JPCERT Coordination Center

電子署名者 : JPCERT Coordination Center
DN : c=JP, st=Tokyo, l=Chuo-ku, o=JPCERT
Coordination Center, cn=JPCERT Coordination
Center, email=office@jpcert.or.jp
日付 : 2022.01.12 16:25:03 +09'00'

JPCERT/CCにおける制御システム製品の脆弱性情報の収集及び分析
JPCERTコーディネーションセンター
制御システムセキュリティ対策グループ（ICSR）
堀 充孝

本講演の趣旨ICSユーザー組織のセキュリティ担当者が制御システム（以降「ICS」）製品の脆弱性への対応を考える機会に1

Copyright ©2022 JPCERT/CC All rights reserved.

アジェンダJPCERT/CCの活動のご紹介— ICS製品の脆弱性をユーザー組織に適切に提供するための活動— ICS製品の脆弱性情報の収集・分析

今回注目した制御システム製品の脆弱性情報まとめ2

Copyright ©2022 JPCERT/CC All rights reserved.

ICS製品の脆弱性をユーザー組織に適切に提供するための活動

3

Copyright ©2022 JPCERT/CC All rights reserved.

ICS製品の脆弱性情報の適切な流通を目指して
JPCERT/CCでは、ユーザー組織に向けてICS製品の脆弱性情報を適切に提供するための活動を実施
CISA（ICS-CERT）

連携

調整

ICSベンダー調整

セキュリティ研究者

通知

調整

製品開発者

公表

報告
報告

公表
収集/分析

公開情報
4

ICS製品の脆弱性情報の公表

Copyright ©2022 JPCERT/CC All rights reserved.

収集

注意喚起等の公表
収集

ICS製品の脆弱性情報の適切な流通を目指して2020年度から、インターネット等の公開情報からのICS製品の脆弱性情報の収集・分析に注力
CISA（ICS-CERT）

連携

調整

ICSベンダー調整

セキュリティ研究者
公開情報
5

ICS製品の脆弱性情報の公表
通知

調整

製品開発者

公表

報告
報告公表
収集/分析

注力している活動

Copyright ©2022 JPCERT/CC All rights reserved.

収集

注意喚起等の公表
収集なぜ注力するのか
ICS製品の脆弱性情報の公表経緯はさまざま
開発者

調整機関

報告者

ICSベンダーと報告者の間に調整機関が入り公表

報告者

開発者
発見者（報告者）

ICSベンダーと報告者で直接やり取りして公表

報告から長期間経過する等により、対策されないまま発見者が公表

発見者（報告者）

対策されないまま発見者
がPoCコードを含めてフォーラム等に投稿

ICS製品の脆弱性情報が公表される場所もさまざま— 調整機関、ICSベンダー、セキュリティベンダー など

公開情報から広く脆弱性情報を収集する必要がある
6

Copyright ©2022 JPCERT/CC All rights reserved.

なぜ注力するのか
ICSでは、対策とあわせて脆弱性情報が公表されてもすぐにアップデートを適用できない場合が多い— その間に脆弱性の存在を実証するコード（PoCコード）が公表されるとサイバー攻撃につながる恐れがある
ICSベンダー / 調整機関
ICSユーザー

次回メンテ時にアップデート適用

攻撃者対策とあわせて脆弱性情報の公表

脆弱性情報のキャッチ＆対策検討

無防備な期間

被害発生
公開されたPoCコードを使用した攻撃

アップデート適用
作業実施

脆弱性の悪用が容易な状況かどうかを把握する必要がある
7

Copyright ©2022 JPCERT/CC All rights reserved.

緊急度の高いICS製品の脆弱性情報が出た場合に…
ユーザー組織側でまず対応できることはないか— リスク軽減策（ワークアラウンド）の実施
ワークアラウン
ドを実施

ICSベンダー / 調整機関
ICSユーザー対策とあわせて脆弱性情報の公表

無防備な期間脆弱性情報のキャッチ＆対策検討

ワークアラウンドの実施

被害抑止

攻撃者

アップデート適用
作業実施

公開されたPoCコードを使用した攻撃

攻撃に備えてICSユーザーが直ちに講じれる措置を提供する
8

Copyright ©2022 JPCERT/CC All rights reserved.

ICS製品の脆弱性情報の収集・分析

9

Copyright ©2022 JPCERT/CC All rights reserved.

収集から情報発信までの流れ
公開情報から広くICS製品の脆弱性情報を収集し、二段階の分析（簡易分析、詳細分析）を行った上で発信を検討

情報収集

簡易分析

詳細分析

情報発信
検討

情報発信

以降のスライドで分析のポイントを解説します「注意喚起」相当の情報でない場合、その情報を必要とする組織に「参考情報」として情報提供する場合もある
10

Copyright ©2022 JPCERT/CC All rights reserved.

簡易分析について
詳細分析の要否を判断するため、主に次の点を確認— その脆弱性を使用した攻撃が容易に可能な状況か✓ どのような経路で攻撃が行われるか✓ 攻撃の実施には認証が必要か✓ PoCコードが公開されているか など— その脆弱性を使用した攻撃が行われた際に想定される影響✓ ICSの可用性に大きな影響を及ぼす恐れがあるか— 影響を受ける製品の国内流通の状況✓ 国内に影響を与える可能性が低い情報の提供はノイズになる— 対策（ワークアラウンド、アップデート）の提供の有無✓ ユーザー組織側で取れる対策はあるか

攻撃につながる恐れがある情報は詳細分析で深掘り
11

Copyright ©2022 JPCERT/CC All rights reserved.

詳細分析について
簡易分析の結果を踏まえ、複数の公開情報にもとづいて技術的な観点で更なる分析を行います
例えば…
— 影響を受ける製品の用途— 影響を受ける製品で使われている技術— 脆弱性の原因、想定される影響、CVSS v3評価の妥当性— PoCコードの精査— インターネット経由でアクセス可能な製品の有無の確認 など

詳細分析の結果を踏まえて情報発信の検討を行う
12

Copyright ©2022 JPCERT/CC All rights reserved.

詳細分析を行った中から注目した脆弱性情報
ICS関連ソフトウェアのファイル読み込みに関する脆弱性
今回注目した理由— 緊急性はなかったものの、対策がされないまま公表される脆弱性が散見された— その中でもエンジニアリングソフトウェアの脆弱性が多かった

以降、実際に詳細分析を行った脆弱性情報を例に解説— ユーザー組織の担当者は改めて自組織の運用をご確認ください
13

Copyright ©2022 JPCERT/CC All rights reserved.

ICS関連ソフトウェアのファイル読み込みに関する脆弱性の解説
詳細分析例：

Delta Electronics製DOPSoftのファイル読み込みに関する脆弱性
参考：JVN「JVNVU#92650134：Delta Electronics 製 DOPSoft に境界外読み取りの脆弱性」
https://jvn.jp/vu/JVNVU92650134/
14

Copyright ©2022 JPCERT/CC All rights reserved.

Delta Electronics製DOPSoftとはDelta Electronics製のHMI機器「DOPシリーズ」専用の画面設計用ソフトウェア— エンジニアリングソフトウェアに相当
ICSユーザー

③HMIからICSの監視・制御②HMIにデータ送信①DOPSoftでHMIの設計・開発

HMI

データのやり取りはUSBまたはEthernetなどを経由する
参考：Delta Electronics「DOPシリーズ」
http://www.delta-japan.jp/Products/CategoryListT1.aspx?CID=0603&PID=ALL&hl=ja-JP
15

Copyright ©2022 JPCERT/CC All rights reserved.

どのような脆弱性が見つかったのか
プロジェクトファイル（DPAファイル）を読み込む際にファイルのデータが適切に検証されない— これにより割り当てられたメモリ領域（バッファー）の末尾を超えた読み込みが行われ、任意のコードが実行される攻撃者

ICSユーザー②何らかの方法でファイルを送付①細工したプロジェク
トファイルを作成④攻撃者の意図するコードが実行される③受信したファイル
をDOPSoftで開く

DOPSoftをインストールしたPCが乗っ取られる恐れ
16

Copyright ©2022 JPCERT/CC All rights reserved.

CVSS v3基本評価基準を見ると…
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 基本値: 7.8
基本評価基準値

基本評価基準値

攻撃元区分（AV）

ローカル（L）

スコープ（S）

変更なし（U）

攻撃条件の複雑さ（AC） 低（L）

機密性への影響（C）

高（H）

必要な特権レベル（PR） 不要（N）

完全性への影響（I）

高（H）

ユーザ関与レベル（UI）

可用性への影響（A）

高（H）

要（R）

攻撃者がこの脆弱性を悪用して攻撃を行う場合、複数のステップを踏む必要がある
参考：IPA「共通脆弱性評価システムCVSS v3概説」
https://www.ipa.go.jp/security/vuln/CVSSv3.html
17

Copyright ©2022 JPCERT/CC All rights reserved.

想定される攻撃（標的型メール攻撃）
ICSユーザー ②ファイルを受信

攻撃者

XX社YY工場
Enterprise NetworkInternet

FW

業務用PC

①保守ベンダーを装って悪意あるプロジェクトファイルを送付③USBメモリ等でファイル移動

業務用PC

業務用サーバー

④EWSでファイルを開く

Level2: Supervisory Contol LAN

FW
EWS

ヒストリアン

HMI⑤EWSがマルウェアに感染し、大量のパケットが発生

その他にも…

SCADA

Level1: Control network

SW⚫ Webサイト経由でのダウンロード

PLC/RTU

PLC/RTU⚫ 持ち込まれたUSBメモリ経由 など

PLC/RTU

Level0: I/O Netowrok

ICSの動作遅延や停止につながる恐れ
参考：MITRE
ロボットアーム「Levels - attackics」
https://collaborate.mitre.org/attackics/index.php/All_Levels
18

Copyright ©2022 JPCERT/CC All rights reserved.

バルブ

計測器 などワークアラウンド（軽減策）と根本対策
ワークアラウンド— 信頼されたファイルのみを読み込む✓ 所定のフォルダーに保存されている正規のファイルのみを開く✓ DOPSoftをインストールしたPCの使用者を必要最小限に限定する✓ メールでプロジェクトファイルをやり取りしている場合は、不審なメールの添付ファイルは開かない など※メールの対策はIPAの「標的型サイバー攻撃対策」の各コンテンツをご参考ください

根本対策— ICSベンダーからアップデートが提供されている場合は、ICSへの影響をICSベンダーなどに事前確認した上で適用する✓ 本脆弱性に対応したDOPSoft（v4.0.11.22）がリリースされています
参考：IPA「標的型サイバー攻撃対策」
https://www.ipa.go.jp/security/ta/index.html
19

Copyright ©2022 JPCERT/CC All rights reserved.

ICS関連ソフトウェアのファイル読み込みに関する脆弱性についてのまとめ
今回紹介したものは、エンジニアリングソフトウェアだが、他にも次のようなICS関連ソフトウェアがある— SCADA/HMIソフトウェア— リモート監視用ソフトウェア— 産業用ネットワーク機器の統合管理ソフトウェア— 3D設計用のソフトウェア など

ICS関連ソフトウェアのファイルの運用を改めてご確認ください✓ ファイルの取り扱いに関するルールは定められているか✓ ソフトウェアの使用者は必要最小限か✓ 外部組織や他部署とのファイルのやり取りの方法 など
20

Copyright ©2022 JPCERT/CC All rights reserved.

まとめ

21

Copyright ©2022 JPCERT/CC All rights reserved.

まとめ
JPCERT/CCの活動の紹介
脆弱性情報の分析について
ICSユーザーへのお願い22

Copyright ©2022 JPCERT/CC All rights reserved.

最後にICS製品の脆弱性情報のより適切な分析や提供のため、提供いただける情報がございましたら、連絡先までご連絡いただけますと幸いです
連絡先
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
制御システムセキュリティ対策グループ
Email：icsr@jpcert.or.jp

23

Copyright ©2022 JPCERT/CC All rights reserved.

お問い合わせ、インシデント対応のご依頼はJPCERTコーディネーションセンター— Email：pr@jpcert.or.jp— https://www.jpcert.or.jp/

インシデント報告

制御システムインシデントの報告— Email：info@jpcert.or.jp— Email：icsr-ir@jpcert.or.jp— https://www.jpcert.or.jp/form/— https://www.jpcert.or.jp/ics/icsform.html

脆弱性に関するお問い合わせ— Email：vultures@jpcert.or.jp— https://jvn.jp/※資料に記載の社名、製品名は各社の商標または登録商標です。
24

Copyright ©2022 JPCERT/CC All rights reserved.

ご清聴ありがとうございました

25

Copyright ©2022 JPCERT/CC All rights reserved.