重要インフラ情報セキュリティフォーラム2009<重要インフラにおけるヒューマンエラーと情報セキュリティ＞

電力分野におけるサイバーテロ演習2009年2月20日（財）電力中央研究所
システム技術研究所
松井 正一
2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

1

「人間の特性８箇条」（高橋秀俊）
1. 人間は気まぐれである
2 人間はなまけものである
2.
3. 人間は不注意である
4. 人間は根気がない
5 人間は単調を嫌う
5.
6. 人間はのろまである
7. 人間は論理的思考力が弱い
8 人間は何をするかわからない8.
2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

2

背景・目的サイバー攻撃を速やかに検知し、事業への影響を最小限に留めるためにはインシデントレスポンスが重要 電力会社および関係会社からの演習参加者が、演習用モデルシステム上でサイバー攻撃を実際に体験
 攻撃に対するインシデントレスポンスを実施

インシデントレスポンス体制や情報セキュリティ対策の検討材料となる知見を獲得
2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

3

事前調査・検討（１）

様々なサイバー攻撃を経験するための攻撃
様々なサイバ攻撃を経験するための攻撃のあり方について調査・検討した

設定・メンテが正しく行なわれていると攻撃はなかなか成功しない攻撃を成功させるためには，用意周到な準備や実際の攻撃のためにかなりの時間がかかる

限られた時間・設備の中で，様々な攻撃を経験するため，ソー時様
攻撃 経験
シャルエンジニアリングが成功したという前提条件による情報提示や 攻撃がはかばかしくない際の意図的設定ミス 脆弱性の示や，攻撃がはかばかしくない際の意図的設定ミス，脆弱性の埋め込み（促進ルール）を実施
2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

4

事前調査・検討（２）海外におけるサイバーテロ演習や情報セキュリ
海外におけるサイバ演習や情報セキ リ
ティ対策について実態調査を実施
米国等では机上演習が中心
 演習のシナリオ作成段階からの参加が重要
 参加者への結果のフィードバックが重要

演習実施の参考に

欧米では，演習を実施しても，実施の有無を含め全く公
欧米は 演習を実施
も 実施 有無を含め全く開しないか，公開しても実施の事実程度

演習に係る情報は慎重に取扱うべき
2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

5

モデルシステム（１）

外部のネットワークと直接接続されている業務系，および業務系と 方向性のＧＷで接続されている記および業務系と一方向性のＧＷで接続されている記録処理系とのインターフェースまでを対象範囲



対象範囲における電力の情報ネットワークを概念的に表すため インタ ネット デ タセンタに表すため，インターネット，データセンター，支社・支社・支店の業務端末，記録処理系などを模擬2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

6

モデルシステム（２）模擬公衆回線

模擬インターネット

modem
RAS

デ ー タ セ ン タ ー（DMZを含む）

記録処理系
一方向性GW

業務端末
模擬社内WAN2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

7

実施体制
参加者は基本的に運用チーム（防御側）で参加
参者 基
参 電中研が攻撃および進捗管理 シナリオに沿って攻撃 （運用チームは知らない）
③ 演習進捗管理チーム
演習進捗管理チ ム（電中研）

攻撃タイミングの調整① 攻撃チーム
2009/02/20

攻撃設定変更／復旧

モデルシステム

ユーザからのクレーム
社内外への連絡防御② 運用チーム

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

8

攻撃シナリオ ケ ス 促進ル ル
攻撃シナリオ，ケース，促進ルール


シナリオは攻撃 状況想定 前提条件等を規定
シナリオは攻撃の状況想定・前提条件等を規定


攻撃の網羅性を確保するため，ケースを設定


攻撃目的、侵入経路、攻撃対象、攻撃の種類、･･･
ケースの範囲内での具体的な攻撃手法は攻撃者がケの範囲内での具体的な攻撃手法は攻撃者が自由に選択限られた時間内で様々な攻撃を経験するため，限られた時間内で様々な攻撃を経験するため
前提 条件や促進ルールを適用
前提条件 ：不正端末が接続されていた 等
 促進ルール：ユーザーID，パスワードの開示等

2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

9

攻撃の分類
攻撃目標

1

2

3

2009/02/20

侵入経路

DMZのサービスを妨害

インターネット

事務系システムの破壊

インターネット
RAS
無線LAN
データ収集回線
デタ収集回線
不正接続PC
メール

記録処理系の破壊

インターネット
インタ
ネ トRAS
無線LAN
データ収集回線不正接続PCメール

脅威レベル

インシデント

レベル0レベル１

Scan
ForgedIntrusion
DoS
Other

レベル0
レベル１
レベル２

Scan
ForgedIntrusion
DoS
Other

レベル３
レベル４

Scan
Intrusion
DoSOthOther

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

10

部門分け


インシデント対応のあり方をより現実的に経験イ
シデ ト対応 あり方をより現実的に経験するため，運用チームをさらに運用部門と情報システム部門に分割


運用部門
サイバーテロを検知し，情報システム部門に報告バ 情報システム部門からの指示に基づき対策を実施

情報システム部門
演習実施にあたって事前に運用チームのルールを策定
 運用部門からの報告を受け，運用部門からの報告を受け①情報を分析，②ルールに基づき対応方針を決定，③運用部門に対する指示を行う対する指示を行う。
演習実施
計画書

運用チーム
ルール書

演習事務局

演習事務局

2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

11

検討会


演習最終日あるいはケース終了時に，演習で経験したことを，より有機的に理解し，ノウハウや知見として習得するため，攻撃チーム，運用チーム，進捗管理チーム合同で検討会を実施
この時 初めて攻撃／運用チ ムが顔合わせ
この時，初めて攻撃／運用チームが顔合わせ
攻撃者の行為，攻撃の予兆・現象の発生を時間軸で整理
攻撃者の行為
攻撃の予兆 現象の発生を時間軸で整理
 各チームがそれぞれの事象に対してお互いに意見交換2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

12

実施結果


様々な攻撃手法で想定したケースを網羅
限られた期間の中で多種多様な攻撃を実現



演習の実施により得られたノウハウと知見を以下の観点からとりまとめることができる技術
 セキュリティポリシー
 人人・組織組織

2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

13

参加者の意見・コメント
知識として知っていたが、実際に経験すると検討しておくべき点があるのが分かった
 日常業務とは異なる部門を担当したことで、相手に伝わりやすい報告 指示方法が実感できた
わりやすい報告・指示方法が実感できた 状況を整理し、運用チーム内で情報共有しておくことが重要 あるが重要である
 部門間で電話連絡に齟齬が生じるケースがあった。
2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

14

まとめ
モデルシステムを用いてのサイバーテロ演習をモデルシステムを用いてのサイバテロ演習を実施
 様々な攻撃手法で想定したケースを網羅

限られた期間の中で多種多様な攻撃を実現


演習により得られた知見とノウハウを，技術，セキュリティポリシ ，人 組織の観点からとりまとキュリティポリシー，人・組織の観点からとりまとめることができる

2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

15

ご清聴ありがとうございました松井 正
正一
matsui@criepi.denken.or.jp

2009/02/20

Copyright 2009 Central Research Institute of Electric Power Industry. All rights reserved.

16