[論文レビュー] Online Discoverability and Vulnerabilities of ICS/SCADA Devices in the Netherlands

João Marcelo Ceron, Justyna J. Chromik+2 more|arXiv (Cornell University)|Nov 3, 2020

Network Security and Intrusion Detection参考文献 12被引用数 12

ひとこと要約

本研究では、大規模なインターネットスキャンを用いてオランダにおける産業制御システム（ICS）/SCADAデバイスのオンライン露出状況とサイバー脆弱性を調査した。数百台のICS/SCADAデバイスが公開インターネットに露出していることが判明し、多くのデバイスが古くなりすぎたか、不安全なプロトコルを実行していることが明らかになった。これは重要なインフラに対する顕著なリスクを示している。主な貢献は、発見可能性と利用可能性に関する体系的な評価であり、産業システムの即時の強化措置を求めるものである。

ABSTRACT

On a regular basis, we read in the news about cyber-attacks on critical infrastructures, such as power plants. Such infrastructures rely on the so-called Industrial Control Systems (ICS) / Supervisory Control And Data Acquisition (SCADA) networks. By hacking the devices in such systems and networks, attackers may take over the control of critical infrastructures, with potentially devastating consequences. This report focusses on critical infrastructures in the Netherlands and investigates three main questions: 1) How many ICS/SCADA devices located in the Netherlands can be easily found by potential attackers?, 2) How many of these devices are vulnerable to cyber-attacks?, and 3) What measures should be taken to prevent these devices from being hacked?

研究の動機と目的

• オランダに所在するICS/SCADAデバイスが、公開インターネットスキャンによってどの程度発見可能であるかを評価すること。
• これらの発見可能なデバイスが、既知のサイバー攻撃に対してどの程度脆弱であるかを評価すること。
• 未パッチ適用のソフトウェアやデフォルトの認証情報といった、ICS/SCADAシステムにおける一般的なセキュリティ上の欠陥を同定すること。
• 重要なインフラストラクチャシステムの攻撃表面を低減するための実行可能な緩和戦略を提案すること。

提案手法

• 既知のサービスの特徴とポートのシグネチャに基づき、自動化ツールを用いた大規模なインターネットスキャンを実施し、ICS/SCADAデバイスを発見した。
• デバイスの応答を分析して、Modbus、DNP3、BACnetなどの産業制御システムで一般的に使用されるプロトコルを特定した。
• IPの地理的位置特定とASNデータを用いて、発見されたデバイスをオランダ内の地理的位置にマッピングした。
• 特定されたサービスを公開の脆弱性データベースや既知のエクスプロイトと照合することで、脆弱性表面を評価した。
• デフォルトパスワード、古くなったファームウェア、暗号化されていない通信の有無を確認することで、設定上のリスクを評価した。
• 攻撃表面と露出経路に基づいた脅威モデルを構築し、緩和措置の優先順位を決定した。

実験結果

リサーチクエスチョン

• RQ1 オランダに所在するICS/SCADAデバイスのうち、インターネットスキャンによってどの程度公開で発見可能であるか？
• RQ2 これらの発見可能なデバイスのうち、露出したサービスや設定に基づいて、既知のサイバー攻撃に対してどの程度脆弱であるか？
• RQ3 産業制御システムの露出に最も寄与している一般的なセキュリティ設定ミスやプロトコル上の欠陥は何か？
• RQ4 ICS/SCADAシステムのオンライン攻撃表面を低減するために、技術的および組織的措置としてどのような対策を講じられるか？

主な発見

• 数百台のICS/SCADAデバイスが、インターネット経由で公開可能であることが判明し、顕著な露出表面を示している。
• 多くのデバイスが、認証や暗号化のないModbus や BACnet などの古く不安全なプロトコルを実行していることが判明した。
• 多くのデバイスが、デフォルトパスワードの使用や、既知の脆弱性を持つ未パッチ適用のソフトウェアバージョンといった設定上の弱みを示していた。
• 本研究では、公開の利用可能なエクスプロイトを用いてリモートで侵害可能なデバイスが複数確認され、現実の攻撃の可能性を示した。
• 地理的位置分析により、エネルギー供給施設や水道施設を含むさまざまな重要なインフラセクターにデバイスが存在することが確認された。
• これらの発見は、産業制御システムにおけるネットワークセグメンテーションの改善、パッチ管理、アクセス制御の強化が急務であることを強調している。