要約

  • Forescout が8月5日に公表した分析では、8月3日の Shodan 検索で EtherNet/IP の44818番ポートを公開する制御装置4,407台が見つかった。
  • 米国は2,844台で65%、カナダ513台、スペイン146台、イタリア109台、オーストラリア96台だった。
  • 米国結果の70%超が大手携帯通信網上にあり、セルラー経路への集中を示すが、通信会社の侵害を示さない。
  • 水道攻撃で名前の挙がった都市と重なるホストは22台だったが、Forescout は侵害を確認できなかった。
  • 22台のうち19台はファームウェア上 CVE-2017-16740 の影響を受ける可能性があったが、必要な Modbus TCP の有効化も悪用も未確認だ。
  • FBI は7月27日以降、少なくとも7州の事案を報告する一方、Forescout は12州と記す。公式事案数は FBI の7州を使い、相違を残すべきだ。

公開状態が最初の分母で、事件数ではない

4,407という値は、EtherNet/IP の44818番ポートを外部公開する機器を特定時点に特定条件で検索した結果だ。水道施設、固有組織、被害者、侵害された PLC の数ではない。一つの組織が複数台を持つことも、水道以外の工程に使われることもある。

この区別は危険を軽くしない。公衆インターネットから直接届く産業用制御装置は、攻撃者に発見・接触経路を与えるため、通常はその経路を削除するか厳しく仲介すべきだ。ただし公開を侵害へ言い換えると、対策の対象を誤る。

セルラー経路が集中点になっている

米国結果の70%超は大手携帯通信事業者のネットワークに置かれていた。固定回線が高価な遠隔施設を接続するため、セルラールーターは実用的だ。しかし、所有者が隔離されていると思っていた装置に公的な経路を作る場合がある。

集中は通信会社が侵害された証拠でも、装置を所有する証拠でもない。アドレス割り当て、経路、防火壁、顧客設定の接点を示す。所有者が棚卸しと分離を行い、通信側が公開端末の把握やプライベートアドレス、管理制御を支援する必要がある。

機種構成は長い設備寿命を映す

Forescout の結果は MicroLogix 1400が50%、CompactLogix 1769が22%、MicroLogix 1100と ControlLogix 5590が各8%だった。旧世代を含むのは、産業設備の運用寿命が長いためだ。交換には停止、再検証、物理工程の変更を伴い、事務用ソフトの更新より難しい。

そこで代替防御が重要になる。直接経路を削り、遠隔接続を強認証ゲートウェイの背後に置き、プロトコルを監視し、復元可能なロジックのバックアップを保つことは、即時交換が難しくても実行できる。

22台の重なりは22件の侵害を確定しない

Forescout は検索結果と最近の水道攻撃で挙げられた都市を照合し、22台を特定した。19台は同じ携帯通信網にあった。この重なりは調査順位を上げる根拠になるが、当該装置の侵害は確認できなかったと明記されている。

同じ地域と事業者は、共通の調達や設計から生じ得る。共通所有、攻撃者の帰属、単一侵入経路を証明しない。22台は緊急確認リストであり、被害者リストではない。

ファームウェア上の影響には条件が一つ欠ける

19台はファームウェアから CVE-2017-16740 の影響範囲に見えた。Rockwell の勧告は対象版を示す。一方、悪用には Modbus TCP が有効である必要があり、Forescout は遠隔でその条件を確認できなかった。今回の攻撃でこの脆弱性が使われた証拠もない。

影響範囲、悪用可能性、実際の悪用は別の段階だ。防御側は修正すべきだが、報道上は混同すべきでない。

確認済みの運用影響は FBI 記録を基準にする

FBI と EPA によれば、7月27日以降に少なくとも7州の水道事業者が事案を報告した。攻撃者が IP アドレスとパスワードを変更し、監視または制御が失われた。圧力低下と浸水が報告され、1被害者では PLC プロジェクトファイルが改変されていた。主体の帰属はない。

Forescout の記事は少なくとも12州とする。公式通告である FBI が更新するまでは7州が守るべき数値で、差異を消すべきではない。検索統計が事件記録を代替しないことも示している。

独立検索は同一時系列にならない

Censys は7月30日に Rockwell または Allen-Bradley のホスト4,148台を数え、Verizon Business、AT&T Mobility、T-Mobile USA が59%を占めるとした。Forescout の Shodan 検索は8月3日に4,407台だった。エンジン、条件、日付、分類が違い、差を増加と呼べない。

Forescout 自身の系列では、2020年3月の7,814台から2026年6月の4,169台へ47%減り、8月に4,407台へ戻った。長期的な改善と、なお大きい残存面、最近の反発を同時に示す。

出典