Skip to content
Published on

資産台帳にないものはスキャンされない — 上水道PLC事件が教えるOT露出管理

🇰🇷KO🇺🇸EN🇯🇵JA🇨🇳ZH
Split View필사 모드
シェア
Authors

はじめに — 水を煮沸して使えという案内が出るまで

2026年7月30日、米国のCISAが上下水道部門に対する警報を出しました。最初の一文はこうです。上下水道部門のPLCを標的にする脅威アクターが大きく増えているのを現在観察中であり、公に露出したPLCとその他の運用技術を可能なかぎり早くインターネットから取り除くように、というものです。

この警報が他のセキュリティニュースと違う点は、結果がデータではなく水だということです。原文は、この活動が煮沸勧告と長期間の手動運転につながったと書いています。

この記事は、CISAの警報文とその警報が参照するCISAのファクトシートを直接読んで整理したものです。ニュースの要約ではなく、勧告文に書かれた順序と理由を辿りながら、それがなぜその順序なのかを説明してみます。

警報が観察した行為と、観察しなかったこと

まず事実関係を正確に移します。警報文が観察した脅威行為は二つです。

露出したPLCを標的にしたアクターたちは、パスワードを変えて運用者を締め出し、IPアドレスを変えてPLCを切り離しました。

この二文が重要な理由は、ここにエクスプロイトがないからです。ゼロデイもなく、メモリ破壊もなく、精巧なペイロードもありません。インターネットに露出した機器の管理インターフェースにアクセスして設定を変えた、それがすべてです。

警報文は、露出したOT資産の危険をこう並べます。破壊、設定変更、運用の中断、そして深刻な場合には物理的損傷です。

そして標的の範囲についてはこう書きます。脅威アクターたちは規模を問わずすべての上水道機関を狙っており、成熟したサイバーセキュリティのプロセスを備えた組織でも自らの外部接続を検証しなければならない、というものです。

帰属の主張と技術的勧告を分けて読む

この件には報道が付いてきました。The Registerが2026年8月7日、上水道システムのコントローラーはインターネットにあってはならないと元NSA長官が述べた、という趣旨の見出しの記事を出し、見出しにはイランの関与が疑われる旨が言及されています。

ここで二つを明確にしておきます。

第一に、私はその記事の本文を直接読めませんでした。アクセスが遮断されており、アーカイブにも残っていませんでした。ですからこの記事では、その記事の具体的な主張を再陳述しません。

第二に、そしてより重要なのですが、CISAの警報文そのものはいかなる国家も組織も名指ししていません。 観察された行為と勧告だけが書かれています。

この区別には実務的な意味があります。帰属は情報機関と捜査機関の領域であり、公開の発言はカンファレンスの発表やインタビューの形で出てきて、信頼度は文書ごとに異なります。一方であなたが取るべき措置は帰属と無関係に同一です。 誰がやったのかが確定するのを待ちながら露出したPLCをそのままにしておくことに、何の利益もありません。

報告書を読むときは、「この文書が観察したこと」「この文書が推定したこと」「別の人が主張したこと」を三つの欄に分けておく習慣をお勧めします。セキュリティの分野では、この三つが流通の過程でよく混ざります。

資産台帳にないセルラーモデム

警報文でもっとも実務的に有用な一文はこれです。

この標的活動には運用者、ベンダー、またはシステムインテグレーターが設置したセルラーモデムが含まれ、これらは文書化されていないか、定期的な攻撃表面スキャンに含まれていない可能性がある、というものです。

この一文にOTセキュリティの構造的な問題が圧縮されています。

攻撃表面スキャンはたいてい資産台帳から出発します。 知っているIP帯域、知っているドメイン、知っている回線をなぞります。ところがセルラーモデムは通信事業者のIPを受け取ります。あなたの会社のIP帯域にはありません。ファイアウォールを通りません。ネットワーク図にもありません。

しかもこのモデムはたいていあなたが設置していません。 ポンプ製造元のエンジニアが遠隔診断のために付けておいたか、インテグレーターが試運転の便宜のために付けて外さなかったか、夜間の呼び出しを減らそうと現場担当者が自分で付けたかです。三つとも善意であり、三つともIT部門は知りません。

見つける方法はスキャンではなく調査です。

  • 遠隔支援契約のあるすべてのベンダーに、現場に設置した通信機器の一覧を書面で要求します。
  • 通信事業者の請求書を確認します。回線料金は消えないので、忘れられたモデムのもっとも確実な痕跡です。
  • 各現場を物理的に確認します。キャビネットのなかのアンテナは、図面になくても目には見えます。
  • ShodanやCensysのような検索エンジンで、組織名、都市名、既知の機器バナーで検索します。CISAもStuff Off Searchのページで同じアプローチを案内しています。

この作業には道具より権限が必要です。ベンダーに尋ねられる立場、現場へ行ける立場、請求書を見られる立場でなければなりません。

緩和策の順序がなぜその順序なのか

警報文の勧告は四項目で、順序に意味があります。

1. PLCをインターネットから切り離す。 運用目的の遠隔アクセスは、PLCへ直接ではなくVPNやゲートウェイ機器を経由しなければなりません。

2. パスワード保護を有効にし、既定のパスワードを変える。

3. IPの許可リストを適用する。 既知のエンジニアリング用ノートPCやその他の中核OT資産からのみ遠隔アクセスができるよう制限します。

4. PLCをインターネットから切り離したうえで、パスワードが変更されて締め出される状況に備え、クリーンであることが確認されたPLCイメージのバックアップを確保する。

1番が2番より先であることが核心です。私たちはふつう逆にやります。パスワードから強化し、多要素認証を付け、それからネットワークを整理します。IT資産ではそれが合理的です。

OTではそうではありません。理由はCISAのOT緩和ファクトシート（2025年5月6日付、CISAとFBI、EPA、DOEの共同）に書かれています。OT機器は現代の脅威に耐える認証と認可の方式そのものがなく、公開IP帯域で開いたポートを検索するだけで素早く発見されるということです。同じ文書は、脅威アクターたちが「ブラウザさえあれば誰でも使える、単純で反復可能で拡張可能なツール」を使うと書いています。

つまりパスワードを強化しても、そのインターフェースがインターネットにあるかぎり、危険の性質は根本的に変わりません。逆にインターネットから外せば、残り三項目の難易度がすべて下がります。露出の除去が、ほかの統制を有効にする前提条件です。

誰も用意していない復旧の前提条件

四番目の勧告はもう一度読んでみる価値があります。

「PLCをインターネットから切り離したうえで、変更されたパスワードで締め出される場合に備え、クリーンであることが確認されたPLCイメージのバックアップを確保してください。」

この一文がなぜ必要なのかは、観察された攻撃行為と対にして読むと明確になります。攻撃者がやったことはパスワードを変えて運用者を締め出したことでした。つまりあなたが取り戻さなければならないのはデータではなく機器へのアクセス権限です。

警報文はこれについて具体的な参考資料まで付けています。Rockwell Automation MicroLogix 1400 PLCの所有者、運用者、インテグレーターは、パスワードが分からないときにコントローラーへのアクセスを復旧する方法についてのRockwellの通知を参照せよ、というものです。特定の型番が勧告文に登場するという事実自体が、このシナリオが仮定ではなく実際に発生していることを示しています。

実務的に用意しておくべきものはこうです。

  • 各PLCの現在のプログラムと設定をダウンロードしたファイル、そしてそれがいつどんな状態で取得したものかの記録
  • そのファイルが実際に復元可能かを検証した履歴（取得しただけで復元してみたことのないバックアップはバックアップではありません）
  • ベンダーごとのパスワード復旧手順と、その手順が工場出荷状態への初期化を要求するかどうか
  • 初期化が必要なら、初期化後にプログラムを入れ直すのにかかる時間と、その時間のあいだの運転計画

最後の項目がITのバックアップともっとも違う地点です。サーバーは復旧のあいだサービスを止めれば済みます。浄水場は復旧のあいだも水を送り続けなければなりません。

手動運転の能力は訓練ではなくセキュリティ統制だ

そこでCISAのファクトシートの五番目の緩和策が出てきます。OTシステムを手動で運転する能力を訓練し維持せよ。

原文の表現で、事故直後に速やかに運用を復旧するために手動制御へ戻せる能力が必須であり、事業継続計画と災害復旧計画、フェイルセーフ装置、アイランディング能力、ソフトウェアのバックアップ、予備システムを定期的に試験して、事故時に安全な手動運転が可能なようにしておかなければならない、というものです。

この項目をセキュリティ統制の一覧に入れるのが不慣れに感じられるなら、警報文が観察した結果をもう一度見てください。この事件の実際の影響は煮沸勧告と長期間の手動運転でした。手動運転が可能だったからこそ、水の供給が止まらなかったのです。

セキュリティ投資を語るとき、私たちはたいてい予防に予算を使います。ところがOTで実際に被害を決めるのは、予防の完成度ではなく自動制御を失ったときにどれだけ長く持ちこたえられるかです。そしてその能力は文書では確保されません。人が手でやってみたことがあってはじめて確保されます。

ITのセキュリティ習慣がOTで失敗する地点

最後に、この事件から一般化できることを整理します。

第一に、パッチ優先の発想が通用しません。 観察された攻撃にエクスプロイトがありませんでした。脆弱性管理のプログラムをどれほどよく回しても、「露出した管理インターフェースに既定のパスワード」という問題はCVE番号を持っていません。

第二に、資産台帳が統制の上限です。 セルラーモデムの事例が示すとおり、知らない資産にはどんな統制も適用されません。そしてOT環境の資産台帳はITよりはるかに頻繁に間違っています。設置の主体が複数あり、寿命が数十年であり、文書化の慣行が違うからです。

第三に、サプライチェーンがそのままアクセス経路です。 CISAのファクトシートは、誤った設定が標準的な運用中に、システムインテグレーターによって、マネージドサービス提供者によって、あるいは製造元の既定の製品設定として入り込みうると明示し、これらと定期的に意思疎通することを勧告します。遠隔支援契約は便利機能ではなく、信頼境界の拡張です。

第四に、復旧目標をサービス水準ではなく物理的な結果で定義しなければなりません。 システム可用性99.9パーセントではなく、「煮沸勧告を何日以内に解除できるか」です。この翻訳ができていないと、経営陣との対話が成り立ちません。

インターネットに繋がっていてはいけないものが本当に存在します。そしてその判断は、利便性の議論ではなく、その機器が誤動作したときに何が起きるかから出発しなければなりません。

参考資料

本文の引用はすべて上のCISA文書二件から移したものです。報道に登場した帰属の主張は、原文を確認できなかったため再陳述していません。

Discuss on Twitter • View on GitHub