映画「Zero Days」を見ましたか？

数ヶ月前、米国で公開されIT界隈で話題になった（!？）「Zero Days」という映画をご存知でしょうか？

これは、アメリカのドキュメンタリー映画で、アメリカがイランの主要インフラをダウンさせることを目指していた事実を明らかにしたものです。

イランのウラン濃縮施設内部のコンピューターに侵入し、遠心分離機を破壊する攻撃で有名になりました。
なんと約8400台の遠心分離機を稼働不能に陥れました。

システムが気づかない程度に回転数をアンバランスに操作し、数年かけて物理的に破壊したと言われています。

NSA（アメリカ国家安全保障局）の最も重要な任務の1つに、
「核戦争に備えること」
があることからもその本気度が窺えます。

ここで使われたのが、Stuxnet（スタックスネット）というマルウェアです。

スタックスネットを使ったサイバー攻撃

2010年6月にその存在が発見されたスタックスネットは、
いわゆる「ゼロデイ脆弱性」を突いたものです。

インターネットから隔絶された、産業用システムなどのネットワーク空間に入ることができるという点で、世界中に衝撃を与えました。
USB経由で感染したと言われています。

「ゼロデイ」とは何か？

ここで、用語として「ゼロデイ」とは何かをご説明します。

ゼロデイとは、「対策方法がまだ無い状態」のことを指します。
たとえば、セキュリティの脆弱性が見つかると、パッチを当ててセキュリティホールを塞ぎます。

このパッチが当たる前の、フリーな状態、これが「ゼロデイ」です。
パッチが当たって脆弱性が対処されると、「ワンデイ」となります。

セキュリティホールの修正プログラムや修正バージョンが提供される前に攻撃することを、
「ゼロデイ攻撃」と呼びます。

冒頭のStuxnetも「ゼロデイ」を悪用した例です。

Stuxnetという言葉とともに、「ゼロデイ」という用語を覚えておくと良いでしょう。