Japan Computer Emergency Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer Emergency Response Team Coordination Center,
cn=Japan Computer Emergency Response Team Coordination Center
日付 : 2009.09.18 10:48:55 +09'00'

生産制御システムにおけるセキュリティ調査研究の紹介
ーSICE/JEITA/JEMIMA共同セキュリティWG活動よりー

制御システムセキュリティカンファレンス ２００９
２００９．２．１９（社）計測自動制御学会 産業応用部門 計測・制御ネットワーク部会（株）日立製作所

山田 勉
制御システムセキュリティカンファレンス2009

目次
１ はじめに１．はじめに– SICE/JEMIMA/JEITAセキュリティ共同WG– セキュリティ検討対象
検象

２．生産制御システムセキュリティの対策立案– ISA-SP99

３．セキュリティ機能要件の分析と役割分担– NIST/PCSRF/SPP-ICS

制御システムセキュリティカンファレンス2009

1 -11. SICE/JEITA/JEMIMA共同セキュリティWG• 目的– 製造業分野におけるセキュリティ標準化動向，技術等の調査・研究活動を進め，会員企業，ユーザにフィードバックする(JEMIMA)• メンバ
横河電機㈱，㈱山武，㈱東芝，富士電機ｼｽﾃﾑｽﾞ㈱㈱日立ﾊｲﾃｸｺﾝﾄﾛ ﾙｼｽﾃﾑｽﾞ，㈱日立製作所㈱日立ﾊｲﾃｸｺﾝﾄﾛｰﾙｼｽﾃﾑｽ㈱日立製作所• 広報活動– JEMIMA 委員会セミナー，計測展委員会 ミナ ，計測展
– JEITA 制御システムフォーラム– SICE Annual Conference• 団体協力関係– JPCERT/CC，IPAと相互に情報交換– IEC/TC65/WG10国内委員会にメンバ登録(JEMIMA)
SICE：(社)計測自動制御学会，JEITA：(社)電子情報技術産業協会，JEMIMA：(社)日本電気計測器工業会
制御システムセキュリティカンファレンス2009

1 -22. セキュリティ検討対象：生産制御システム（イントラネット）

情報系ネットワーク

検討対象

生産管理サーバ（Windows PC，専用ｱﾌﾟﾘｹｰｼｮﾝ）
制御系情報ネットワーク（オープンネットワーク）

制御系情報ネットワーク

HMI，Engineering WS（Windows PC，専用ｱﾌﾟﾘｹｰｼｮﾝ）

制御ネットワークフィールドネットワーク

制御ネットワーク
制御ネ
トワ ク（独自/オープンプロトコル）
3C om

3C om

コントロ ラコントローラ（独自ハードウェア，独自OS）
フィールドデバイス（センサ，アクチュエータ）制御システムセキュリティカンファレンス2009

1 -33. セキュリティへの脅威• セキュリティ
セキュリティ＝意図的で不当な行為の被害を受けないよう防止
意図的で不当な行為の被害を受けないよう防止• 生産制御システム（M&CS）のネットワーク化⇒ 脅威が現実のものに （ex.
（ex ｵ
ｵｰｽﾄﾗﾘｱ下水道，ｵﾊｲｵ原発）
ｽﾄﾗﾘｱ下水道，ｵﾊｲｵ原発）

情報が破壊，改ざん又は消去されていな 状態を確保ない状態を確保③可用性（Availability）：
認可された者が，必要時に中断することなく情報にアクセスできる状態を確保

M&CS

機密性

可用性

完全性

完全性可用性性

機密性

低②完全性（Integrity）：

ITｼｽﾃﾑ優先度

情報へのアクセスを，認可された者だけがアクセスできる状態を確保

高• 脅威から守るべき性質①機密性（Confidentiality）：「情報保護」
優先「生産継続」
優先

M&CS：Manufacturing and Control System
制御システムセキュリティカンファレンス2009

1 -44. ＩＴセキュリティとM&CSセキュリティ
ユーザ認証での比較例
ユザ認証での比較例
ＩＴシステム

Ｍ＆ＣＳ
緊急時に利用できないパスワードを３回間違えるとそのＩＤが使えなくなる（ロックアウト機能）

個人情報、金融資産操業、人命、安全運転
守るべき資産に違い異なる「守り方」を検討し実装する必要性ある
制御システムセキュリティカンファレンス2009

目次
１ はじめに１．はじめに– SICE/JEMIMA/JEITAセキュリティ共同WG– セキュリティ検討対象
検象

２．生産制御システムセキュリティの対策立案– ISA-SP99

３．セキュリティ機能要件の分析と役割分担– NIST/PCSRF/SPP-ICS

制御システムセキュリティカンファレンス2009

2 -11. 生産制御システムセキュリティの標準ガイド
 他システム、上位システムの連携を前提とした生産制御シス

テムのセキ リテ 対策をどうすれば？
テムのセキュリティ対策をどうすれば？

 セキュリティ管理を体系的に実施するには？

SICE/JEITA/JEMIMA共同
セキュリティWG

生産制御システムとしてのセキュリティ標準・ガイド
生産制御システムとしてのセキリティ標準 ガイド◆マネージメント視点では： ISA-SP99， IEC/TC65/WG10，・・・◆コンポーネント視点では： NIST/PCSRF/SPP-ICS，・・・
NIST/PCSRF/SPP-ICS ・・・
ISA-SP99を基にセキュリティ管理プログラムの構築実践
ISA：The Instrumentation, Systems, and Automation Society
IEC：International Electrotechnical Commission，PCSRF：Process Control Security Requirements Forum
制御システムセキュリティカンファレンス2009

ISA-SP99とは
SP99とは
2 -22. ISA• 生産制御システムのためのセキュリティガイド【対象】 DCS, PLC, SCADA，運転・操業支援システムなど– TR1：標準規格、推奨実装法、技術報告および関連情報– TR2：システムのライフサイクル全体に適用できる仕組み及び構築方
法、検証、監査および評価
セキュリティライフサイクル
セキュリティ運用
対策の最終決定①リスク目標の定義②対象システムの評価と定義

システム妥当性確認
テスト計画③リスクアセスメントとギ
ギャップ分析
プ分析④対策分類と選択

WGで検討

結合テスト計画
コンポーネント
テスト計画
対策の構築実装

システム上で妥当性確認テスト実施
プレインストール
結合テ トを実行
結合テストを実行
コンポーネント
テストの実行

運用フェーズ
定期的セキュリティ
報告と分析
定期履歴と遵守対策
再評価
セキュリティ対策
TR：Technical Report

制御システムセキュリティカンファレンス2009

2 -33. セキュリティ対策手順：①リスク目標定義
①リスク
目標定義

対象の会社，業務レベルでのリスクと許容範囲を，定義
たとえば 悪意の操作を前提として想定していく
たとえば，悪意の操作を前提として想定していく。

②対象資産の定義

リスクインパクト尺度定義の例
インパクト（重要性）

レベル

③リスク
分析
④対策方針の立案

分類

１身体生命への危害

２

３無し

死亡等
長期加療
重大危害 /治療

短期加療/治療

傷害無し

金額

＞億円

＞1000万円＞100万円 小額

環境への影響

永久的

長期的

一時的

殆ど影響無し

生産障害

数週間

数日

数時間

微小時間

会社信用問題

永久的

長期的

一時的

殆ど影響無し制御システムセキュリティカンファレンス2009

2 -44. セキュリティ対策手順：②対象資産の定義
①リスク
目標定義
②対象資産の定義

正確なネットワ ク構成図を作成し、 対象システムの正確なネットワーク構成図を作成し、資産（装置，アプリ，データ）を漏れなくリストアップ■想定モデルシステム

全社ｲﾝﾄﾗﾈｯﾄ（IP-VPN等）
ERP system

インターネットタ ネ
MES Client

Maintenance PC
IT系サーバ(DNS等)

他事業所
Maintenance PC

Office Network

Analog telephone

③リスク
分析

RouterRAS

Plant B

Plant Amodem

HMI

無線
ｱｸｾｽﾎﾟｲﾝﾄ

④対策方針の立案

ISDN

MES Server

Factory NetworkController

Engineering
Workstation

OPC
ServerControl Network

Controller
3Com

3Com

携帯端末
Fieldbus

Area of Risk Assessment

Field Devices

Field Devices

RAS：Remote Access Server，HMI：Human Machine Interface
制御システムセキュリティカンファレンス2009

2 -55. セキュリティ対策手順：③リスク分析
①リスク
目標定義
②対象資産の定義

デバイス，アプリ，デ タ資産について下記を分析
デバイス，アプリ，データ資産について下記を分析• 脅威の「可能性（Probability）」「重要性（Criticality)」の判断基準を設定• 進入経路（Remote , Local等）に関する記述
脅威の可能性定義
ネットワークセグメント

脅威の可能性③リスク分析

インターネット
無線ＬＡＮ
ダイアル接続Ａ＝可能性大④対策方針の立案

イントラネット
コールバックバ ク
発信者登録のダイアル接続

Ｂ
Ｂ＝可能性中能性中生産制御システムサイトＬＡＮ

Ｃ＝可能性小

独立の生産制御システム

Ｄ＝可能性無し
制御システムセキュリティカンファレンス2009

2 -66. セキュリティ対策手順：④対策方針の立案②対象資産の定義

脅威の可能性①リスク
目標定義■「防御策要否」戦略マトリックス例
脅威の重要性
戦略マトリックスを ｱﾌﾟﾘｹｰｼｮﾝとﾃﾞﾊﾞｲｽ資産
１２３４作成し，Ａ (可能性大) 必須 必須 必須下記観点での対策
Ｂ (可能性中) 必須 必須 任意の必要有無を配置
Ｃ (可能性小) 必須 必須 任意する
する。
Ｄ (可能性無) 任意

③リスク
分析

■対策の観点緩和策：（Mitigation）

停止時間を減少させる為のバックアップ，RAIDおよびデータ暗号化など，ネットワーク切り離し④対策方針の立案

防御策：（Access control）

機器やサービス，ユーザ認証などの利用制限

検 策
検出策：
（Detection）

ログ情報の解析、アンチウィルスソフトによるグ情報 解析、ウウィルス検知など
制御システムセキュリティカンファレンス2009

デバイス資産トポロジーの例の例
2 -77. デバイス資産トポロジ
全社ｲﾝﾄﾗﾈｯﾄ（IP-VPN等）
ERP system

２Maintenance PC

MES Client他事業所

IT系サーバ(DNS等)

１

Maintenance PC

３MES Server

３Router

ISDN

Plant Amodem

無線
ｱｸｾｽﾎﾟｲﾝﾄ

HMI

２

２Controller

Engineering
Workstation

２

携帯端末

OPC
Server3Com

１

１Fieldbus

Area of Risk Assessment

Field Devices

Ｂ領域（可能性中）

Control Network

Controller
3Com

Ａ領域
（可能性大）RAS

Plant B

１

１Office Network

２

Analog telephone
Factory Network※丸数字は重要性

インターネット

１

Ｃ領域（可能性小）

Field Devices■ 緩和策（Mitigation) ■ 防御策（Access control）■ 検出策（Detection）
・データのRAIDを導入 ・DMZを設置しデータ交換
・RASのログを監視
・データの暗号化
・無線LANにAES等暗号を導入 ・IDSの設置
RAID：Redundant Arrays of Inexpensive Disks，DMZ：DeMilitarized Zone，IDS：Intrusion Detection System
制御システムセキュリティカンファレンス2009

ISA-SP99によるセキュリティ対策まとめ
SP99によるセキュリティ対策まとめ
2 -88. ISA
戦略マトリックスの結果から防御領域と防御方針（トポロジー）が導かれる。
• 資産の重要性レベル• 可能性度（例ではＡ～Ｄ）領域レベル• 防御層（多層防御）と境界• 適切な資産配置

制御システムセキュリティカンファレンス2009

目次
１ はじめに１．はじめに– SICE/JEMIMA/JEITAセキュリティ共同WG– セキュリティ検討対象
検象

２．生産制御システムセキュリティの対策立案– ISA-SP99

３．セキュリティ機能要件の分析と役割分担– NIST/PCSRF/SPP-ICS

制御システムセキュリティカンファレンス2009

3 -11. 確実なセキュリティ対策を行うためには
セキュリティとは最弱点問題～『鎖は最も弱い所から切れる』
多層防御

ｾｷｭﾘﾃｨﾎﾟﾘｼｰ(ﾙｰﾙ)

Defense-in-depth
Defensein depth
ﾈｯﾄﾜｰｸ境界ｾｷｭﾘﾃｨ
技術・環境・使用方法などによる複数の対策（防御壁）でよる複数の対策（防御壁）で，重要なシステムに対して直接攻撃や情報漏洩を退ける

内部ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ
内部ﾈｯﾄﾜ
ｸｾｷｭﾘﾃｨ
ｴﾝﾄﾞﾎﾟｲﾝﾄｾｷｭﾘﾃｨ
3Com

セキュリティに対する攻撃を防ぐだけではなく，攻撃を見つけ対応するための時間稼ぎが可能

ファイヤウォール・ルータなどによるネッタなど
るネ
トワークセグメント分
割
IDS：侵入検知システム
侵 検知
IPS：侵入防御システム
アンチウィルスソフト
Windows等へのセキュリティパッチ

IPS：Intrusion Protection System
制御システムセキュリティカンファレンス2009

3 -22. ２つのギャップを考える
機能分担から見たギャップ

M&CSｺﾝﾎﾟｰﾈﾝﾄ
強固
操作のﾙｰﾙ
教育

ｾｷｭﾘﾃｨﾎﾟﾘｼ-

ギャップを放置してセキュリティ対策しても「穴」ができてしまう

役割分担から見たギャップ

認証
ｱﾝﾁｳｨﾙｽ
IDS
Fi
Firewallll

ユーザ

ｲﾝﾃｸﾞﾚｰﾀ
ｲﾝﾃｸ
ﾚ ﾀ

ベンダ
ンダ

IT環境

「何」を「誰」が担当するか⇒「SPP-ICS」を用いて役割分担を試行• ISO15408のPP(Protection Profile)をM&CS向けに拡張• M&CSのためのセキュリティ要件のセット
SPP-ICS：System Protection Profile - Industrial Control System
制御システムセキュリティカンファレンス2009

機能・役割分担の概要
役割分担の概要
3 -33. 機能考えられるシステム構成を抽出
 ｽﾀﾝﾄﾞｱﾛﾝﾀｲﾌﾟ
ﾀ ﾄﾞﾀｲ ﾟ 垂直構造ﾀｲﾌﾟ⇒製造実行系接続
 水平構造ﾀｲﾌﾟ⇒他社間接続
 リモート監視

モデルケースを抽出

脅威を確定するPCSRF SPP-ICSSPP ICS Ver1.0を利用
Ver1 0を利用

セキュリティ機能要件の分析

ｾｷｭﾘﾃｨ対策方針を決める

 抽出したモデルケースそれぞれから脅威を分析
 セキュリティ機能要件を抽出

ｾｷｭﾘﾃｨ機能要件
を導く
機器・人の役割を明確化
機器
人 役割を明確化

機能・役割の分担

 M&CSの構成機器
 IT機器 非IT系
 関連者（関連者（ﾕｰｻﾞ・ﾍﾞﾝﾀﾞ・ｲﾝﾃｸﾞﾚｰﾀ）ｻ
ﾀ ｲ ﾃｸ ﾀ）の役割分担

制御システムセキュリティカンファレンス2009

3 -44. 役割分担に使用したモデルシステム
水平構造

垂直構造
Office NetworkRouter

RemoteFactory Network（Ethernet） Maintenance

M&CS
PublicServer

HMI

EWS

Factory Network（Ethernet）
Plant-A
Plant-BRAS

HMI Router

HMI

modem
Control Network
Control Network

3C om

3C om

Controller/PLC
Field Network

Valve/Sensor/Actuator

Controller
/PLC

3C om

Field Network

Valve/Sensor/Actuator

Valve/Sensor/Actuator

制御システムセキュリティカンファレンス2009

3 -55. 脅威を確定する
Router

脅威を確定する

RemoteFactory Network（Ethernet） Maintenance

M&CS
PublicServer

HMI

EWS

RAS

modem
d
Control Network

3C o mセキュリティ
ｾｷｭﾘﾃｨ対策方針
対策方針
を決める
を決める

セキュリティ
セキ
リティ
機能要件
を導く

Controller/PLC
Fi ld N
Field
Networktk

Valve/Sensor/Actuator

HMI

コンポーネント毎に、SPP-ICSを参照
しながら 考えられる脅威を確定する
しながら、考えられる脅威を確定する

不正な情報公開
不正な分析
不正な修正
不正な破壊
書き換え
悪意のあるコマ ンド
な りすまし否認
D O S攻 撃特権
障害検知なし自然災害による停止
電力停止
ウィルス 感染
物理的攻撃

脅威
SPP ICSで定義
SPP-ICSで定義されている
制御システムセキュリティカンファレンス2009

3 -66. セキュリティ対策方針を決める
脅威
脅威を確定する

セキュリティ
ｾｷｭﾘﾃｨ対策方針
対策方針
を決める
を決める

セキュリティ
セキ
リティ
機能要件
を導く

不正な情報公開
不正な分析
不正な修正
不正な破壊
書き換え
悪意のあるコマ ンド
な りすまし否認
D O S攻 撃特権
障害検知なし自然災害による停止
電力停止
ウィルス 感染
物理的攻撃

セキュリティ対策方針
物理的リスク否干渉
総合接続性
データーのバックアップ
データ変更の認証
操作の継続
組織管
組織管理
移行
コンプライアンス
組織外の人の管理
リモ ト制御リモート制御アクセアウ権限
安全な通信
データの完全な状態
機密性の保護操作における可用性システムの完全な状態
システム診断
不正監視
監査
侵入検知

SPP ICSに，想定される脅威に対してどのようなSPP-ICSに，想定される脅威に対してどのような対策方針をとるべきかが明記されている。
共同WGではこの情報を，Excelを使って簡単に利用できるようにした利用できるようにした。
制御システムセキュリティカンファレンス2009

3 -77. セキュリティ機能要件を導き出す
セキュリティ対策方針
脅威を確定する

セキュリティ
ｾｷｭﾘﾃｨ対策方針
対策方針
を決める
を決める

セキュリティ
セキ
リティ
機能要件
を導く

物理的リスク否干渉
総合接続性
データーのバックアップ
データ変更の認証
操作の継続
組織管
組織管理
移行
コンプライアンス
組織外の人の管理
リモ ト制御リモート制御アクセアウ権限
安全な通信
データの完全な状態
機密性の保護操作における可用性システムの完全な状態
システム診断
不正監視
監査
侵入検知

セキュリティ機能要件
機能要件
FPT_PHP.1
FPT PHP 2
FPT_PHP.2
FPT_PHP.3
FPT_PHP.4_
FPT_RCV.2
FPT_RCV.3
FPT_RCV.4
FPT_RCV.5
FPT_RPL.1

説明
物理的攻撃の検出
物理的攻撃への通知
物理的攻撃への抵抗
ドメインと物理的な境界線を明確に、ドメインごとのセキュリティを確定す
ポリシーを確定すること
自動回復
損失のない自動回復
機能回復
障害時、機能を削減してからの障害時、機能を削減
継続運転。
リプレー検出
サブオブジェクトのセキュリティドメインを実施し、信頼しないドメインからの干渉を防ぐ
変更されていない受信に対する応答
各部分の間で送受信されたデータの正確さを把握すること。
デタ
確さを把握する 。
システムが信頼性のあるタイムスタンプの利用が出来ること。

SPP-ICSに，対策方針に対してどのような機能
FPT SEP 1
要件があるかが明記され FPT_SEP.1要件があるかが明記されている。
る
FPT_SSP.1
共同WGではこの情報を，Excelを使って簡単_に利用できるようにした。 FPT_SSP.2
FPT_STM.1

制御システムセキュリティカンファレンス2009

3 -88. 機能MAPを作る
セキュリティ機能要件
ＩＴ環境

M&CSｺﾝﾎﾟｰﾈﾝﾄ
HMI

Controller

Network

非ＩＴ環境

Firewall

操作規則

教育教

3C om

Functionrequirement

機能MAP

Explanation

FAU_GEN.1 Record the audit log
FAU_GEN.2 Record the user ID in the audit log
FAU_SAA.1
FAU_SAR.1
FDP_ACC.1
FAU SAA 3
FAU_SAA.3

The violation of the policy can be audited
according to the set rule.
The audit information can be pprovided in an
appropriate way for those engaged in theaudit.
Accesses can be partly restricted.
Simple attacks can be detected.
detectedWhthdt itdt

HMIITController
EnvironmentＶＶ

Ｖ (Firewall)
Ｖ (Firewall)Ｖ

Ｖ (Firewall)ＶＶＶ

Ｖ (Firewall)ＶＶ

NNon-ITIT
environment

Ｖ
Ｖ

Ｖ

t id
制御システムセキュリティカンファレンス2009

3 -99. 役割MAPを作る
セキュリティ機能要件
セキ
リティ機能要件
M&CSｺﾝﾎﾟｰﾈﾝﾄ

機能
MAP

役割MAP

HMI

Controller

ＩＴ環境
Network

Firewall

非ＩＴ環境
操作規則

教育

3C om

Function Requirement

Control system vendor

Integrator

User

FAU_GEN.1
FAU_GEN.2_
FAU_SAA.1
FAU_SAR.1
FDP_ACC.1
FAU SAA 3
FAU_SAA.3
FDP ETC 1

Ｖ
Ｖ
Ｖ
Ｖ
Ｖ
Ｖ
Ｖ

Ｖ
Ｖ
Ｖ
Ｖ
Ｖ
Ｖ

Ｖ
Ｖ
Ｖ

セキュリティ
機能の担当を分類

制御システムセキュリティカンファレンス2009

10. SPPSPP-ICSによる機能・役割分担のまとめ
ICSによる機能 役割分担のまとめ
3 -10
機能MAP

M&CSの構成機器等が持つべきセキュリティ機能を明確にできた

役割MAP

セキュリティ対策する際のM&CS構築関係者の役割を明確にできた

セキュアなM&CSの構築に重要な役割を果たす
制御システムセキュリティカンファレンス2009

まとめ• SICE/JEITA/JEMIMAでは共同WG活動にて次のセキュリティ規格の調査研究を行いました。
– 制御系ネットワーク装置の「重要度と可能性に応じた」
制御系ネク装置 「重 度
能性 応 た防御方針を，ISA-SP99を用いて抽出しました。
– 制御系セキュリティの要件分析と役割分担を制御系セキ リティの要件分析と役割分担をNIST/PCSRFのSPP-ICSを用いて試行し，セキュリティ対策の穴を減らす提言をしました。

• 今後の活動– 各種セキュリティ規格のライフサイクルとターゲットを一覧する俯瞰マップを作成しています一覧する俯瞰マップを作成しています。
制御システムセキュリティカンファレンス2009

A-11. セキュリティ規格利用における悩み• セキュリティ規格、標準化団体は増えてきているが・・・– 現状• 欧米を中心に様々な規格、ガイドライン、団体が乱立している• 分野ごとに多数存在。互いに参照しあっているものもあるが，実際に適用する際に何を参照したら良いのか判断できない– ベンダーの立場• 製品の設計や評価検証時にどの規格を採用したら良い？

– ユーザーの立場
ユ ザ の立場• システムの検討フェーズや運用フェーズでやるべき事が不明

解決策として必要な分野や開発フェーズ（ライフサイクル）から必要な規格を参照可能とするための俯瞰マップを作成する
28
制御システムセキュリティカンファレンス2009

A-22. 俯瞰マップのレイアウト• 参照するドキュメントが、セキュリティライフサイクルのどの部分に いて書かれているかを容易に確認可能分について書かれているかを容易に確認可能
参照し易いように業界・分野ごとに分類
ライフサイクルの定義
発行年度と改版年度を記載

ドキュメント、ドキュメント
団体名称参照ドキュメントが関係するライフサイクル

29
制御システムセキュリティカンファレンス2009