くのセキュリティプログラムが依然として、ランサムウェアや、騒ぎを起こして手当たり次第に侵入する攻撃のような、目立つ攻撃を検知するよう構築されていることだ」と、Black Hills Information Security, IncのオーナーであるJohn Strand氏は、eSecurity Planetへのメールで述べた。
さらに同氏は、「国家主体による多くの作戦に見られる、目立たず長期にわたる活動を見つける能力は、はるかに低い」と付け加えた。
ミネソタ州の水道事業者で発生した事件の要点
- ミネソタ州の30を超える水道事業者が、運用技術（OT）システムを混乱させたとされる組織的なサイバー攻撃の標的となった。
- 各事業者は手動運用と緊急時対応計画によって給水を維持し、飲料水の水質への影響は報告されていない。
- 当局は、関与した脅威アクターを特定しておらず、技術的な詳細も明らかにしていない。
- この事件は、ネットワーク分離、継続的な監視、安全なリモートアクセス、実証済みのインシデント対応計画など、多層的なOTセキュリティの必要性を改めて示している。
ミネソタ州の水道事業者へのサイバー攻撃で何が起きたのか
組織的な攻撃は7月26日と27日に発生し、ミネソタ州全域の30を超える地域水道事業者が使用する運用技術（OT）システムを標的とした。
これを受け、Minnesota IT Services（MNIT）は州全体のサイバーインシデント対応を発動し、連邦、州、地方、部族政府、民間部門のパートナーと連携して攻撃を調査するとともに、影響を受けた事業者を支援した。
調査が続く中、当局は攻撃者が影響を受けたOT環境にどのようにアクセスしたのか、また責任を負う脅威アクターを特定したのかを公表していない。
公に確認された最初の混乱の一つはBraham市で発生した。同市の当局は、市営水処理施設が予期せず停止したと報告した。
数時間以内に作業員が運用を復旧し、施設が通常のろ過および水処理業務を再開したことを確認した。
ミネソタ州の他の地域でも一時的な機器の不具合が報告され、調査員が対応する間、各事業者は手動運用への切り替えや緊急時対応計画の発動を余儀なくされた。
こうした混乱にもかかわらず、州当局によると、住民に飲料水の利用方法を変更するよう求めてはいない。これは、攻撃が水質や公共の安全ではなく、運用に影響を与えたことを示している。
この事件は、運用技術環境が直面する固有のサイバーセキュリティ上の課題も浮き彫りにしている。
企業データを管理するITシステムとは異なり、OTシステムは水処理、ポンプ運転、薬品注入、配水などの物理的プロセスを制御する。
そのため、ランサムウェアやデータ窃取を伴わない攻撃であっても、システムが復旧するまで運用担当者を手動制御に頼らせることで、不可欠なサービスを妨害できる。
調査は継続中であり、公開時点で技術的な詳細は明らかにされていない。
組織がOTセキュリティのリスクを低減する方法
この事件は、OTのリスク低減には、システムの保護と運用の混乱への備えに向けた多層的なアプローチが必要であることを改めて示している。
- OT資産を棚卸しし、継続的に監視することで、不正な活動や新たな脅威を迅速に検知する。
- 運用技術を企業ITネットワークから分離するとともに、HMIなど、インターネットに接続されたシステムやリモート管理インターフェースを最小限に抑える。
- リモートおよび第三者アクセスを保護するため、多要素認証、最小権限、期限付きの特権アクセスを導入する。
- リスクに基づくOTシステムのパッチ適用と強化のプロセスを確立する。これには、古いソフトウェア、ファームウェア、デバイス設定の定期的な見直しを含める。
- 産業用制御システムを継続的に監視することで、異常なコマンド、設定変更、その他の侵害の兆候を検知する。
- PLCやSCADAシステムを定期的にバックアップするとともに、HMI設定やその他の重要なOT資産もバックアップし、インシデント発生後に迅速に復元できることを検証する。
- インシデント対応、事業継続、手動運用の手順をITチームとOTチームの双方でテストし、サイバー攻撃中にも不可欠なサービスを維持・復旧できるようにする。
OTセキュリティに対するプロアクティブな戦略は、攻撃対象領域を縮小し、サイバーレジリエンスを高め、インシデント中および発生後も不可欠な業務を継続できるようにする。
結論
ミネソタ州の事件は、重要インフラの保護には、ITとOTを別々の環境ではなく、相互接続されたセキュリティ領域として扱う必要があることを改めて示している。
地政学的緊張がサイバー空間にますます波及する中、重要インフラの運用者は、不可欠なサービスの妨害や戦略的なアクセスの確立を狙う、金銭目的の脅威アクターと国家主体のグループの双方から、今後も関心を寄せられると想定すべきだ。
攻撃がIT、OT、あるいはその両方から始まったかにかかわらず、組織は両環境の可視性を高め、レジリエンスを検証すべきである。
組織は、OTシステム周辺のセキュリティ強化にZero Trustを活用できる。