主なポイント

✓ CISAは、ロックウェルPLCをインターネットから直結させないように指示しています。
✓ イランに関連するAPT活動がOT環境で増加していることが報告されています。

社会的影響

! この指示に従わない場合、重要なインフラがサイバー攻撃にさらされるリスクが高まります。
! OT環境のセキュリティ強化は、公共の安全や経済的安定性に直結する重要な課題です。

編集長の意見

ロックウェルPLCのインターネット直結を解除するようCISAが呼びかけたことは、サイバーセキュリティの観点から非常に重要な措置です。特に、イランに関連するAPTグループがOT環境を標的にしていることは、これまでのサイバー攻撃の傾向を考慮すると、非常に懸念される事態です。これらの攻撃者は、PLCの制御ロジックを悪用し、運用の中断や経済的損失を引き起こす可能性があります。したがって、CISAの指示に従い、PLCをインターネットから切り離すことは、企業や組織が直面するリスクを軽減するための第一歩です。さらに、OT環境のセキュリティを強化するためには、VPNを使用した強力な認証や、不要なOTプロトコルポートのブロック、ログの監視など、長年のICSベストプラクティスを遵守することが求められます。今後、企業はこれらの対策を講じることで、サイバー攻撃に対する防御力を高めることができるでしょう。また、OT環境のセキュリティは、公共の安全や経済的安定性に直結するため、社会全体での取り組みが必要です。企業は、サイバーセキュリティの専門家と連携し、最新の脅威情報を常に把握し、適切な対策を講じることが重要です。

解説

CISAがロックウェルPLCの「直結」を今すぐ外せと要請──偽データとロジック改ざんが示すOT防御の臨界点です

今日の深掘りポイント

インターネット直結のPLC/HMIは「入口」ではなく「足場」になっています。攻撃者は正規ツールとプロトコルを使ってロジックと表示を静かにねじ曲げます。
露出しやすいOTポート（例: EtherNet/IP/CIPの44818, 2222）を通じた到達性は、アルファやベータ版の脅威ではなく、すでに商用運用への影響が生じる「量産段階」のTTPです。
CISAの要請は米国内向けですが、対象デバイスはグローバルに普及し、同等構成は日本の製造・水道・ビル管理にも広く存在します。地理よりもトポロジがリスクを決めます。
HMI/SCADA上の偽データは「異常停止」より厄介です。気づかれにくい「誤った正常」を作り出し、品質事故・設備劣化・安全マージンの侵食を招きます。
いま必要なのは“遮断→見える化→最小権限→検知強化”の順での即応です。特に、エンジニアリング操作（ダウンロード／モード切替／アラーム設定変更）の監査と比較基盤を先に整えるのが費用対効果で勝ちます。

はじめに

CISAがロックウェルを名指ししつつ、他ベンダのPLCも含めて「インターネット直結をやめよ」と即時の構成変更を求めています。背景には、イラン関連とされるAPTのOT志向が加速し、実運用を止める・狂わせる事案が目立っていることがあります。しかも単純な破壊行為だけでなく、PLCプロジェクトの不正操作やHMI/SCADAでの偽データ表示といった「気づきにくい介入」が伴います。これはIT領域のランサムウェア対策の延長線では捉えきれない位相で、OTならではの検知・抑止の型へ舵を切る必要がある局面です。

本稿では、公開情報で示された事実を足場に、いま現場が手を付けるべき優先順位と、攻撃者の作法（MITRE ATT&CK for ICSの観点）から見た現実的な脅威シナリオを整理します。緊急性と実行可能性がとても高い案件で、経営意思決定と運用の連携が問われます。

深掘り詳細

事実関係（いま起きていること）

CISAは、重要インフラ運営者に対し、ロックウェルを含むPLCのインターネット直結を直ちにやめ、ファイアウォールや安全なゲートウェイの背後に配置するよう強く要請しています。OTとITのセグメンテーション強化が明確に求められています。
直近の攻撃報告では、PLCプロジェクトファイルの改ざん、HMI/SCADAの偽データ表示が確認され、運転中断や経済損失が生じています。これは「視界の喪失（Loss of View）」と「制御の劣化（Impair Process Control）」が同時進行するパターンです。
ロックウェルに関連するOTプロトコルで一般的なポート（44818や2222）に対して悪性トラフィックが観測されており、構成誤りやポート開放、NAT/ポートフォワード経由の露出が悪用されやすい土壌になっています。
CISAの呼びかけの背景には、イラン関連APTのOT志向が上がっている情勢があり、米国内のみならず、同一アーキテクチャを持つ国外設備にも波及し得る構図です。

参考（セカンダリ情報、要一次情報での追認を推奨）: GBHackers: CISA Urges Removing Rockwell PLCs from the Internet

編集部インサイト（なぜ今、何が新しいか）

「直結を外せ」は古典的ベストプラクティスですが、今回は偽データ操作や正規エンジニアリングツールの悪用がセットで語られています。つまり、到達性の遮断だけでなく「正規操作の監査と可視化」が同じくらい重要な段階に来ています。具体的には、ロジックのダウンロード履歴、RUN/PROGRAMモード切替、ファーム書換え、アラーム設定変更、HMI画面・タグ定義の変更といった操作イベントの追跡です。
IT/OTの境界で“便利にした積み重ね”が、攻撃者にとっての動脈になりがちです。保守ベンダ向けの恒常VPN、ターミナルサーバ経由の横断アクセス、OPCゲートウェイの過剰権限、リモートI/Oのブリッジ設定などがその代表です。今回のメッセージは、便利さのための例外を“ゼロベースで棚卸す”転換点だと捉えるべきです。
メトリクス全体像からは、緊急性と実行可能性、信頼性が高く、目新しさは中程度という印象です。つまり、未知のゼロデイに怯えるより、露出の除去と基礎的なアーキテクチャ改善で大半のリスクを初期低減できる案件です。一方で「偽の正常」を作るTTPは運転・品質・安全の全方位に効くため、運用チームと一体の検知・点検プロセスを先行投資として組む価値が高いです。

脅威シナリオと影響

以下は編集部の仮説に基づく代表的シナリオです。MITRE ATT&CK for ICSのタクティクス/テクニックに沿って整理します（具体的なテクニックIDはベンダ構成に依存するため割愛します）。

直結PLC/HMIへの到達→ロジック改ざん→アラーム無効化

入口: インターネット露出したPLC/HMIへの到達（既定認証/弱認証、既知脆弱性、誤設定のポートフォワード）。
実行/永続化: 正規エンジニアリングツール（例: プロジェクト/ロジックのダウンロード、RUN/PROGRAM切替）を悪用して制御ロジックを変更。
抑止回避/視界喪失: アラーム閾値やHMIタグを改変し、オペレータの気づきを遅延（Inhibit Response Function、Manipulate View）。
影響: 品質逸脱、設備損耗、安全余裕の侵食。停止が起きる前に「悪い運転」を長引かせるのが厄介です。
検知ヒント: 短時間に集中するロジックDL、頻繁なモード切替、アラーム閾値の連続変更、44818/2222への異常な外部送信。

ベンダ常設VPN/リモートツール経由の橋渡し→OT資産の正規操作乗っ取り

入口: ベンダアカウント/端末の侵害（フィッシング/脆弱性）から、常設VPNやリモートツールに侵入（Valid Accounts/Lateral Movement）。
実行: ゲートウェイ/エンジニアリング端末から、OT内の複数PLCに対するプロジェクト一斉更新を装う操作。
視界喪失: 変更承認ワークフローのバイパス、HMIのログ出力/画面上のステータス偽装。
影響: 巡回設備で広域・同時多発的に運転点をずらし、抜け漏れ点検を誘発。
検知ヒント: ベンダ時間外のVPN接続、OTジャンプホストを経由しない直接アクセス、エンジ端末の操作ログ不整合。

ITからOTへのピボット→データ改ざん中心のサイバー・フィジカル攻撃

入口: IT資産への侵入を起点に、弱い境界（共有認証、未分離のルーティング、OPC/DB接続）を経てOTへ横展開。
実行: 生産実績/計測データベースやヒストリアンのレコード書換え、HMI参照タグの間接改変（Collection/Manipulate View）。
影響: オペレーションは「正常」に見えつつ、生産計画・品質判定・規制報告が崩れる。後追いの原因究明が困難。
検知ヒント: ヒストリアンへの直接SQL/タグメタ変更、HMIプロジェクトの差分増加、IT側からOT側I/Fへの新規フロー。

破壊型/恐喝型の混合攻撃→操業停止を人質にとる

入口: いずれの入口でも可。IT側に暗号化/破壊を発動し、OT側は安全のため停止を強制される“間接停止”。
実行/影響: 制御そのものを壊すのではなく、安全基準を満たせない状態に追い込み、操業を止めさせる。復旧に工程試験・バリデーションが必要となりダウンタイムが長期化。
検知ヒント: IT側の異常に同期したOT側の安全計装の頻発アラーム、工程バリデーションのやり直し要求増大。

共通の留意点として、攻撃者は「正規プロトコルと正規ツール」を使います。したがって、ペイロード検知だけに頼らず、エンジニアリング操作の監査・比較・二重承認といった“運用ログの整備”が、技術対策と同じ重みを持ちます。

セキュリティ担当者のアクション

緊急度が高い順に、現場で動かせる実務に落とします。設備停止の可否、ベンダ保守契約、法令順守を各社の前提で調整しながら進めるのが肝要です。

24〜48時間（遮断と可視化の初動）
- 直結の即時排除: ルータ/NAT/ポートフォワードで外部到達するPLC/HMI/エンジ端末をゼロにします。特に44818/2222は境界で遮断します。到達性は“拒否が既定値（deny by default）”にします。
- 資産と経路の現地把握: OT資産台帳を現場で暫定更新し、どの経路から誰が入れるかを実配線・設定で確認します（図面や過去メモの鵜呑み禁止）。
- 変更フリーズ: 本件対応期間中、エンジニアリング変更を原則凍結し、やむを得ない変更は二重承認・立会い・ログ採取を徹底します。
7日以内（最小権限の骨格づくり）
- OT境界のジャンプホスト化: ICS DMZに踏み台を設け、リモート保守はここ経由・多要素認証・時間/端末制限・録画を義務化します。ベンダ常設VPNは一旦停止し、必要時のみワンタイムで発行します。
- ログの“どこで取るか”を決める: PLC単体ログに期待せず、エンジ端末、HMI/SCADA、資産管理（例: プロジェクト版管理）の操作監査を有効化します。ロジック/プロジェクトのハッシュ・署名・差分比較の運用を開始します。
- アラーム衛生の点検: アラーム閾値・無効化・抑制の設定を棚卸し、工程の“最後の砦”が簡単に無効化されないよう運用ルールを定義します。
30日以内（検知と復旧の体力づくり）
- ふるまい検知の仕掛け: OT側でのエンジ操作（ダウンロード、RUN/PROG切替、ファーム更新、HMIプロジェクト公開）をSIEMに集約し、時間外・連続・多拠点同時といった単純な相関から着手します。
- バックアップと復元演習: PLCロジック、HMI/SCADAプロジェクト、ヒストリアン構成をオフラインにバックアップし、テスト環境での復元手順を手順書レベルまで落とします（担当者交代を想定）。
- 権限の最小化: エンジニアリングツールおよびHMIの役割・権限を機能単位まで見直し、ダウンロード権限・閾値変更権限は限定します。
90日以内（構造的改善）
- ネットワーク分離の再設計: セル/ゾーン分割、ICS専用ファイアウォール、必要に応じデータダイオード等の一方向転送を検討します。OPC/ヒストリアン/レポートの流れはDMZ集約を原則とします。
- ベンダ連携の標準化: リモート保守のSLA・手順・監査証跡・緊急時停止プロセスを契約に織り込み、運用レビューを定例化します。
- 教育と演習: OT運転・保全・情報システムの三者で、偽データを含む事案想定の机上演習/現地訓練を行い、検知から安全停止、復旧検証までの時間を短縮します。
ハンティングの観点（継続）
- ネットワーク: 44818/2222宛の外向き通信、OT→インターネット直のDNS/HTTP発信、OT内での新規L3隣接をウォッチします。
- 操作イベント: 短期間の連続ダウンロード、アラーム設定の多数変更、HMIタグの大量追加/削除、ヒストリアンへの直接更新をトリガにします。
- アイデンティティ: ベンダIDの時間外接続、同一IDの同時多拠点ログイン、OT未許可端末指紋からのアクセスを検出します。

最後に強調したいのは、今回のテーマは「高価な新機能」より「構成・運用の基本」をどれだけ速く正すかが勝負という点です。偽データと正規ツール悪用という“静かな破壊”に対しては、露出の即時排除と、エンジニアリング操作の見える化・二重化が最短距離の防御になります。国内の設備でも同型の構成は珍しくありません。地政学は画面の外にあっても、露出は盤の中にあります。今日の点検リストが、明日のダウンタイムを消します。

参考情報

セカンダリ報道（一次情報の確認を推奨します）: CISA Urges Removing Rockwell PLCs from the Internet – GBHackers

背景情報

i ロックウェルPLCは、産業オートメーションに広く使用されているデバイスであり、インターネットに接続されることでサイバー攻撃のリスクが高まります。特に、イランに関連するAPTグループは、これらのデバイスを標的にしており、過去の攻撃ではPLCの制御ロジックを悪用する手法が確認されています。
i CISAの最新の指示は、これらの攻撃手法が複数のベンダーに広がっていることを示しており、特にOTデバイスをインターネットに直接接続することのリスクを強調しています。攻撃者は、正規のプログラミングツールを使用してPLCのプロジェクトファイルを不正に操作し、悪意のあるロジックを再展開することが可能です。

メトリクス