IPA重要インフラ情報セキュリティ
シンポジウム2012

サイバー攻撃と制御システムのセキュリティ対策(標準化）の現状と課題についてパネルディスカッションへ
2012年2月23日
IPA技術本部 セキュリティセンター
情報セキュリティ技術ラボラトリー長
小林偉昭
Copyright © 2012 独立行政法人情報処理推進機構

目次
1. サイバー攻撃のデモ概要
2. 最近のサイバー攻撃
3. 制御システムの課題･問題提起
3.1 脆弱性対策と標準･評価･認証
3.2 サイバー攻撃によるインシデントへの対応
3.3 官民連携PPPによる情報共有
4. パネルディスカッションへ
安全な社会インフラの持続に向けて

Copyright © 2012 独立行政法人情報処理推進機構

2

サイバー攻撃のデモ概要 その１
攻撃者
インターネット
ツールの入手ソーシャルエンジニアリング（攻撃相手の仕事・人間関係の調査）

被害者（あなたのPC）
Microsoft Word
既知の脆弱性

標的型攻撃メール送付

クリック

マルウェアの生成○○○○○○○○○○○○■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■

バックドア作成■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■

悪意あるツール

マルウェアと悪意あるツールで通信（バックドア）Copyright © 2012 独立行政法人情報処理推進機構

3サイバー攻撃のデモ概要 その２
攻撃者

被害者（あなたのPC）

バックドアを利用して・・・

情報窃取
機密情報

○○○○
○○○○○○○○■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■

嘘

情報改ざん

重要情報
悪意あるツール

行動監視
内臓カメラ等部分は今回のデモで未実施

指示
組織内へマルウェア拡散等
Copyright © 2012 独立行政法人情報処理推進機構

4目次
1. サイバー攻撃のデモ概要
2. 最近のサイバー攻撃
3. 制御システムの課題･問題提起
3.1 脆弱性対策と標準･評価･認証
3.2 サイバー攻撃によるインシデントへの対応
3.3 官民連携PPPによる情報共有
4. パネルディスカッションへ
安全な社会インフラの持続に向けて

Copyright © 2012 独立行政法人情報処理推進機構

5サイバー攻撃とは 2011年にサイバー攻撃の報道が目立った
時期

報道

2011/2

中国から欧米エネルギー５社攻撃（毎日新聞等）

2011/3

韓国で大規模ハッカー攻撃 大統領府や銀行など４０機関（朝日新聞等）

2011/3

仏財務省にサイバー攻撃、Ｇ２０情報盗まれる（読売新聞等）

2011/4-5

ソニーにサイバー攻撃、個人情報流出１億件超（朝日新聞等）

2011/6

米グーグル：中国からサイバー攻撃 米韓政府関係者ら被害（毎日新聞等）

2011/9三菱重にサイバー攻撃、８０台感染…防衛関連も（読売新聞等）

2011/9ＩＨＩにもサイバー攻撃 日本の防衛・原発産業に狙いか（産経新聞等）

2011/10

衆院にサイバー攻撃 議員のパスワード盗まれる（朝日新聞等）

2011/11

サイバー攻撃：参院会館のＰＣ、ウイルス感染は数十台に（毎日新聞等）
Copyright © 2012 独立行政法人情報処理推進機構

6サイバー攻撃の例：～日本、イスラエル、インド、米国の防衛産業企業に対する標的型攻撃～ 国内の大手総合重機メーカーへの攻撃（2011年9月）
 国内大手総合重機メーカの軍需情報、原発情報の窃取を目的とした攻撃
 大手総合機器メーカが加盟している団体を攻撃し、事前目標を定めた
 83台の端末にウイルスが感染し、50種類のウイルスが検出された

事前目標調査（例えば業界団体のケース）

攻撃環境準備、踏み台等

業界団体と会員企業の関係
大手総合重機メーカー
標的型メール攻撃

バックドア設置

ウイルスによる捜索と窃取

Copyright © 2012 独立行政法人情報処理推進機構

7

サイバー攻撃の目的
 現状のサイバー攻撃を行う攻撃者の目的– 情報窃取• 金銭に繋がるオンラインバンキング等のアカウント情報等• 企業の知財や政府の機密等の重要情報＜攻撃の手法＞•
抜き取った情報を攻撃者のサーバへ送付する•

従業員宛に「標的型攻撃メール」を送付し、組織内ネットワークへ侵入し、攻撃者へ情報を送付する
公開サーバを攻撃し、個人情報を窃取する– サービス運用妨害(DDoS)• 組織のサーバや機器等を停止状態に陥らせる
ボットネット攻撃指令

Copyright © 2012 独立行政法人情報処理推進機構＜攻撃の手法＞•
攻撃者の制御内にあるボットネットを使用して企業のサーバへ攻撃する•
攻撃の呼びかけをして標的のサーバを攻撃する8

サイバー攻撃の変遷～ 攻撃手法の巧妙化だけでなく攻撃者像にも変化 ～ 攻撃者の狙い
いたずら目的
顕示欲の誇示金銭目的（犯罪）
サービス妨害（嫌がらせ）

スパイ・諜報活動
機密情報の窃取

グループ
犯罪者

国家？
犯罪プロ集団

BotnetSpamメール

標的型・シーケンシャ
ルマルウェア 攻撃者像
攻撃者1人
セキュリティ技術者

 攻撃手法不正侵入※ソーシャルエンジニアリングによる、ウェブ、メール、USB等経由の攻撃へ ビジネスインパクト個人情報流出 ⇒ 企業の社会的責任
知的財産情報の窃取 ⇒ 企業の競争力低下、国家の危機管理問題へ
制御機器やシステム停止 ⇒ 企業競争力低下、サプライチェーンの崩壊、社会インフラの混乱、国家の危機管理問題へ
Copyright © 2012 独立行政法人情報処理推進機構

9サイバー攻撃のまとめ サイバー攻撃のまとめ サイバー攻撃はウェブやメール、USBメモリ等を使い、組織の情報を窃取したり、サービスの運用妨害を行おうとしている。
 サイバー攻撃はソーシャルエンジニアリング等を使うようになったり、組織化されたりしており、年々巧妙になっている

付け替え可能個別攻撃手法

個別攻撃手法：組織に特化した攻撃仕様

共通攻撃手法

共通攻撃手法
各攻撃に共通的な攻撃仕様
システム内部調査や攻撃者のサーバとの通信（ウイルスのアップデート、窃取情報の送信等）に使用される攻撃

制御システム動作妨害用（Stuxnetの場合）

新しいタイプの攻撃：
入口での対策が効かない攻撃で、組織情報窃取や破壊を目的にする侵害活動

ソースコード窃取（OperationAuroraの場合）
Copyright © 2012 独立行政法人情報処理推進機構

10

制御システムにおける攻撃対象例
攻撃目的：装置や設備の破壊、悪品質製品生産や生産の暴走、装置ベンダの信頼失墜等
攻撃ターゲット⇒
生産管理・計画
生産管理・計画③

設備管理ｻｰﾊﾞ

リモート
アクセス

生産管理サーバ③

品質管理ｻｰﾊﾞ

製造管理
製造管理
監視・計測
監視・計測
基本的な基本的な制御
制御

①DCS
②
Operation Terminal

②
無線AP

SCADA

Historical
Data Server

SCADA設計ツール
ハンディ
端末 制御コンフィギュレーション

DCS
Controller

フィールド
フィールド

②

4～20maPLC
Field bus

PA

PLC

RS232c / Ethernet

フィールドバスFA

Copyright © 2012 独立行政法人情報処理推進機構

ツール①

出典：VEC村上氏

11攻撃パターン例：データすり替え
ファンクションブロックのパラメータやシーケンスロジック条件を書き換えたものとすり替える。
生産管理・計画
生産管理・計画
リモート
アクセス

生産管理サーバ

設備管理ｻｰﾊﾞ
品質管理ｻｰﾊﾞ

製造管理
製造管理
DCS
Operation Terminal

監視・計測
監視・計測

Engineering Tool

基本的な基本的な制御
制御

SCADA

Historical
Data Server

SCADA設計ツール.dllファイルで制御コードをコントローラへ転送

DCS
Controller

①
フィールド
フィールド
出典：VEC村上氏

無線AP

4～20maPLC
Field bus

PA

PLC

ハンディ
端末

制御コンフィギュレーションツール
RS232c / Ethernet

フィールドバス①

FA

Copyright © 2012 独立行政法人情報処理推進機構

タッチパネルの作画ツール

12

攻撃パターン例：異常コードをコントローラへ画面は正常で表示し、異常コードをコントローラへ送る
生産管理・計画
生産管理・計画
リモートアクセス

生産管理サーバ

設備管理ｻｰﾊﾞ
品質管理ｻｰﾊﾞ

製造管理
製造管理

②

DCS
Operation Terminal

監視・計測
監視・計測

Engineering Tool

基本的な
基本的な制御
制御

②

SCADA

Historical
Data Server

SCADA設計ツール.dllファイルで制御コードをコントローラへ転送

DCS
Controller
4～20ma

フィールド
フィールド

②

無線AP

PLC
Field bus

PA

PLC

ハンディ
端末

制御コンフィギュレーションツール
RS232c / Ethernet

フィールドバスFA
タッチパネルの作画ツール

出典：VEC村上氏
Copyright © 2012 独立行政法人情報処理推進機構

13

攻撃パターン例：生産管理・計画を異常に生産スケジュールの製品成分レシピなどを悪品質にすり換える。生産数量指示を変える。コントローラへの直接指示コードを送って装置や設備にストレスを加える。
・計画生産管理
生産管理・計画
設備管理ｻｰﾊﾞ

生産管理ｻｰﾊﾞ③③

リモートアクセス

生産管理サーバ③

品質管理ｻｰﾊﾞ

製造管理
製造管理
DCS
Operation Terminal

監視・計測
監視・計測

Engineering Tool

基本的な基本的な制御
制御

SCADA

Historical
Data Server

SCADA設計ツール.dllファイルで制御コードをコントローラへ転送

DCS
Controller
4～20maフィールド
フィールド
出典：VEC村上氏

無線AP

PLC
Field bus

PA

PLC

ハンディ
端末 制御コンフィギュレーションツール

RS232c / Ethernet

フィールドバスFA

Copyright © 2012 独立行政法人情報処理推進機構

タッチパネルの作画ツール

14

目次
1. サイバー攻撃のデモ概要
2. 最近のサイバー攻撃
3. 制御システムの課題･問題提起
3.1 脆弱性対策と標準･評価･認証
3.2 サイバー攻撃によるインシデントへの対応
3.3 官民連携PPPによる情報共有
4. パネルディスカッションへ
安全な社会インフラの持続に向けて

Copyright © 2012 独立行政法人情報処理推進機構

15

制御システムの課題･問題提起① 脆弱性対策と標準･評価認証
Stuxnet攻撃例
独シーメンス社製
遠隔監視ソフトウェア(SIMATIC WinCC or
SIMATIC PCS 7) の脆弱性を悪用して、SQL コマンド経由でSIMATIC WinCC あるいは、SIMATIC PCS 7 の稼働する Windows シス
テムに感染
システムの脆弱性を利用することにより、権限昇格や、情報システム環境内部でウイルスの拡散などを実行

独シーメンス社製エンジニアリングツール(SIMATIC STEP 7) を悪用して、PLC (プログ
ラマブルロジックコントローラ) に悪質なコードの書き込み①
WORM_STUXNET
ウィルスに感染した
USBメモリ

生産管理・計画生産管理・計画②生産管理サーバ

SIMATIC
WinCC

製造管理
製造管理

③

監視・計測

SIMATICSTEP 7

リモートアクセス

SIMATIC
PCS 7

②
無線AP

基本的な基本的な制御
制御

③

③
PLC
PLC
6ES7-417

USBメモリやインターネットを通じた情報システムへのウイルス感染(a)USB などのリムーバブル
メディア経由(b)ネットワーク経由(c)ファイル共有経由(d)感染 PC において権限昇格

ハンディ
端末

PLC
6ES7-315-2

フィールドバス④

制御システム上にある装置に対する攻撃の実行

フィールド
フィールド
出典：VEC村上氏
Copyright © 2012 独立行政法人情報処理推進機構

16

制御システムの課題･問題提起① 脆弱性対策と標準･評価認証
脆弱性対策(パッチ対策)の確実･タイムリーな実施＊パソコン/サーバ：適宜パッチ実施可能
しかし、制御システムは、止められない！！
パッチのできる環境整備
セキュリティを作り込んだ製品の選択
制御システム向けの共通的なセキュリティ標準とその評価･認証制御システムのセキュリティ規格(IEC62443)
対応製品･システムの採用と管理システム（CSMS)の構築
CSMS (Cyber Security Management System)は、ISMS (Information Security Management System)をベースに制御システム向けに特化･強化Copyright © 2012 独立行政法人情報処理推進機構

17

制御システムの課題･問題提起② サイバー攻撃によるインシデントへの対応
迅速･適切なサイバーインシデントへの対応＊パソコン/サーバ：人が関与している場合がほとんど。
通常の動作とは違うなと気付く可能性が大きい
しかし、制御システムは、人が関与する場面が少ない！監視盤はあるが。
ハードの劣化等の障害かも知れない。切り分けはどうするの？？

切り分け手順へサイバー攻撃での異常可能性も追加(ガイド等の整備）
サイバーインシデント発生時の連携体制
事業者・ベンダ･専門家等のタイムリー・緊密な連携
米国では、ICS-CERTが活動中
日本は、どのような形態がよいのか、議論中
ICS-CERT : Industrial Control Systems – Cyber Emergency Response Team
Copyright © 2012 独立行政法人情報処理推進機構

18

制御システムの課題･問題提起③ 官民連携PPPによる情報共有

PPP： Public Private Partnership

制御システムは、社会のインフラを支えている
サイバー攻撃を成功させないためには＊情報システムに比べると、自社だけの被害という認識よりも社会のインフラ全体へ影響を与えてしまうという認識が強い＊地震･台風などの自然災害時の対応体制が参考になるか。
3.11では、自助･共助･公助の連携したBCPが必要になった。
自助･共助･公助の連携でのサイバー攻撃への対応(連携ガイド等の整備）
具体的な事例
米国：DHSによる制御システム向けCSSPのICSJWGが活動中
欧州：ENISAのPPPガイド(36の勧告）
日本：重工･防衛産業9社とIPAでのJ-CSIP準備中(3月末正式開始)
DHS : Department of Homeland Security
CSSP : Control Systems Security ProgramICSJWG : Industrial Control Systems Joint Working GroupENISA : European Network and Information Security Agency
Good Practice Guide on Cooperative Models for Effective Public Private Partnerships (PPPs)
http://www.enisa.europa.eu/act/res/other-areas/national-public-private-partnerships-ppps

http://www.us-cert.gov/control_systems/

Copyright © 2012 独立行政法人情報処理推進機構

19

官民連携によるサイバー攻撃への対応
サイバー情報共有イニシアティブ J-CSIP
情報共有スキーム
NDAに基く情報共有

J-CSIPメンバ企業実施項目① 組織内への注意喚起⇒ メール開封を回避②メールサーバのアーカイブの検証⇒ 攻撃痕跡検証③防御対策⇒メールフィルタのチューニング、FWパラメータ設定等

企業

企業

重工業系
9社でｽﾀｰﾄ
9

標的型攻撃メールからスタート

企業

メンバ
拡大

〔情報ハブ〕

メンバ企業
9社

・情報収集、分析・匿名化、情報共有
・攻撃の実態調査
・ノウハウの蓄積・一般注意喚起

企業④ 検証結果のフィードバック ⇒ 再度の情報共有
 該当メール、類似メールの検出有無
 開封の有無 被害の有無J-CSIP : Initiative for Cyber Security
Information sharing Partnership of Japan共有
情報緊急対策情報等
対策の整備企業④対応①～③を実施

標的型
攻撃情報

企業

検証結果

別業種
クラスタ
拡大

一般企業、個人

Copyright © 2012 独立行政法人情報処理推進機構

20

目次
1. サイバー攻撃のデモ概要
2. 最近のサイバー攻撃
3. 制御システムの課題･問題提起
3.1 脆弱性対策と標準･評価･認証
3.2 サイバー攻撃によるインシデントへの対応
3.3 官民連携PPPによる情報共有
4. パネルディスカッションへ
安全な社会インフラの持続に向けて

Copyright © 2012 独立行政法人情報処理推進機構

21

パネルディスカッション
テーマ ： 安全な社会インフラの持続に向けて① 官民連携PPPによる情報共有② サイバー攻撃によるインシデントへの対応③ 脆弱性対策、標準･評価認証④ 人材育成⑤ 会場からCopyright © 2012 独立行政法人情報処理推進機構

22参考資料 ： 標準･評価･認証

Copyright © 2012 独立行政法人情報処理推進機構

23

制御システム分野における標準と認証･評価の位置づけ
標準化

*1)

認証・評価

事業者

IEC62443-1

インテグレータ

IEC62443-2
管理・運用・ﾌﾟﾛｾｽ・WIB*2)＜Wurldtec＞

IEC62443-3
技術・システム

装置ベンダ＜評価事業者＞
・ISCI:ISASecure*3)＜exida＞
・Wurldtec Achilles*4)

IEC62443-4
ｺﾝﾎﾟｰﾈﾝﾄ・ﾃﾞﾊﾞｲｽ

＜Wurldtec＞*1) IEC62443のCyber securityの標準化作業は、IEC/TC65/WG10が担当。日本では、JEMIMAが対応（幹事：Yokogawa）。
*2) International Instrument User’s Associations, 認証はWurldtech Achilles認証。IEC62443-2-4に取り込み。
*3) EDSA(Embedded Device Security Assurance) certification。ISA99標準仕様。IEC62443-4-1に相当。
*4) ﾈｯﾄﾜｰｸ接続装置（ｺﾝﾄﾛｰﾗ等）の信頼性認証（ﾍﾟﾈﾄﾚｰｼｮﾝ、ﾌｧｼﾞﾝｸﾞﾃｽﾄ）。調達要件に指定されている。
Copyright © 2012 独立行政法人情報処理推進機構

24

IEC62443規格化の状況(2012年1月現在）

Copyright © 2012 独立行政法人情報処理推進機構

25

ISASecure認証プログラム▇▇評価・認証機関：製品を評価し，ISASecure認証を発行する機関■認定機関：評価・認証機関を審査し，認定する機関■テストツールベンダ：評価・認証機関で使用されるツールを提供する企業

制御システムベンダ
テストツールと評価項目を用いて製品の評価・認証を実施①製品②ISASecure 認証
評価・認証機関
exida

認定
評価項目

認定機関
ANSI/ACLASS
評価・認証機関の審査、認定

テストツール提供(Achilles Satelite)
テストツールベンダ
Wurldtechプログラム推進母体
ISASecure
テストツール
ISCI
認証プログラム
承認

ANSI : 米国規格協会（American National Standards Institute）
ACLASS : 米国認定機関（ANSI-ASQ National Accreditation Board）

評価・認証機関で使用されるツールを提供

出典：ICSJWG 2010 Fall Conference「ISA Security Compliance Institute Update」を元に作成

Copyright © 2012 独立行政法人情報処理推進機構

26

ご清聴ありがとうございました！
本発表の中に引用した資料等はIPAのWebサイトでダウンロードする事ができますので、ご活用下さい。
http://www.ipa.go.jp/security/

Contact：
IPA（独立行政法人 情報処理推進機構）
技術本部セキュリティセンター
情報セキュリティ技術ラボラトリー
ＴＥＬ ０３（５９７８）７５２７
ＦＡＸ ０３（５９７８）７５１８
電子メール vuln-inq@ipa.go.jp
Copyright © 2012 独立行政法人情報処理推進機構

27