サイバー攻撃に対するNSWのオープン:研究者

NSW警察は、シドニーオリンピックの一環として他の機関と連携していたシステムを廃止し、過去10年間にわたってセキュリティを強化してきたが、プロジェクトに携わった1人の請負業者は、NSWインフラストラクチャは依然としてサイバー攻撃に対して脆弱であると述べた。

Wrightがさまざまなインフラストラクチャグループに関わっていることを示す文書の1つ(Michael Lee / Australiaのウェブサイトのスクリーンショット)

オーストラリアのウェブサイトとのインタビューで、彼のブログのポストに続いて、グローバルサイバーセキュリティ研究所(Craig Wright)の副社長であるDr Craig Wrightは、鉄道や電力のような重要なNSWインフラストラクチャにサービスを提供するITシステムが、誰もがその欠陥を知っていなければ、合理的に安全であると考えています。情報セキュリティ最悪の慣行は、しばしば「不明瞭さによるセキュリティ」と呼ばれています。

今や解散したオリンピック調整局の請負業者として、また他のいくつかの政府機関のために、NSWインフラストラクチャの監視制御およびデータ収集(SCADA)システムを含むさまざまなシステムを中央本部に結び付ける責任を負いました。これらのシステムには、交通、鉄道、水道、電力、緊急時対応、下水道システムが含まれていました。

彼は、警察は、誰かが彼らが意図していない地域にアクセスしていた場合、内務省に警告する措置を含む、非常に良い監視システムを持っていたが、人々が交通を嗅ぐことを止めなかったと述べた。彼は、警察のシステムがより良い例の1つであると付け加えた。他のシステムの多くでは、誰かがアクセスした後は、侵入者を停止または監視することはほとんどありませんでした。

ライト氏によると、オリンピックの後、これらの相互接続されたシステムを安全に保つために行われたことはほとんどありませんでした。 Wrightは、実装されてから10年経っても、最近6ヵ月前にはまだシステムにアクセスすることができたと述べています。

Stratsecの主要コンサルタント、Sebastien Jeanquierは、これらのシステムとサービスの機密性が高いため、何かを壊す恐れがあるため、パッチを当てたり切断したりしないことが多いと述べています。

その結果、今日、インターネットに接続されている脆弱なSCADAシステムが多くあります。これは、セキュリティ業界が長い間知られてきたものです。これらのシステムが現実的に大きな被害を引き起こすかどうかは、議論する」と述べた。

シドニー・ウォーターは、システムがアクセス可能かどうかをコメントすることを拒否し、AusgridとRailCorpはコメントのリクエストに応答しなかった。

NSW警察はオリンピックを支援するために他の機関と物理的に接続していることを確認したが、これはずっと以前から廃止されていたが、時には「支援活動と緊急対応」に類似の関係を確立している。

これらの機会に、警察が保有する個人情報を含む運用上の警察情報は、これらの接続にさらされません。システムのセキュリティを確保し、インフラストラクチャの脆弱性を適時に管理し、リスク管理アプローチに基づいて確実に管理するために、定期的な侵入テストが実施されています。

しかし、運輸管理センター(TMC)は、そのようなプロジェクトの存在を否定した。

Dr Wrightが指摘するプロジェクトは決して存在しなかった。 TMCのシステムは他の制御システムに接続されていない」とTMCは答えた。「TMCの交通管理システムへのアクセスはすべて厳しく制限されている。 TMCシステムは、専門のインターネットセキュリティ会社を含む定期的にテストされています。トラフィック管理システムへの攻撃や不正アクセスの記録はありません。

革新、?M2M市場がブラジルに戻ってくる、セキュリティー、FBIがCrackasのメンバーを逮捕米政府関係者のハッキングに対する態度、セキュリティ、Wordpressは重要なセキュリティホールを修正するために今更新するようユーザーに促す、セキュリティー、ホワイトハウスは連邦最高責任者情報セキュリティ責任者

ライト氏は、TMCのケースでは、ずっと前から起こって以来、プロジェクトが存在していたことをおそらく単純に知らなかったと言いました。彼は、設​​立されたシステムは、おそらくスタッフが来て行ったときに見過ごされたり忘れられたりしていると言いました.TMCはここ数年で構造変化を経験しました。 TMCの機能的および組織的な管理は、昨年8月31日に道路交通局からNSWの交通局長に移管されました。

しかし、Wrightの主張によれば、彼はこれらの組織に関与していると主張している。オーストラリアのウェブサイトは、ネットワークダイアグラム、ファイアウォールの設定、プロジェクトの電子メール、シドニーオリンピックに遡るレビュー書類などの機密文書を捜査しています.WAYはOCA、Ausgrid(当時はEnergyAustralia)、Rail Access Corporation RailCorpの所有権)とNSW警察。

ライト氏が重大な被害を受けていると考えるNSWのインフラストラクチャシステムだけではありません。

(Seatback TVコンピュータでは画像は表示されません; SamではCC2.0)

Wrightによれば、747のエンジン管理システムは、SolarisベースのUnixシステム上で動作します。飛行機の飛行中にエンジンの問題が発生した場合、航空機のエンジニアは「空気中で修正する」ことができます.Wrightが着陸する場所を見つけるのが好ましいだろうと述べています。しかし、彼はコントロールが良いとは言え、セキュリティの欠如やセキュリティの欠陥があっても、誰もその存在を知ることができないと考えられていたため、多くが実装されていたという。

Wrightの場合、彼はエンジン管理システムのテストを請け負っていませんでした。その責任はビデオシステムにありましたが、エンジン管理システムの唯一のセキュリティ対策はNATベースのフィルタであることに気付きました。

NAT、またはネットワークアドレス変換は、NATの背後にある多数のプライベートIPアドレスを表す公開インターネットプロトコル(IP)を持つことによって機能します。 NATは、パブリックIPアドレスによって受信されたパケットをNATの背後にあるコンピュータに転送します。パブリックIPアドレスは、パブリックIPアドレスを知らないまま転送されます。 NATの背後にあるコンピュータは、パケットを送信するときに、そのIPアドレスをパブリックIPアドレスに「変換」します。 Wrightによると、彼らは着信トラフィックをフィルタリングしますが、すべての発信トラフィックを許可します。

このような状況下で、Wrightは、SSL対応のWebサイトへの発信接続、バックドアのインストール、そしてインターネットからのネットワークへのアクセスが可能になると述べた。

彼はまた、IPv6の必要な導入は、NATベースのフィルタが提供する非常に限られたセキュリティを削除し、セキュリティのためのファイアウォールを設定する伝統的なアプローチを有効にしないと言いました。

「ファイアウォールは、純粋なIPv6環境では実際には機能しません。人々はできることを試してみるでしょうが、技術を理解していないか、うまく動作しないベンダーソリューションを推進しています」IPSecはIPv6のコアコンポーネントです。暗号化された通信は、あなたがそれらをフィルタリングできないということです」と彼は言いました。

ジャンキエは言い争いました。

「正しく設計され設定されていれば、IPv4と同じ程度にIPv6を保護することが完全に可能であり、場合によってはIPv6の暗号化機能が組み込まれているため、

いずれにしても、適切な知識があれば、地上の誰かが空中の航空機のシステムに侵入する可能性があるとWrightは述べています。彼は、攻撃が必要とする知識のために、国家が後援するか、高度に洗練される可能性が高いと主張しているが、情報を売ったり、誤って情報を開示したりすることによって、

これは、平均的な寝室のハッカーがそうすることはできないだろうと考えていたが、ハイエンド、スポンサー、または政府のハッカーになると、多くの場合、彼らはおそらく既にその穴を知っていただろうが、彼らについて何もしたくない。彼は、彼らの開示によって将来的に悪用される可能性のあるツールが削除されると述べた。

Jeanquier氏は、コンピューター上の飛行機をハイジャックすることは可能かどうかを確かめることは難しいと述べ、航空機がインターネットから遠隔制御されているのは初めてではないと述べた。 Jeanquierは、米国の警察車両(PDF)のライブオーディオとビデオの機能に遠隔からアクセスすることができたセキュリティ研究者が米国のどのように遠隔から車を始動させたのかを指摘した。

オーストラリアのウェブサイトは、コメントのためにボーイングに連絡したが、出版時には何の返答もなかった。

Wright氏は、これらの脆弱性が存在していたのではなく、LulzSecのような脆弱性グループが「lulz」のハッキングを止め、意図的に人々を危険にさらす可能性があるということを最大の恐怖で言った。同氏は、最近、米国の法執行当局の個人的な内容を最近漏らし、「土曜日に撃ちなさい」と告げるハッカーたちがこれを起こしている可能性があると示唆した。

Wrightは、大規模な事件が起こって情報セキュリティに注意を呼びかけるかもしれないが、全体的に言えば、9/11をセキュリティに対する過度の反発の完全な例として挙げている。彼は、チェックリストと設備の迅速な解決策は空港のスクリュードライバーを没収し、航空機のビジネスクラスの乗客にステーキナイフを提供する現行の習慣と同じであろうと述べたが、問題に対処するようだが解決しない根本的な原因:人々。

Wrightは、人々が最も弱いリンクと見なされるので、大きな事件が発生する前に、より教育を受ける必要があると言いました。

「人々は人になるだろう。人々は愚かなことをしていることを知る必要があり、何が起きているのかを知るために物事を整える必要がある」

指が交差したら、私たちは教育を受けます。時間がかかりますが、私たちが命を失うまで待つことはしません。私たちはそれまでに何かをしなければなりません。

彼は、防衛信号局などの機関には、いくつかの優れた基準と慣行がありますが、連邦政府内の人々は目覚め始めたばかりでした。

これらのことを真剣に受け止める必要があり、LulzSecや他のグループが私たちのためにそれをすることを決めるまで待つことはできません。

M2M市場はブラジルに戻ってくる

FBIは、米国の政府関係者をハッキングしたとの態度で、Crackasのメンバーを逮捕した

WordPressは、重要なセキュリティホールを修正するために今アップデートするようユーザに促す

ホワイトハウス、連邦最高情報セキュリティ責任者を任命