Tenable ブログ
ブログ通知を受信する
公共水道事業におけるサイバーセキュリティ対策に関する連邦政府の推奨事項: Tenable がお手伝いできること
水インフラと重要インフラに対するサイバー脅威を受け、米国環境保護庁 (EPA : Environmental Protection Agency) は各州に対して、超党派インフラ法案で飲料水州回転基金に供給された増額資金を、サイバーセキュリティ防御の強化に活用するよう推奨しています。 このブログでは、必要な情報と Tenable がお役に立てる内容をご紹介します。
米国の上下水道システムが悪意のある攻撃者に狙われていると警告する共同サイバーセキュリティアドバイザリが、連邦捜査局 (FBI) 、アメリカ国家安全保障局 (NSA)、サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA)、環境保護庁 (EPA) から発表されて 18 か月近く経ちました。 また 2021 年 2 月には、フロリダ州オールズマーの浄水処理システムに有害物質を加える企てが判明しました。米国EPA は、こういった施設でサイバーセキュリティのベストプラクティスを採用することが「極めて重要」であると述べています。
公共水道に対するサイバー攻撃は、確かに米国に限ったことではありません。 例えば、英国の水道事業者の South Staffordshire PLC は、2022 年 8 月にランサムウェア攻撃の被害を受けました。 しかし、米国特有の水道システムがサイバーセキュリティの強化をとりわけ難しいものにしています。地域ごとに州や地方自治体や民間企業など異なる団体によってシステムが管理されているためです。
EPA は「Water Sector Cybersecurity Brief for States (州の水道部門におけるサイバーセキュリティの概要)」の中で、すべての飲料水と下水の事業者が以下の緩和措置を講じるように推奨しています。
- 悪用されている既知の脆弱性に対する修正の優先順位付け
- 強力なパスワードによる多要素認証の有効化と適用
- 未使用ポートのクローズ
- 不要なアプリケーションの削除
また、近く EPA は州に対して、約 1,600 の水道システムについて検査範囲を拡大してサイバーセキュリティ脅威を対象に含めるよう要請する見込みです。
システムの老朽化と既知の脆弱性がサイバーリスクを拡大
2021 年 10 月の共同アドバイザリにあるように、水道システムを運営する自治体では「サイバーセキュリティに関する一貫した高い基準」を採用するためのリソースが不足していることが多く、それが「サポート切れまたは古いオペレーティングシステムとソフトウェア」の使用につながっている可能性があります。 この共同アドバイザリによると、こういった古いシステム、制御システムデバイス、ファームウェアバージョンは、水道システムネットワークを「誰でもアクセス可能でリモート実行が可能な脆弱性」にさらすことになります。 このようなデバイスの侵害に成功すると、システム制御の喪失、サービス拒否、機密データの損失につながる可能性があります。
特に懸念されるのはランサムウェアです。 2022 年 11 月 17 日に発表された共同サイバーセキュリティアドバイザリでは、ランサムウェアの攻撃者が幅広い企業や重要なインフラ部門を狙っていると警告しています。
「米国環境保護庁は各州に、大幅に増額された SRF 資金を、自然災害、気候変動、バイオテロリズムやサイバー攻撃など種類を問わず、あらゆる脅威に対して水道システムの強靭性を高めるインフラプロジェクトに活用するよう奨励しています」
1996 年に飲料水安全法の一環として制定された飲料水州回転基金 (DWSRF) は、公営および民間の水道システムの飲料水インフラプロジェクトに資金援助を行うものです。 2021 年 11 月に署名された超党派インフラ法案では、DWSRF に対して 117 億ドルが追加供給されることになりました。 2022 年から 2026 年の会計年度で利用可能となるこの資金は、米国の水インフラ史上における最大の投資額となります。 EPA のファクトシート「Bipartisan Infrastructure Law: State Revolving Funds Implementation Memorandum (超党派インフラ法案: 州回転基金の実施覚書)」には、「EPA は各州に、大幅に増額された SRF 資金を、自然災害、気候変動、バイオテロリズムやサイバー攻撃など種類を問わず、あらゆる脅威に対して水道システムの強靭性を高めるインフラプロジェクトに活用するよう奨励する」と明確に述べられています。 また EPA は、ファクトシート「Supporting Cybersecurity Measures with the Drinking Water State Revolving Fund (飲料水州回転基金によるサイバーセキュリティ対策支援)」で、DWSRF を活用し、サイバーセキュリティ対策で州政府の取り組みやコミュニティを支援する方法について詳しく説明しています。
Tenable は水道事業者が脆弱性を特定し優先順位を付ける手段を提供
Tenable には、上下水道サービスのネットワーク接続デバイスの保護を支援してきた豊富な経験があります。 当社のソリューションを使用すると、IT とオペレーショナルテクノロジーが融合された環境を完全に可視化し、正確な資産インベントリの構築、脆弱性の特定、資産の状況や背景に基づいたリスクの優先順位付けを行うことができます。
例えば、ローリー市では Tenable.ot を活用することで、インベントリ管理の時間を減らし、水道システムの脅威の調査や脆弱性の修正に注力できる時間を増やせるようになりました。 Tenable の高度な脅威検出エンジンでは、ネットワークとデバイス層で不正と疑われる動きを特定し、一目でわかるエンタープライズセキュリティダッシュボードを介してセキュリティチームに通知して、サイバー脅威への迅速な対応を実現できます。 Tenable は監査ログを保持し、偶発的または悪質な変更を特定するためにオペレーショナルテクノロジーデバイスでの設定変更を監視して、企業ポリシーおよびコンプライアンス要件をシステムが満たしていることを確認します。
Tenable は、産業用制御システム (ICS) セキュリティ市場のリーダーであり、サイバーセキュリティ分野で世界中の 4 万以上のお客様から信頼されるブランドです。 脆弱性カバレッジのリーダーたる Tenable Research チームと、特許取得済みのアクティブクエリテクノロジーに支えられた公共水道システムでは、重要な水道サービスを中断しようと試みる攻撃者を Tenable の力で阻止します。
もっと詳しく
関連記事
Cybersecurity Snapshot: RansomHub Group Triggers CISA Warning, While FBI Says North Korean Hackers Are Targeting Crypto Orgs
September 6, 2024Cybersecurity teams must beware of RansomHub, a surging RaaS gang. Plus, North Korea has unleashed sophisticated social-engineering schemes against crypto employees. Meanwhile, a new SANS report stresses the importance of protecting ICS and OT systems. And a Tenable poll sheds light on cloud-native VM. And much more!
Cybersecurity Snapshot: Schools Suffer Heavy Downtime Losses Due To Ransomware, as Banks Grapple with AI Challenges
August 30, 2024The cost of ransomware downtime in schools gets pegged at $500K-plus per day. Meanwhile, check out the AI-usage risks threatening banks’ cyber resilience. Plus, Uncle Sam is warning about a dangerous Iran-backed hacking group. And get the latest on AI-system inventories, the APT29 nation-state attacker and digital identity security!
Cybersecurity Snapshot: First Quantum-resistant Algorithms Ready for Use, While New AI Risks’ Database Is Unveiled
August 16, 2024NIST has released the first encryption algorithms that can protect data against quantum attacks. Plus, MIT launched a new database of AI risks. Meanwhile, the CSA published a paper outlining the unique risks involved in building systems that use LLMs. And get the latest on Q2’s most prevalent malware, the Radar/Dispossessor ransomware gang and CVE severity assessments!
Microsoft’s September 2024 Patch Tuesday Addresses 79 CVEs (CVE-2024-43491)
September 10, 2024Microsoft addresses 79 CVEs with seven critical vulnerabilities and four zero-day vulnerabilities, including three that were exploited in the wild.
CVE-2021-20123, CVE-2021-20124: DrayTek Vulnerabilities Discovered by Tenable Research Added to CISA KEV
September 9, 2024With patches out for three years, attackers have set their sights on a pair of vulnerabilities affecting DrayTek VigorConnect.
Cybersecurity Snapshot: RansomHub Group Triggers CISA Warning, While FBI Says North Korean Hackers Are Targeting Crypto Orgs
September 6, 2024Cybersecurity teams must beware of RansomHub, a surging RaaS gang. Plus, North Korea has unleashed sophisticated social-engineering schemes against crypto employees. Meanwhile, a new SANS report stresses the importance of protecting ICS and OT systems. And a Tenable poll sheds light on cloud-native VM. And much more!
- Government
- OT Security