サイバー脅威とは
情報機関や軍はサイバー脅威を深く理解しており、組込みシステムの安全性を確保するための最先端の手法を開発しています。 国防総省（DoD）は、インターネットから高度なサイバーフィジカルシステムまでの技術の研究開発において、長年にわたり大学や民間セクターと提携してきました。現在、軍は開発速度を上げるため、専用の機器の開発を委託するよりも、既製品のプラグアンドプレイシステムを委託して取得することが多くなっています。ウインドリバーの Irby Thompson 氏は、次のように述べています。「国防総省では、非常に高価で、非常に時間がかかり、必ずしも望ましい結果につながらない従来のシステム調達モデルから脱却しようとする動きが大きくなっています。今後、軍は商用のソフトウェア開発者、AIベンダー、クラウドサービス、ネットワークプロバイダーなど、インテリジェントエッジのバックボーンの一部とますます連携していくことになるでしょう」
インテリジェントエッジに依存する組織にとっては、エッジの機能を向上させるために、セキュリティの意味を誰も考えずに多くの製品が市場に投入された時代にはなかったレベルの、セキュリティを実現するチャンスとなります。また、「重要なインフラを運用する人の多くは、セキュリティの専門家ではありません。私たちは、DoDが何十年にもわたって軍や政府のシステムのセキュリティを構築してきた知見を活かしています。そして、多くのIoTデバイスが同じ脅威空間を共有していることを認識しています。その知識ベースをすべてのお客様に提供するのです。」と、 Thompson 氏は述べています。
政府をハッキングするのはどれほど難しいか？
最近発生した3つの事件は、軍事、情報、重要インフラに対する脅威のすべてが国家的行為者からもたらされるわけではないことを証明しています。ハードウェア、ソフトウェア、データ、システムのセキュリティが十分に確保されていない場合、どのような組み合わせでも侵害への可能性があります。例えば、次のようなことです。
組み込みデバイスのリバースエンジニアリング： eBayの投稿（現在は削除済み）に、あるコンピュータの販売がありましたが、売ろうとしている人は、それが正しく動作しているかどうかわからないといいます。その売り手は、システムに貼られたシールに国家安全保障局の用語で、「重要な通信セキュリティ機能を実行するために使用される機器」と書かれていたと述べています。廃棄されるか、改ざんを防ぐために自爆装置がプログラムされていない限り、不正に使用され、リバース・エンジニアリングされる可能性があるのです。
軍事施設の地図に使われるフィットネストラッカー：2018年、フィットネス企業のStravaは、ユーザーの運動ルートの詳細なジオロケーション情報を公開しましたが、RAND Corporationによると、そのうちの数千人は、たまたまDoDパイロットプログラムを通じてフィットネストラッカーを支給された兵士たちだったそうです。Strava社が公開した地図は非常に詳細で、隠れた米軍基地やキャンプを明らかにする可能性があり、軍人と民間人の生活パターンを暴露するものでした。その結果、軍は派遣された軍人がStravaのようなアプリやデバイスを使用することを禁止するよう方針を変更しました15。
オープンソース、ツール、サードパーティコンポーネントによるバックドア：ハッカーがインターネットに公開された安全でないSonarQubeインスタンスを通じて米国の政府機関や企業組織からデータを盗んでいるとFBIが2020年に警告を発しました。SonarQubeは、プロジェクトのバグやセキュリティ脆弱性を発見するための自動コード品質監査と静的解析のためのオープンソースプラットフォームです。SonarQubeのハッキングは、安全なソフトウェアの作成を支援するはずのツールが、脅威ベクトルにもなり得ることを思い起こさせるものです16。
あるアプリがユーザーの運動ルートを示す地図を公開し、隠れた米軍基地を暴露する可能性があったため、フィットネストラッカーは軍によって禁止されました。
IoTを利用している米国企業の約半数がセキュリティ侵害を経験しています。問題の1つは、「エッジとIoTインフラの多様性」だと、Transworld Data社長のMary Shacklett氏は説明しています。「エッジは、ネットワークノード、センサー、ゲートウェイ、ハードウェア、アプリケーションソフトウェアなど、さまざまなものになりえます。多くの可動部品とそれらを提供するさまざまなベンダーが存在します。その結果、脆弱性が増加し、セキュリティリスクが高まるのです」17。
サイバーフィジカルシステムの最も弱い点は、安全でないゲートウェイを経由して個々の技術が接続されるところにあります。多くのシステムは連携して動作するように設計されておらず、特にヘルスケアや産業分野における多くのデバイスは、インターネットに接続されると脆弱になります。
ハッカーは既に、接続されたIoTデバイスに侵入して、大惨事を引き起こしています。「逆説的に、ハッカーはデバイスの所有者をターゲットにしておらず、所有者はセキュリティ侵害に気づいていないことが多いのです。ハッカーは、IoTデバイスを起点として、別のターゲットに攻撃を仕掛けます。例えば、2016年のMirai攻撃では、IoTデバイスを利用してインターネットインフラを攻撃して、ヨーロッパと北米全域でシャットダウンを引き起こし、推定1億1千万ドルの経済被害をもたらしました」とMcKinseyは述べています18。
独立系デジタル・フォレンジック・アナリスト