2010年7月、「Stuxnet」（スタックスネット）という名のウイルス攻撃が発見されたのは、記憶に新しいところです（関連記事）。Stuxnetは原子力発電所のシステムに侵入し、感染後には制御システムをコントロールして強大な負荷をかけるといわれているもので、対策が遅れれば設備機器そのものが故障する可能性があります。仮に発電所のような重要なインフラが破壊されれば、結果的に相当数の社会行動に影響を及ぼしかねません。

ウイルスが社会インフラに影響を及ぼす恐れ

　特定個人のパソコン（PC）をターゲットとしてファイルシステムやOSを破壊するウイルス、マルウエアは、PCが登場した数十年前から存在します。しかし、直接感染したコンピュータではなく、感染したコンピュータが制御している外部機器を物理的に破壊しようとした（実際には破壊にはいたらず不調をきたした）ウイルスはきわめて珍しいものです。

　Stuxnetは無差別に企業や組織のシステムを狙うのではなく、原子力発電所で採用されている特定の制御系システムをターゲットとしました。そのため、この特定の制御システム以外には被害は発生しません。

　とはいえ、ここで胸をなで下ろしてはいけません。ターゲットとするソフトウエアや、最終的なアクションを変えたStuxnetの亜種が出てくれば、制御系システムや他のシステムに不調を引き起こす可能性ができてしまったという捉え方が必要です。

　Stuxnetは、ここまでの5回の記事の中で「新しいタイプの攻撃」という呼称を使ってきたサイバー攻撃に含まれます。仮にシステムに侵入されたとしても、出口対策をしっかり行うことで、侵入後の活動を抑制し、被害を抑える必要があります。改めて出口対策について、前回までの説明も併読して頂ければと思います。

Stuxnetの手口

　原子力発電所のように、十分なセキュリティ対策が施されていたはずの施設で、なぜStuxnetが簡単にシステム内部に侵入できてしまったんでしょうか。Stuxnetは最初にWindows PCを狙います。Windowsが持っていたゼロデイ脆弱性を利用し、USB接続されたドライブやファイル共有を使ってシステムにアクセスを試みます。この侵入経路について冷静に考えなくてはなりません。

　組織のネットワークとインターネットの接点では、侵入に対する十分な境界型セキュリティ対策、言い換えれば「入口対策」が施されているはずです。しかし、従業員が出社して、デスクの上の自分のPCに家から持参したUSBメモリーを挿す、あるいはネットワークにノートPCを接続してしまえば、インターネット側からの侵入対策に重点を置く境界型対策、入口対策はまったく機能しません。

　Stuxnetは実に周到な下準備で作成されたウイルスです。例えば「自分は怪しくないですよ」と感染者を欺くために、実在する企業2社のディジタル署名付き証明書さえ持っています。その上で標的となる発電所の社員に対して、メールや特定URLを閲覧させてダウンロードさせる、直接USBメモリーやDVDメディアを送付する、などのあらゆる方法で感染母体を送り込みます。

　こうした下準備は執拗かつ徹底的に行われます。従来の無差別の愉快犯型ウイルス／マルウェアとの違いは、こうした徹底的な準備に基づくピンポイントでの攻撃姿勢です。組織的であり、相応にコストと時間もかけて狙った対象に壊滅的な被害を与えようとします。

　Stuxnetはプログラムとして見ても相当の技術と時間をかけて作成されていることが判明しています。しっかりとしたオブジェクト指向で作られており、内部には数千に及ぶ機能を内包します。これは亜種の作成が簡単にできるところまで作り込まれているとも考えられます。つまり発電所以外の他業種にとっても、対岸の火事ではすみません。

　だからこそ「侵入は止められないかもしれない」という前提に立って、侵入されたとしても、バックドアを使ってC&Cと連絡を取らせない、システム内に感染を拡大しない、システム深奥部にたどりつかせない、早期に感染個体を検知して対処するといった“出口対策”での対応が必要になるわけです。このあたりの考え方は、ここまでの5回で個別に、出口対策という視点からセキュリティ・システム構築のポイントをご紹介したとおりです。