JPCERT Coordination Center

デジタル署名者 : JPCERT Coordination Center
DN : c=JP, st=Tokyo, l=Chuo-ku, serialNumber=AATL20231109322437, o=JPCERTCoordination Center, cn=JPCERT Coordination Center, email=office@jpcert.or.jp
日付 : 2024.02.02 08:44:07 +09'00'

攻撃者視点から見た
OT環境の通信監視
スモールスタートから始めてみよう
サイバーディフェンス研究所
OTセキュリティグループ
プリンシパルコンサルタント

1/24/24

Copyright© Cyber Defense Institute, Inc. All Rights Reserved
Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

安井康二

11

自己紹介
Career

２０年以上、重要インフラのSCADA開発
Ø ミドルウェア・ネットワーク・セキュリティ担当
Ø FW, IDS, ログ管理（SIEM）, アプリケーションホワイトリストØ リスクアセスメント

年々つのる、対策は有効なのかという疑問対策の有効性を知るには、攻撃手法を知らねば
2019

セキュリティ企業に転職、攻撃者知見学ぶ
Ø 制御システムのペネトレーションテスト
Ø 模擬制御システム環境の構築と攻撃・検知・防御実験

知り得た知見を、制御業界の方へ還元したい

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

22

対象者
自らが関わるOT環境において、侵入兆候があるのか知りたい方
l 通信監視に興味がある
l OT IDS製品選定の前に基礎知識を得たい
l 侵入兆候の発見方法を実際に見てみたいl パッチ未適用のLinux/Windowsへの攻撃が心配

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

33

対象範囲
資産把握

識別（ID)

通信監視

防御（PR)

検知（DE)

対応（RS)

復旧（RC)NIST サイバーセキュリティフレームワーク(CSF)

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

44通信監視は、OT環境と相性が良い理由
l セキュリティ対策の効果を見える化
攻撃を仕掛けられているのか、防げているのか把握できる
l 可用性への心配なく監視可能
受動的なパケットキャプチャで監視できるので運用への影響与えないl 日々の点検の延長で監視可能
一次診断であれば、無理なくOT現場の人が慣れ親しんだ設備異常点検の延長として運用可能（と思う）
1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

55

初期導入課題
l 費用が高く敷居が高そう
l どんな機能が必要なのかわからない↓
どの製品を適用するかの判断基準がわからない↓
l スモールスタートで始めてみる
工夫すれば低いコストでも運用可能
制御システムは、原則、特定の機器間で決まったプロトコルで通信を行うため、通常時と異なる侵入兆候をみつけやすい。
1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved66スモールスタート
l 用意するもの
１０〜２０万円程度のPC

コネクションページ
セッションページl 手法
OSSツール： Arkime
l 手順
https://arkime.com/
CISAの通信分析ツール群Malcolmに採⽤。
PCにArkimeをインストール設定
Switchにミラーポート設定しパケットキャプチャしてArkimeで監視
詳細は、「サイバーディフェンス研究所ブログ DARKMATTER」で公開
https://io.cyberdefense.jp/entry/ot̲ids̲oss/
1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved77制御システムでためす

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

88CyberDefense 模擬制御システム MAP
SCADAServerSCADA
HMI

SCADA
Server

SCADA
HMI

⽔ポンプ

仮想⼯場

⼯場制御システム

⽔量制御システムSoft PLC

判例

コントローラPLC:LAN(Modbus/TCP):LAN(Melsec/UDP):LAN(Melsoft/UDP)

SCADAServerSCADAHMI:LAN(独⾃ over TLS)
鉄道

鉄道制御
システム
1/24/24:LAN(X11/TCP):シリアル:電線

PLC

PLCのHMI
Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved99

情報ネットワーク

制御システム端末

端末

Internet
Firewall

制御ネットワーク

FirewallSwitchFirewall

SCADA
サーバ

HMI

保守用
サーバ

VPN

保守ベンダ拠点

アクチュエータ

センサ
PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved1010

情報ネットワーク

通信監視環境端末

端末

Internet
FirewallFirewallSwitchの全ポートをミラーリングしてパケットキャプチャ (注)制御ネットワーク

ArkimeSwitchFirewall

SCADA
サーバ

どこから取得するか？
保守用
どうやって取得するか？
HMIVPN

サーバの検討は、重要なテーマだが、本日は時間の関係上割愛。
保守ベンダ拠点

アクチュエータ

センサ

注：容量的に取りこぼしが発生する環境の場合は取得範囲しぼるなど工夫が必要。

PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved1111

平常時の監視1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved1212

情報ネットワーク

制御システムの必須通信
端末・運用に必須の通信
１. HMIとSCADAサーバの通信（TCP/20295）
Internet
２. SCADAサーバとPLCの通信（TCP/502）

端末

Firewall

制御ネットワーク

FirewallSwitchFirewall

SCADA
サーバ

アクチュエータ

HMI

保守用
サーバ

VPN

・保守に必要な通信保守ベンダ拠点
３. 保守用サーバとSCADAサーバ（TCP/22）

センサ
PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved1313

情報ネットワーク

通信監視結果端末

端末

Internet
FirewallFirewall

制御ネットワーク

ArkimeSwitchFirewall

SCADA
サーバ

HMI

保守用
サーバ

VPN

保守ベンダ拠点

アクチュエータ

複雑で理解困難。
シンプルな通信しかしてないのに、なぜこんなに複雑か？
センサ

PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved1414

情報ネットワーク

通信監視結果 解説１
端末

端末

Internet
Firewall

IPv6

ICMP
Firewall

制御ネットワーク

ArkimeSwitchVPN
４. ICMP通信
保守用
HMI
SCADA
サーバ
サーバ
５. IPv6通信
Firewall
制御システム６. multicast通信の必須通信
７. broadcast通信アクチュエータ
保守ベンダ拠点
etc.
センサ
制御システムの必須通信ではないが、OSや機器をデフォル
PLC
ト設定のままとしているとさまざまなパケットも流れている。

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved1515

制御ネットワーク

情報ネットワーク

通信監視の工夫PC、監視結果を見る人間の能力・労力にリソース制限ないのであれば全てのパケットをキャプチャした方がセキュリティ上好ましい。しかし、限られた予算では非現実。
端末
端末
Internet→ 妥協策 最低限見たいところを見る
Firewall
当該制御システムで、攻撃可能性の低そうなプロトコルや、過去の制御システムにおけるインシデント事例ではあまり見かけない通信プロトコルをキャプチャ対象外とする。
Firewall
４. ICMP通信
５. IPv6通信
６. multicast通信
Switch７. broadcast通信
残るのは、IPv4のtcp or udp の unicast通信
VPN
保守用
Firewall

SCADA
サーバ

HMI

サーバ

→ 長期的な対策
システム企画段階から不要なパケットは流さない方針とする。
アクチュエータ
保守ベンダ拠点
発注者：発注要件
設計者：基本設計思想
センサ
PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved1616

情報ネットワーク

工夫後の通信監視結果
端末

端末

InternetFirewall

送信元：保守⽤サーバ

制御システムの保守に必須通信

Firewall

送信先：SCADAサーバ

制御ネットワーク

Arkime制御システム
Arkimeの結果をはる。の運⽤に必須通信

Switch

送信元：HMI

制御システムの必須通信だけでわかりやすい
VPN
Firewall

SCADA
サーバ

アクチュエータ

HMI

保守用サーバ

送信元：SCADAサーバ

攻撃者視点で見た場合、これだけ限られた通信しか流れていない状態で、通常運用で利用されないパケットを流したらす
送信先：SCADAサーバ
送信先：PLC
ぐ発見されてしまいそう。保守ベンダ拠点

もし、おかしな通信が現れたらチェック容易
センサ

PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

1717

参考比較：インターネットと通信していた仮定の監視結果
情報ネットワーク以下はキャプチャ対象外
４. ICMP通信
端末
端末
５. IPv6通信
６. multicast通信
７. broadcast通信Internet
FirewallSCADAサーバ(Linux)

Firewall

HMI(Windows)

制御ネットワーク

ArkimeArkimeの結果をはる。
Switch⼀⽬瞭然で複雑になっている。
保守用VPN

サーバ
監視の大変さが一目瞭然。
Firewall
IT環境での通信監視が大変なことがわかる。
インターネットとつながるIT環境で
SCADA
サーバ

HMIの通信監視の⼤変さが予想できる。
保守ベンダ拠点
幸い、OT環境では通信相手は限られている。
アクチュエータ

センサ
PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved1818

攻撃してみて侵入兆候の監視

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved1919

ありえそうな攻撃を想定

l 攻撃シナリオ１
サプライチェーンから保守用サーバに侵入
l 攻撃シナリオ２
BadUSBをHMIの空きUSBポートに挿す

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved2020

情報ネットワーク

攻撃シナリオ１：サプライチェーンから保守用サーバ侵入
端末

端末

１. サプライチェーンである保守ベンダ拠点を経由して保守⽤サーバに侵⼊。
２. 保守⽤サーバを踏み台として制御ネットワークの空きポート探索（ポートスキャン）
Internet
３. 保守⽤サーバからSSHでSCADAサーバ認証試⾏。
Firewall

制御ネットワーク

Firewall２.
３.

SwitchFirewall

SCADA
サーバ

HMI

保守用サーバVPN

１.
保守ベンダ拠点

アクチュエータ

センサ
PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

21

21

情報ネットワーク

攻撃シナリオ１後の通信監視結果
端末

端末

Internet
FirewallBaseline時はなかった
新しい通信

Firewall
Arkime

制御ネットワーク

送信元：保守⽤サーバ

SwitchFirewall

現場運⽤者：HMISCADA 平常時には無い相⼿サーバとの通信が発⽣している。

保守用サーバ

VPN

あやしいぞ！

アクチュエータ

保守ベンダ拠点 送信先：SCADAサーバ

センサ
PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

22

22

情報ネットワーク

攻撃シナリオ2：BadUSBを挿してC2サーバへ接続
端末

端末

Internet
Firewall

C2サーバ（Command and Controlサーバ）

通信路のいずれかで、インターネットへの通信がブロックされている。という設定であれば、C２サーバと接続できず攻撃は防げる。

Firewall

制御ネットワーク２.

SwitchFirewall

SCADA
サーバ

HMI

保守用サーバVPN

１.

アクチュエータ

１. 内部犯がHMIにBadUSBを挿す。
保守ベンダ拠点
２. BadUSBがFirewallを経由してインターネット上のC２サーバと接続。

センサ
PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

23

23

情報ネットワーク

攻撃シナリオ２後の通信監視結果（C2接続防げる場合）
コネクション

端末

Internet
端末

ページ

FirewallFirewall
Arkime

制御ネットワークArkimeの結果をはる。

セッション

ページ

Switch
保守用
サーバ

HMI

VPN

SCADA
サーバ

C2サーバへの接続試行の発見が容易
現場運⽤者：
保守ベンダ拠点
平常時には無い相⼿アクチュエータとの通信が発⽣している。
Firewallセンサ
あやしいぞ！

CSIRTメンバ：
相⼿からの応答はないので、Firewallで防げていそうだ！

PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

24

24

情報ネットワーク

攻撃シナリオ２後の通信監視結果（C2接続された場合）
コネクション
端末

ページ

端末

Internet
FirewallFirewall

制御ネットワーク

ArkimeArkimeの結果をはる。

セッション

ページ

Switch

現場運⽤者：
VPN
平常時には無い相⼿
保守用
HMI
サーバ
仮に、インターネットと常時接続する状態であったら、みつとの通信が発⽣している。
SCADA
Firewallサーバ
けるのは大変。

あやしいぞ！

保守ベンダ拠点制御システムでは、そんな状態で運用していることは、まれアクチュエータであると思います。

CSIRTメンバ：相⼿からの応答あり、多量のデータがやりとりされている。
やられている！！！！

センサ
PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

25

25

情報ネットワーク

通信監視をもっと工夫適用する上で問題がありそうな事・機器が多くてチェックが大変。
端末
端末
・平常時のパケットが多すぎてPCリソース足りない。
Internet→ もっと妥協案 制御システムの運用に必須な通信もキャプチャ対象外とする。
Firewall
平常時で残るのは、保守の通信のみ
Firewall

制御ネットワーク

平常時保守の通信のみ

攻撃シナリオ２後

攻撃シナリオ１後

SwitchFirewall

SCADA
サーバ

HMI

保守用
サーバ

VPN

保守の通信以外が発⽣していることが、⼀⽬瞭然
保守ベンダ拠点

アクチュエータ

センサ
PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

26

26

情報ネットワーク

常時キャプチャできない時、弱点把握としての使い方
検知（DE)
端末

端末

Internet

基本戦略： 外部との境界で取得

⽬的：
敵を発⾒したいFirewall

制御ネットワーク

Firewall

識別（ID)

Switch⽬的：
代替戦略：数日ごと順番に様々な箇所で取得
弱点を⾒つけたい。
Arkimeは、キャプチャ済みのpcapファイルを取り込める。
Firewall

SCADA
サーバ

保守用
サーバ

HMI

VPN

・資産管理を行い野良端末の発見
・通信把握を行いC2サーバとの通信発見
アクチュエータ

保守ベンダ拠点センサ
状況がわかれば、データを元にしたセキュリティ対策のPLC次の一手がみえてくる。

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

2727

システムを開発・提供する方へ
従来：考慮なし

将来：必須通信のみ

参考：最新 2023年9⽉28⽇発⾏ NIST SP800-82 Rev.3
OTセキュリティへのガイドの抜粋
OT固有の推奨•5.2.3.1 Network Architecture• OT-Specific Recommendations and Guidance
One area of considerable variation in practice associated with firewall
rules is the control of outbound traffic from the control network.
Allowing outbound connections from lower levels, tiers, or zones could
represent a significant risk if unmanaged. Organizations should
consider making outbound rules as stringent as inbound rules toreduce these risks.
•5.2.3.3. Network Monitoring• OT-Specific Recommendations and Guidance
OT system traffic is typically more deterministic (i.e., repeatable,predictable, and designed) than IT network traffic, which can leveraged
to support network monitoring for anomaly and error detection.
1/24/24

防御（PR)
アウトバウンドはインバウンドと同じくらい厳格に！

検知（DE)
OTトラフィックはITより予測可能、異常検知に活⽤！

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

2828

まとめ

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

29

29

まとめ
・通信監視は、OT環境と相性が良い理由を説明
・スモールスタートとしてOSSのArkimeを紹介
・どのような侵入兆候を検知できるかを模擬制御システムをつかって紹介
・OT環境での監視における運用方法のヒントを紹介ぜひ自らためしてみてください

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved3030

今回紹介した事例は、スモールスタートの基本的な内容です。
見えないから分からなかった事でも一歩踏み出すことで比較的容易に見えてくるものです
今回紹介した内容を試すことで、自分達のシステムの資産と通信を把握でき、通信監視製品を選定するための基礎知識を得ていただければ幸いです。
1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

31

31

インストール設定詳細は、「サイバーディフェンス研究所ブログ DARKMATTER」で公開

https://io.cyberdefense.jp/entry/ot̲ids̲oss/

以上
お問い合わせはこちらへ
https://www.cyberdefense.jp/contact/
1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved3232

参考：通信監視運用の前にやっておきたい対策

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

3333監視するなら、基本セキュリティ対策もやっておきたいものです。
・ファイアウォールの設定
インバウンド・アウトバウンドともに必要最小限の通信のみ許可・認証情報の保護
平文で保存しない。パスワードの使い回しはしない。
・復元できるバックアップ
ランサムウェア対策としてシステム復元できるようにパッチ適用できない環境でも行える効果的な対策はある。
1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved3434

参考：紹介した方法で検知できない攻撃

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved3535

こんな攻撃が心配で検知必要と考えるなら更なる対策を考えて
l 制御システムに必須の通信をつかった攻撃
例１：サプライチェーンから保守サーバに侵入した攻撃者が、保守サーバ上に平文保存されていたSCADAサーバの認証情報を取得。保守作業員がメンテナンス作業をおこなうスケジュー
ルにあわせ、SSHでSCADAサーバに侵入。制御に関わるプログラムや設定情報を改ざん、もしくは、SCADAサーバからPLCに制御命令を送信。
例２：サプライチェーンから保守サーバに侵入した攻撃者が、中間者攻撃で監視・制御に関する通信を盗聴・改ざん

ここまで守りたいとなると、より豊富な監視機能をもつツールを導⼊するのがよいかもしれません。

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved3636

こんな攻撃が心配で検知必要と考えるなら更なる対策を考えて
l エアーギャップ越しの攻撃
例３：内部犯が、USBを悪用しエアーギャップ越しにHMIをC2サーバと接続し、C2サーバからHMIをリモートデスクトップ操作。
制御ネットワークがインターネットと接続するルートがない（エアーギャップ）環境と仮定

HMI

１. 内部犯が、LTE回線モデムをHMIに挿す
２. 内部犯が、 BadUSBをHMIに挿す（LTE回線を経由してC２サーバとセッション確⽴する。）
以降のながれは、攻撃シナリオ２と同じ。

このような攻撃⼿法を知ると、未使⽤のUSBポートを閉じる対策が、それなりの効果があることがイメージつきやすいかもしれません。

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

3737

検知だけでは心配と考えるなら更なる対策を考えて
l 検知されてもよい前提での攻撃
例４：短時間で自律的に感染をひろげて被害発生させるマルウェア

当然ながら検知対策は、検知した上で何かしらのアクションを起こさなければ防御とはなりません。
検知対策が被害を防げるのは、検知してから被害発⽣までの間に、対策を⾏える時間がある場合となります。

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved3838

参考：制御画面を操作するまでのシナリオ例

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved3939

情報ネットワーク

攻撃シナリオ１：サプライチェーンから保守用サーバ侵入後、制御画面を操作し被害をあたえるまで
端末

端末

Internet
Firewall

制御ネットワーク

FirewallSwitchFirewall

１. サプライチェーンである保守ベンダ拠点を経由して保守⽤サーバに侵⼊。
２. 保守⽤サーバを踏み台として制御ネットワークの空きポート探索（ポートスキャン）
３. 保守⽤サーバからSSHでSCADAサーバ認証試⾏。
２.
４. 保守⽤サーバ内に平⽂保存されたHMIのSSHユーザ・パスワードを窃取
３.
５. HMIにSSHでログイン、その際RDPのPortForwardを設定。
６. HMIの既知の特権昇格の脆弱性(Printnightmare)を発⾒し管理者権限取得
７. HMIのリモートデスクトップ(RDP)設定を有効化
VPN
保守用
HMI
SCADA
８.
保守⽤サーバを踏み台として深夜HMIへRDP接続し、HMIの画⾯の操作を可能とする。
サーバ
サーバ
１.
９. 制御画⾯を操作し被害を与える。
保守ベンダ拠点

アクチュエータ

センサ
PLC

1/24/24

RDPは、⼈が操作していなさそうな時間をねらう⽅法以外に、他ユーザを追加し複数ユーザのRDP接続を可能として画⾯機能を起動すること
で、正規のユーザの画⾯には影響させずに実⾏する⽅法などもあります。
Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved4040

情報ネットワーク

攻撃シナリオ2：BadUSBを挿してC2サーバへ接続した後、制御画面を操作し被害をあたえるまで
端末

端末

Internet
Firewall２.

C2サーバ（Command and Controlサーバ）

制御ネットワーク

FirewallSwitchFirewall１. 内部犯がHMIにBadUSBを挿す。
２. BadUSBがFirewallを経由してインターネット上のC２サーバと接続。
（管理者権限でPowerShell実⾏し、C2サーバとReverse Shellセッション確⽴）
３. リモートデスクトップ(RDP)有効化（RDPをPort Forward設定し、RDP接続を許可）
VPN
保守用
HMI
SCADA ４. C2からHMIに深夜RDP接続し、HMIの制御画⾯の操作を可能とする。
サーバ
サーバ
５. 制御画⾯を操作し被害を与える。
１.
RDPは、⼈が操作していなさそうな時間をねらう⽅法以外に、保守ベンダ拠点他ユーザを追加し、複数のRDP接続を可能として画⾯機能を起動することで、正規のユーザの画⾯には影響させずに実⾏する⽅法などもあります。

アクチュエータ

センサ
PLC

1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved4141

お問い合わせはこちらへ
https://www.cyberdefense.jp/contact/
1/24/24

Copyright © 2024 Cyber Defense Institute, Inc. All Rights Reserved

4242