トレンドマイクロは、産業用ロボットのレガシープログラミング言語の危険な設計上の欠陥と脆弱性に関する情報を提供します。 トレンドマイクロは、Politecnico di Milano と協力して、安全な OT 開発のための基本的なガイドラインを公開しています。
トレンドマイクロは、産業用システムで使用されるレガシープログラミング言語の設計上の弱点を指摘する新しい研究を発表します。 セキュリティ研究者は、Industry 4.0 システムの開発者がソフトウェア攻撃の対象領域を大幅に削減できるようにすることを目的とした、安全なプログラミングに関する新しいガイドラインも公開しています。 これにより、OT (Operational Technology) 環境でのサービスの中断を効果的に防ぐことができます。
産業用ロボットの脆弱な自動化プログラム
Politecnico di Milano (Politecnico di Milano) と共同で実施されたこの研究は、古いプログラミング言語の設計上の欠陥が自動化プログラムを脆弱にする方法を包括的に示しています。 操作は、攻撃者に産業用ロボット、自動化、および生産システムを混乱させ、知的財産を盗む機会を与えます。 レポートによると、産業オートメーションの世界では、見つかった脆弱性の悪用を検出して防止する準備ができていないようです。 したがって、業界は、ネットワーク セキュリティと安全な暗号化手法から実証済みのセキュリティ対策を採用して確立することが不可欠です。 この目的のために、研究者はすでに業界のリーダーと緊密に連絡を取り合っています。
Trend Micro の IoT セキュリティ エバンジェリスト ヨーロッパである Udo Schneider は次のように説明しています。 「今日、産業用オートメーションのソフトウェア バックボーンは、多くの場合、隠れた脆弱性を含むレガシー テクノロジに依存しています。 これらには、Urgent/11 と Ripple20 だけでなく、Y2K のようなアーキテクチャの問題のバリエーションも含まれます。 これらの課題を指摘するだけでなく、設計、開発、検証、継続的なメンテナンスのための具体的なガイダンス、および悪意のあるコードや脆弱なコードをスキャンしてブロックするツールを提供することで、Industry 4.0 の保護を再び主導したいと考えています。」
アクティブな攻撃者の可能性は考慮されていません
RAPID、KRL、AS、PDL2、PacScript などの以前のメーカー固有のプログラミング言語の開発では、アクティブな攻撃者の可能性は考慮されていませんでした。 これらの言語は何十年も前から存在しているため、現在では工場フロアでの重要な自動化タスクに不可欠ですが、それ自体を簡単に修復することはできません.
脆弱性は、メーカー固有の言語で記述された自動化プログラムの問題だけではありません。 研究者が例を挙げて示したように、新しいタイプの自己増殖型マルウェアでさえ、レガシー プログラミング言語の XNUMX つで作成できます。
Trend Micro Research は、Robotic Operating System Industrial Consortium と緊密に協力して、特定された問題の悪用可能性を減らす方法に関する推奨事項を作成しました。
ポリシーは攻撃の防止に役立ちます
ROS-Industrial Consortium Europe のプログラム マネージャーである Christoph Hellmann Santos は、次のように述べています。 「たとえば、企業の IT ネットワークに接続されている場合、攻撃に対して脆弱になる可能性があります。 したがって、ROS-Industrial とトレンドマイクロは、ROS で産業用ロボットを制御するための正しく安全なネットワーク設定のガイドラインを共同で開発しました。」
新しいガイドラインによると、産業用ロボットの自動動作を制御するこれらの言語に基づくタスク プログラムは、Industry 4.0 のリスクを軽減するために、より安全な方法で記述できます。 安全な作業プログラムを作成する際に考慮すべき重要なポイントは次のとおりです。
- 産業用機械をコンピュータとして扱い、作業プログラムを強力なコードとして扱います
- すべての通信を認証する
アクセス制御ポリシーを実装する - 常に入力検証を実行する
- 出力パージを常に実行する
- 詳細を開示せずに適切なエラー処理を実装する
- 適切な構成と展開手順を設定してください!
さらに、Trend Micro Research と Politecnico di Milano は、タスク プログラム内の脆弱なコードや悪意のあるコードを検出するために使用できる特許出願中のツールを開発し、それによって実行時の損傷を防ぎます。
脆弱なオープン ソース コードが 40 件発見されました
この調査の結果、最も広く使用されている 40 つの産業用ロボット プログラミング プラットフォームでセキュリティ関連の機能が特定され、合計 5 件の脆弱なオープン ソース コードが見つかりました。 あるベンダーは、脆弱性の影響を受けた自動化プログラムを自社の産業用ソフトウェア アプリ ストアから既に削除しています。 さらに XNUMX つの脆弱性が開発者によって確認され、有意義な議論が行われました。 脆弱性の詳細は、米国国土安全保障省の ICS-CERT (Industrial Control Systems Cyber Emergency Response Team) によるアラートでも公開されました。 この調査結果は、XNUMX 月 XNUMX 日に開催される Black Hat USA と、XNUMX 月に台北で開催される ACM AsiaCCS カンファレンスで発表されます。
詳細については、Trendmicro.com をご覧ください。
トレンドマイクロについて トレンド マイクロは、IT セキュリティの世界有数のプロバイダーとして、デジタル データ交換のための安全な世界の構築を支援しています。 30 年以上にわたるセキュリティの専門知識、グローバルな脅威研究、および絶え間ない革新により、トレンドマイクロは企業、政府機関、および消費者に保護を提供します。 当社の XGen™ セキュリティ戦略のおかげで、当社のソリューションは、最先端の環境向けに最適化された防御技術の世代を超えた組み合わせの恩恵を受けています。 ネットワーク化された脅威情報により、より優れた迅速な保護が可能になります。 クラウド ワークロード、エンドポイント、電子メール、IIoT、およびネットワーク向けに最適化された当社のコネクテッド ソリューションは、企業全体にわたって一元化された可視性を提供し、より迅速な脅威の検出と対応を実現します。