修士論文審査
階層化原理に基づくプロトコル スタックのモデル化と代表的ICSプロトコルとの比較分析
Modeling of a Protocol Stack Based on Hierarchical Principle
and Comparative Analysis of Representative ICS Protocols

後藤研究室 博士前期課程２年
我妻 敏
2020/02/15
1

提案モデルの提供するもの
工場、プラントなどのICS通信プロトコルは多岐に渡り、オープン化した場合のリスク評価が十分ではない• 種類が非常に多い• ベンダー ユニークなものも多い• 情報セキュリティにあまり関心がなかった

n提案した手法では、通信要件を階層に分割し（Divide）、分析・評価する（Conquer） ことで、システマチックに各プロトコルが持つ脆弱性を確認することができた
2

提案モデルの提供するもの 続き
n階層に応じて脆弱性が整理されるため、取るべき対策はレゴ的に検討が可能となった
n本手続きを利用し、代表的ICSプロトコルの特性を確認することができた
lModbus/TCP
lEtherNet/IP_CIPlFL-net
lOPC UA
3

手法の概要4

４階層構造App. Layer

App. Layer

Transport Layer

Transport Layer
Network Layer

Network Layer

Physical Layer

Physical Layer

Network Layer

Physical Layer

Physical Layer

Router

階層機能

エンティティ

アプリケーション層

メッセージ交換

アプリケーション プロセス

トランスポート層

Process-to-Process

ソケット インターフェイス

ネットワーク層

Host-to-Host

ホスト

物理層

NIC-to-NIC

NIC

上記のアプリケーション層は、OSI参照モデルのそれとはまったく定義を異にすることに注意
5階層別： 通信要件
n４階層構造に分割し、各階層ごとに下記の要件の充足度を評価する
レイヤコード対象要素

要求仕様

アプリケーション

AP-const-1

インスタンス（プログラム）

エンティティ認証

アプリケーション

AP-const-2

インスタンス（プログラム）（SEQ番号、メッセージ）の完全性

トランスポート

TP-const-1

インスタンス（サービス）

透過性の保護トランスポート

TP-const-2

インスタンス（サービス）コネクション型の使用

トランスポート

TP-const-3インスタンス（サービス）

着信許可エンティティの指定

トランスポート

TP-const-4インスタンス（サービス）

エンティティ認証

ネットワーク

NW-const-1

通信ノード

受信許可サブネットの指定

ネットワーク

NW-const-2

通信ノード

受信許可ノードの指定

ネットワークNW-extra通信ノード

エンティティ認証

6

N層緩和策のカバレッジ
nN層緩和策は、N層以下の脅威エージェントに大して有効7

アプリケーション層を対象にnアプリケーション層プロトコルを検討する

Legitimate client

Server （Target)

Adversary client

*CACA

SA

*CA

*CT

CT

ST

*CT

SN

*CN

CN

8

Legacy - Modbus/TCP
n４階層モデルlModbus、CAL/TCP management を分析
lネットワーク層、トランスポート層は、TCP/IP一般における脆弱性を評価、その対策が利用可能
ModbusCAL/TCP management
TCP
IP
LLC
Ethenet9Legacy - Modbus/TCP*CA からのメッセージは検知可能か
アプリケーション

AP-const-2

インスタンス（プログラム）（SEQ番号、メッセージ）の完全性

message = (code, data)
SDU:C->S = (message, Req#, UnitId#, Len, Proto#)(Req# = Transaction Identifier)

第３のエンティティは、偽のメッセージを生成可能:*SDU:C->S = *(message, Req#, UnitId#, Len, Proto#)-> (*message, *Req#, *UnitId#, *Len, *Proto#)
これら２項組の意味上の差が表現できない(seq = i, command = a) then (seq = i+1, command = a)(seq = i, command = a) then (seq = i, command = a)10

Legacy - Modbus/TCPnエンティティ認証、コマンドとそのシーケンスの保護ができない
l第３のエンティティの検知はできない

nトランスポート層以下の緩和策のみが実装可能
ModbusCAL/TCP management
TCP
IP
LLC
Ethenet

第３者のエンティティからのメッセージ挿入リスクが残存

この階層での緩和策の検討
・TCP port 指定
・IP ホワイトリスト
・Zoning11Modern - OPC UA
n４階層モデルlOPC UA / OPC Srv/Cli を分析
lネットワーク層、トランスポート層は、TCP/IP一般における脆弱性を評価、その対策が利用可能
OPC UAOPC Srv/CliTCP
IP
LLC
Ethenet12

Modern - OPC UA*CA からのメッセージは検知可能か
アプリケーション

AP-const-2

インスタンス（プログラム）（SEQ番号、メッセージ）の完全性

SecureChannel が確立：
req = (request, Sec_hdr, Seq_hdr)
SDU:C->S = (request, Sec_hdr, Seq_hdr, H(request, Sec_hdr, Seq_hdr, cliKsec))
Sec_hdr は SenderCertificate 等を保持
Seq_hdr は SequenceNumber, RequestID を保持
第３のエンティティは、 ‘cliKeysec’ にアクセス不能：*H(request, Sec_hdr, Seq_hdr, cliKsec) = ⊥∴ *SDU:C->S = ⊥13

Modern – OPC UAnエンティティ認証、コマンドとそのシーケンスの保護が可能
l適切な Profileの定義とその実装

nトランスポート層以下の緩和策は、上位層の負荷軽減に寄与
第３者のエンティティの検知可能
リプレイによるシーケンス破れの検知可能

この階層での緩和策
・TCP port 指定
・IP ホワイトリスト
・Zoning
負荷の高い上位層の処理を軽減

OPC UAOPC Srv/CliTCPIPLLC
Ethenet14

提案モデルの提供するもの - 再掲
n提案した手法では、通信要件を階層に分割し（Divide）、分析・評価する（Conquer） ことで、システマチックに各プロトコルが持つ脆弱性を確認することができた
n階層に応じて脆弱性が整理されるため、取るべき対策はレゴ的に検討が可能となった
n本手続きを利用し、代表的ICSプロトコルの特性を確認することができた
15

今後の課題外部発表

16

今後の課題nメッセージの持つ意味的なConstraints
l設定値などの変更によるリスクへの対応
uメッセージをさらに構造化
u独立したリファレンス モニタn（関心事）マルウェアの感染モデル
l無数に設置されたセンサーがマルウェアに感染した場
合、どの程度の感染率で影響があらわれるのか
u分散システムの合意形成

l多様性は有効か
u生物のような、ゆらぎがない
uデジタル ツインだから、一つのVirusで全滅
17

外部発表： NCSS’10
Nagasaki, Japan, November 26-29, 2019CANDER ’19 併設 Workshop に参加
NCSS’10The 10th International Workshop on Networking,Computing, Systems, and Softwaren 11月29日 発表

18

以上ありがとうございました。

19