制御システムに対するセキュリティ課題への取組みと展望

横河電機
IAマーケティングセンター
武部 達明
Copyright © Yokogawa Electric Corporation
Feb 2009

横河の制御システムとセキュリティ 1
197719781979198019811982198319841985

スタンドアロン

198719881989199019911992

1993

クライアント-サーバ/LAN ネットワーク

CENTUM

CENTUM-V

独自OS

独自OS

独自プロトコル独自プロトコルJEMIMA

1986ISACENTUM-XL
独自・マイナーOS
独自プロトコルCENTUM-CS
Unix
Vnet
信頼性

コーディング規約

1996199719981999200020012002200
32004200
5

Web 2.0

CS 3000 R3

CS 3000
CS 1000

ProSafe-RS

Windows

STARDOMJNSAJPCERT/CC

VxWorks

JEITA

ISO/IEC/SC27• コードレッド• 二ムダ•初マクロウィルス“Concept”•ミケランジェロ• モーリスWorm•フィッシング• “I LOVEYOU” ウィルス

PCSRF

•スラマー
•ブラスター• メリッサ• Macro Virus(複数プラットフォーム)• WMF• Robert T Morris
罰金１万ドル、懲役3年• Kevin Mitnick
逮捕、懲役5年

414 ハッカー集団逮捕• DDoS on 13• “Solar Sunrise” – “root” servers
カリフォルニアの十代2人が 500の政府、軍、•フィッシング攻撃激増
個人コンピュータへの攻撃

通信プロトコルの脆弱性／バッファーオーバーフロー• SPAMメール

デフォルトセキュリティ無し／不十分なセキュリティ技術／機能の誤使用／ソーシャルエンジニアリング•スパイウェア
•ボット

UK Green Book to BS 7799 to ISO 17799 to ISO 27001

Copyright © Yokogawa Electric Corporation
Feb 2009

PCSF• MyDoom• サッサー• ZoTob• カッコーの卵

Trusted Operating Systems (Orange Book)

2006

Vnet-IP
セキュリティ機能

Backup

標準開発プロセス• Apple II Computer• Commodore• 初自己破壊プログラム• Atari(Richard Skrenta)• TI-99• 初自己複製プログラム• TRS-80• 初ワーム•ステルスウィルス
Xerox Palo Alto (Skrenta’s Elk Cloner)• Brainウィルス• 初トロイ木馬 パキスタン人兄弟

Ken Thompson• VAX ウィルスFred Cohen

1995

インターネット WWW

IEC TC65

JEIDA

1994

Trusted Network (Red Book) – ITSECIA Marketing Center Tatsuaki Takebe

Common Criteria (ISO 15408)

Page 2•ファーミング
攻撃 (DNS汚染)

横河の制御システムとセキュリティ 22000200120022003200420052006200720082009

CENTUM-VP

CS 3000 R3
ProSafe-RS

NWScanner

Vnet-IP
セキュリティ機能

AchillesSTARDOM

AchillesCS 3000

CS 3000 R3
Achilles
IT事業部
FW、IDS、ISS

SecureTicket

AntiVirus

SecureTicket Core
ISO/IEC 15408 EAL3+

FireWall

Reverse ProxyVPN
S95 NW
アーキテクチャモデル

MSセキュリティパッチJNSA

ISA（SP99）
PCSRF

JPCERT/CCISA Security
Compliance
Institute

ISO/IECJTC1/SC27 WG3ISO27001、27002、27003、27004、27005、…
Common Criteria (ISO 15408)

IA Marketing Center Tatsuaki Takebe

WSUS

ISCI

PCSF

JEITA ITSC

Copyright © Yokogawa Electric Corporation
Feb 2009

要塞化
セキュアコーディング

Page 3

セキュリティ対策について

Backup/Recovery
アンチウィルス
FireWallセキュリティパッチ
VPN
Reverse Proxy
ネットワークトポロジー
ネットワーク脆弱性スキャン
プロによるセキュリティテスト（Achilles→ISCI）
セキュアコーディング
要塞化（LockDown）
WSUS（Windows Server Update Services）
セキュリティ Best Practice（BP） の 蓄積と展開
先進例の調査・研究、適用– ITセキュリティ、米国ICS・SCADAセキュリティ
Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 4

PCSにとってセキュリティとは何か？

センサ、アクチュエータ、制御アルゴリズム、パラメータ、データ、アプリケーション、情報、通信、制御・監視・エンジニアリン
グステーション、同プラットフォームなど、制御に不可欠な要素に攻撃（悪影響）が及んでも、PCS全体で期待される動作が阻害されないよう護ること。
すべての要素の役割が正しく連携されねばならない。
どこに問題が発生しても、阻害要因になるため、すべての要素の動作の保証を求められる。
1 2
例外動作を定義し、対応できること。
品質保証問題と同じ。→きりがない対応が求められる。
対応の単位をうまく考える。
ランクの高い問題から、対処していく。リスク対応。 3 4 5
関係者が集まる場所での決定をよりどころにする。
PCSと操作する人、規則、運用で対処すべき問題。
ベンダが解決する問題、インテグレータが解決すべき問題、PCS所有者が解決すべき問題がある。
リスクを評価して、合意を取り付け、予算を確保して、実践。
Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 5

S95システム階層モデル ← S99 参照モデル

イントラネット
DMZ
サーバ
HMI

セーフティ、コントローラプロセスCopyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 6

S95システム階層モデルを基にしたNWアーキテクチャ

Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 7

セキュリティ確保のための努力

単体製品でのセキュリティ– セキュリティリスク評価・対応• 認証、アクセス制御、ログ、バックアップ・リストア機能• ウィルス対策• 要塞化– セキュリティ評価

インテグレーションでのセキュリティ– セキュリティリスク評価・対応• ネットワークアーキテクチャ• セキュリティエンジニアリング(FW、IDS etc)

セキュリティ
ライフサイクル– セキュリティ評価

操業セキュリティ– バックアップ、セキュリティアップデート– イベント監視、インシデント対応– セキュリティ評価
Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 8

3rd パーティソフトの問題

製品S/W

3rd Party
ソフト
ライブラリ
Platform
HW

COTS製品≠RT製品

3rd パーティソフトは、メモリ、CPUパワー、CPU時間の消費量、品質を見極める必要がある。
3rd パーティソフトが、制御システムソフトと喧嘩しないことを確認する。
通常オペレーション＋念入りな異常ケース設計が、鍵。
パッチ確認も同じ。

ある3rd Partyソフトの例：
自動的に配信される更新ソフトウェアのテストが不十分な場合があり、それらが自動更新された多くのユーザのパソコンが動作不良・起動不能になったり誤検出するなど、まるでウイルスに感染したかのようなトラブルが発生することがある。
Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 9

設計・開発ライフサイクルでの考慮

企画時に脅威分析、リスク評価、悪用（攻撃）シナリオ。
どうやって守るか、対策（セキュリティ要件）。

要塞化

コードレビュー

オープンポート検査

異常系テストネットワークセキュリティテスト
セキュリティ評価

Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 10ISCI の 活動 プロファイル・テスト仕様作成と評価認証
中立組織 ISAISA ISCIISA S99

テスト実施機関
承認

ISA S99標準

他組織
他組織
他組織参照
作成

コンプライアンス
プロファイル・
テスト仕様

合格 Certified!
認証済み
カタログ

試験実施

不合格

他関連標準
他関連標準
他関連標準
ギャップ、明確化
フィードバック

ISCI (ISA Secure Compliance Institute)

テスト依頼
フィードバック

ベンダー

IPボックス認証→システム認証→オペレーショナル認証 （予定）
http://www.isa.org/isasecure/ISASecurityComplianceInstituteMembershipProspectusOctober2007.pdf
Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 11ISCIの目指すもの（現在、実際のテストはできていませんが）
http://www.isa.org/isasecure/ISA_Services_Proposal_Draft_10%200.pdf

1 単体製品認証
2 インテグレーション認証
3 操作ポリシー・手順認証

ISCI Certified

ISCI CertifiedISCI Certified
ISCI Certified
ISCI Certified

Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 12ISCI基本要件

http://www.isa.org/asci/CFI-Embedded_Controller_QOS07282008.pdf
FR 1 - デバイス、情報への不許可アクセス、問い合わせ防止
FR 2 - 指定通信チャネルのデータ変更防止による不許可デバ
イス操作防止FR 3 - 指定通信チャネルデータの改竄防止
FR 4 - 指定通信チャネルからのデータ漏洩防止
FR 5 - 通信チャネルのデータフロー制御による不許可情報漏洩防止
FR 6 - セキュリティ違反時に、担当に通報し、緊急事態に、自動応答によりフォレンジックエビデンスを報告する。
FR 7 - DOS攻撃から全ネットワークリソースを保護し、可用性を保証する。
Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 14

米国制御システムセキュリティカバレッジ
要件

研究電力

開発

薬品

I3P SCADA|9PCSRF

上下水道

運用

Mu

ISA

P

S
AchillesC
WurldTech

9A

導入

S

I

P

化学

デモ

NSTB

S

ガス

評価

FERC、NERC

TCIP

石油テスト

LOGIIC

|9I

9CIDX
ISA
ChemITC

ISCI

Dynamics

G
A
SCADA SBIRs

PCSF
CSSP

CSSP

運輸
鉄道
通信

Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 15

API11６4重要インフラと主軸の管轄組織・業界団体

共通

Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 16

ISAセキュリティ標準関連WG

ISCI
S99.XXが守られているか?の検査仕様

ISA

無線

SP99

SP100

WG1: セキュリティ技術
WG2: セキュリティ実装
WG3: 監査とメトリックス
共通言語とモデル
WG4: 技術要件
WG6: パッチ管理

TG2: 基本要件
TG3: ゾーンとコンジット
TG4: 派生要件

ISA S99.XX に記述

Copyright © Yokogawa Electric CorporationFeb 2009

IA Marketing Center Tatsuaki Takebe

Page 17

ISA99 セキュリティ標準
ISA99 Security for Industrial Automation and Control Systems

ISA 99.00.01 - 用語、概念、モデル (WG3)
ISA 99.00.02 – 製造システム、制御システムのセキュリティプログラムの確立(WG2)
ISA 99.00.03 - 製造システム、制御システムのセキュリティプログラムの運用
ISA 99.00.04 –製造システム、制御システムの規定セキュリティ要件 (WG4)
ISA TR99.00.01 - 製造システム、制御システム防御技術(WG1)
ISA TR99.00.02 - 製造システム、制御システム環境への電子的セキュリティの組込み
http://www.isa.org/Content/Microsites988/SP99,_Manufacturing_and_Control_Systems_Security1/Home964/Guide_to_the_ISA99_Standards.pdf

S99ドキュメントは、IEC 62443 に取り込まれる予定です。
IEC/TC65/WG10 Network and System Security
Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 18

DCS/SCADAシステムセキュリティの展望

DCS/SCADAは、IT技術を取り入れてきた。
その結果、セキュリティ問題に直面した。
セキュリティ問題への解は、ITセキュリティ技術に見出せる。
ITセキュリティ技術の適用方法を考慮することで見えてくる。
IT技術は寿命が短く品質水準が異なるため、• ライフサイクルを考慮すること、• 軽量・省メモリのものを選定すること、• 適用する単位を考慮すること、• 十分なQAで品質を確保すること、が必要。
同じ問題解決を行っている先進的組織が数多く存在する。
先進的組織と歩調を合わせ、情報共有し、問題を解決する。
脅威・脆弱性分析、リスク分析、対策決定、セキュリティ要件抽
出、実装、セキュリティテストの反復、誤用・攻撃手法分析を行う
ことで、解決策が見えてくる。
従って、国際レベルで情報共有をし、協力しながら、前に進むことが必要。
Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 19

ご清聴ありがとうございました。

*)本資料中の製品名及び名称は、各社の商標または登録商標です。
Copyright © Yokogawa Electric Corporation
Feb 2009

IA Marketing Center Tatsuaki Takebe

Page 22