産業用制御システムの脆弱性調査市場が成長、研究者たちの関心集まる

2020年下半期に公開された産業用制御システムの脆弱性

　重要インフラでも使用されている産業用制御システム（ICS：Industrial Control System）を狙った攻撃が深刻となってきている中、ICSのセキュリティを扱うイスラエルのセキュリティ企業Clarotyは2020年下半期に公開されたICSの脆弱性についてまとめた報告書「Claroty Biannual ICS Risk & Vulnerability Report: 2H 2020」を公開しました。

　今回の報告書は、パンデミックに伴うリモートワークの急速な普及を背景に、ICSを狙った攻撃が増えていることを前提として挙げていますが、そのような攻撃について解説することを目的としたものではなく、あくまで公になっているICSの脆弱性についてまとめたものとなっています。

　まず、ICSのセキュリティおよび脆弱性の傾向として「Executive Summary」に挙げられているのは以下の6点。

　次に、ICSの脆弱性に伴う脅威とリスクとして「Executive Summary」に挙げられているのは以下の11点。

　ここからは「Executive Summary」に挙げられていない内容から、いくつか取り上げて紹介します。

　まず、上記の（6/6）と関連して、脆弱性をその起源（発見者など）でまとめたのが以下の図です。

　この「External」の多くは第三者企業であり、そのほかに、独立系（個人）研究者や学者などが含まれています。なお、第三者企業の多くはセキュリティ企業です。また、複数の研究グループが協力して発見・開示しているケースや複数の研究者がそれぞれ別々に同じ脆弱性を見つけて開示したケースもあり、後者のような脆弱性は2020年下半期で70件あったとのことです。

　2020年下半期に開示された脆弱性を発見した研究グループで分類したのが以下の図です。

　ここで注目すべきは脆弱性発見コミュニティとして知られる「Zero Day Initiative（ZDI）」を介して開示された脆弱性の全体に占める割合です。Clarotyによれば、2018年にZDIがクレジットされた脆弱性は16.81％でしたが、2019年には12％、2020年には11.08％と年々減ってきています。この原因についてClarotyは以下の2つの可能性を挙げています。

• ICSの脆弱性調査市場の増大。データによると、過去3年間でZDIなどの報奨金プログラムに参加した独立系研究者として活動を始めていた人物の一部が、現在では民間企業に入社している。また、Clarotyは、2018年と比較して独立系研究者による開示のシェアが減少していることも指摘している（2020年 16.79％ vs 2018年 25.29％）。
  
• 多くのケースで、独立系研究者はGitHubリポジトリやプライベートブログに投稿し、さまざまなコーディネーター（必ずしもZDIとは限らない）を介して開示のためにベンダーにコンタクトを取っている。

　次に、2020年下半期になって初めてICSの脆弱性を開示するようになった研究者が50名おり、その内訳をまとめたのが以下の図です。

　なお、Clarotyによると、これらの新しい研究者は、Schneider ElectricやSiemensのような市場をリードするベンダーの製品に注力する傾向があるようです。

　2020年下半期に開示された449件のICSの脆弱性を対象となるベンダーごとにまとめたのが以下の図です。Schneider ElectricとSiemensが他社を圧倒していますが、三菱がそのあとに続いています。

　その一方で、これまで脆弱性が報告されていなかったベンダーも対象となってきており、2020年下半期に初めて対象となったベンダーは14社となっています。これもまた、上記（6/6）と同様、ICSの脆弱性調査市場の成長を示すものと言えるでしょう。

　脆弱性のうちソフトウェアとファームウェアの割合を示したのが以下の図です。

　上記の（3/6）に関連して、インフラセクターに影響を与える脆弱性の数の推移をまとめたのが以下の図です。重要製造業、エネルギー、上下水道、商業施設の4つのセクターは上位で安定していることが分かります。

　今回の報告書によれば、脆弱性を見つける研究者らのICSに対する関心が増してきており、また、対象となるベンダーも増えてきているなど、ICSの脆弱性調査市場が成長してきていることが分かります。大手のベンダーにおいては発見・報告された脆弱性に速やかに対応して緩和・修正する体制、例えばPSIRT（Product Security Incident Response Team）の整備が進んできていますが、今後は大手以外のベンダーにも、同様とまではいかずとも、それに近い機能や体制が何らかのかたちで求められてくるでしょう。

　一方、悪用が容易で影響の大きい脆弱性が多いことから、利用者側にも脆弱性に速やかに対応できる体制の整備やパッチの適用しやすい（パッチ適用可能性の高い）システムの設計がこれまで以上に求められていると言えます。

　報告書には今回紹介した以外にも、開示された脆弱性を技術的な悪用可能性の観点で分析・分類した結果など、さまざまなデータが掲載されています。図が多用されていて比較的読みやすいかたちになっていますので、ICSのセキュリティに関わる方はそれらの図を眺めるだけでもよいので、まずは目を通しておくことをお勧めします。