既知-未知マトリックスを使用した OT サイバーセキュリティ脅威の検出

このマトリックスは、OT および IoT のサイバーセキュリティ脅威をさまざまな種類に分類して、それらを検出し、できるだけ早期にリスクを最小限に抑えるための適切な技術を確保するのにも最適です。これらのカテゴリは、ルール ベースまたは動作ベースの手法のいずれかで脅威を検出することの重要性も区別します。

• ルールベースの検出は、インジケーターが簡単に観察でき、潜在的な一致として識別できる脅威を検出するのに効率的です。ファイル ハッシュ、IP アドレス、ドメイン名などの事前定義された属性の一意のパターン (シグネチャ) に基づいて脅威を識別します。これらの属性は、疑わしい脅威のアクティビティから抽出され、同じシグネチャを持つ既知の脅威のデータベースと比較できます。

• 行動ベースの検出はより洗練されています。脅威、アクション、またはアクティビティがどのように動作し、ネットワークと相互作用するかを観察および分析し、パターンおよび関連するアクションまたはイベントを探します。ヒューリスティック ルールまたは機械学習アルゴリズムを使用して、不正アクセス、ファイル変更、その他の異常などを特定します。

既知 既知: コモディティ マルウェア – Conficker

Conficker (CVE-2008-4250) は、「死なないワーム」というあだ名が付けられています。このワームは 2008 年に出現すると、すぐに世界中の約 900 万台の Windows コンピュータに感染しました。サイバーセキュリティ・インフラストラクチャ・セキュリティ庁 (CISA) によると、このウイルスは今でも年間数万台のパッチが適用されていない従来の Windows システムに感染しており、その中には 2020 年には 200 を超える ICS エンドポイントが含まれています。

既知-未知マトリックスの観点からは、Conficker について知るべきことはすべてわかっています。私たちはそれが何であるか、どのように動作するか、そしてそれを軽減する方法を知っています。いかなる環境においても、万一問題が発生した場合には、速やかに対処します。

OT/IoT ネットワークに影響を与える既知の脆弱性をまとめた公開データベースには、次のものがあります。 全国脆弱性データベース (NSD)、 一般的な脆弱性とその危険性 (CVE) および MITRE ATT&CK ICS マトリックス。さらに、 ICSアドバイザリープロジェクト ダッシュボードと ICS 脆弱性研究者のスコアボード 利用可能な脅威データを充実させ、参照しやすくします。サイバーセキュリティ ベンダーは、これらおよびその他のグローバルな脅威インテリジェンス ソース (自社の研究所を含む) を自社のプラットフォームに直接フィードし、ルールベースの検出を使用して環境とこのフィードを比較し、既知の脆弱性や脅威を即座に特定する場合があります。

既知、未知: 資格情報アクセスの悪用 – BlackEnergy

既知の未知とは、存在することはわかっているが、それが何であるかを正確には知らないリスクのことです。一例として、今や悪名高い BlackEnergy イベントがあります。 2015 年 12 月、ウクライナ西部の送電網がロシアのハッカー グループ Sandworm によって攻撃され、資格情報へのアクセスが悪用され、OT/ICS に直接影響が与えられました。この攻撃により、約22万5,000人の住民が最大6時間停電した。

資格情報アクセスの悪用は既知の脅威ですが、その未知の影響は、対象となるシステムと運用のインフラストラクチャとアーキテクチャによって異なります。 BlackEnergy への対応には、広範囲にわたる分散型の緩和策と人員の時間が必要でした。

既知の未知の脅威について、OT/IoT 環境で潜在的な敵対者によって使用されている TTP に関する脅威インテリジェンスが多ければ多いほど、防御で一歩先を行くことができます。静的なオープンソースの参照ツールでは、同様の攻撃を検出するには不十分です。集約された脅威調査のライブ フィードだけでなく、Yara ルール、パケット ルール、STIX インジケーター、脆弱性シグネチャなどの脅威インジケーターに関する詳細情報も必要です。この情報を使用すると、最新のマルウェアや産業プロセスや IoT デバイスに特有の侵害の兆候がないか環境を監視できます。

不明 既知: 破壊的なワイパー – NotPetya

NotPetya はランサムウェアを装っていましたが、回復機能はありませんでした。EternalBlue と Mimikatz のエクスプロイトを組み合わせて、RAM から保存されたパスワードをハイジャックし、リモート アクセスを取得して、人間の介入を必要とせずにコードを実行しました。それだけでは十分ではない場合は、システムからシステムにジャンプして資格情報を見つけ、認証し、ワイパーを展開することもでき、最終的には以上のものを引き起こす可能性があります。 100億ドル 合計ダメージで。

ゼロデイエクスプロイトには、資産インテリジェンスによる動作ベースの検出が不可欠です。これらの脅威は、研究者、ソフトウェア ベンダー、一般の人々にまだ知られていない脆弱性を利用するため、特に脅威となります。機械学習を使用する OT 固有のサイバーセキュリティ プラットフォームは、ネットワークと資産の動作のベースラインを設定し、基本的な資産インベントリをはるかに超える各デバイスのコンテキストの詳細をキャプチャできます。この情報により、センサーはゼロデイを含む疑わしい異常を容易に検出し、警告することができます。

不明 不明: ネイティブ機能のハイジャック – INCONTROLLER

INCONTROLLER は、サイバー攻撃者が特定のベンダー システムに対して高度に自動化されたエクスプロイトを実行できるようにする、カスタマイズされた攻撃ツールのセット (Tagrun、CodeCall、Omshell) です。攻撃者は、INCONTROLLER を使用して OT ネットワークへの初期アクセスを確立し、その後、おそらくデバイス パラメータを変更することによって、これらの資産をスキャンし、侵害し、制御する可能性があります。この例は、OT 攻撃者が重要なインフラストラクチャ環境とその破壊方法に関する深い知識を獲得しており、潜在的に壊滅的な影響を及ぼしているという証拠を示しています。

サイバー防御者にとっての最悪のシナリオは、未知の未知、つまり最も不確実性があり、したがってリスクをもたらす脅威です。

非常に良いニュースの 1 つは、INCONTROLLER が実際に悪用されたことがないということです。ありがたいことに、それが使用される前に、マンディアントと協力している米国連邦政府機関が、 共同サイバーセキュリティ勧告 Advanced Persistent Threat (APT) アクターがこの能力を示したことを警告します。サイバーセキュリティ ベンダー (Nozomi Networks を含む) は、顧客が確実に保護されるように、洗練されたツールキットに関する詳細を自社の検出機能にすぐに組み込みました。

資産インテリジェンスに加えて、AI を利用してプロセス変数を監視し、異常を検出することができます。時間の経過とともにプロセスの動作を学習することで、誤った (または無害な) アラートを排除しながら、プロセス変数の傾向線を作成し、システム データを制御できます。これらの洞察を利用して、潜在的なプロセスの問題を特定し、根本原因の分析を拡張できます。

環境内の既知および未知の脅威を正確に検出する

さまざまなサイバーセキュリティの脅威を理解するためのツールとして既知-未知マトリックスを使用することは、斬新である程度有用なアプローチです。象限のどの位置にあるかに関係なく、セキュリティであれ運用であれ、すべての異常を継続的に検出し、優先順位を付ける必要があります。それには、OT/IoT 脅威を含むライブ インテリジェンス フィードと、ルール ベースと動作ベースの技術を組み合わせた AI を活用した検出エンジンが必要です。最も重要なことは、エンジンが OT/ICS プロトコルを理解し、対応するアナリストやオペレーターに負担をかけることなく、既知の脅威から未知の脅威まで、実際の脅威を正確に検出できるように、お客様の環境に合わせて特別にトレーニングされている必要があります。

サンディープ・ロタ

Sandeep Lota は、システムのブレークスルーを設計および構築する 20 年以上の進歩的な経験を持ち、世界最大の企業の国内および世界的なプロジェクトのサポートで実績のあるネットワーク セキュリティの専門家です。 Sandeep は、ネットワークおよびセキュリティ インフラストラクチャ向けの複雑で大規模なエンタープライズ ソリューションの革新に成功してきた長い実績を持っています。彼は業界の思想的リーダーとして知られており、北米全土および国際的に求められています。 Sandeep は、多くの最高水準のセキュリティおよびネットワーキング ベンダーから有効かつ高度な認定を取得しています。このトレーニングの背景と長年の実務経験により、彼は多くの高度なネットワーキングおよびセキュリティ コースのインストラクターとしての地位を確立しました。