Japan Computer Emergency Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer Emergency Response Team Coordination Center, cn=Japan Computer Emergency Response Team Coordination Center
日付 : 2009.09.18 10:46:12 +09'00'

ユーティリティ制御システム
ネットワークの情報共有とセキュリティ
Improving Cyber Security
on Networked Monitoring and Control Systems
for Utility Facilities
制御システムセキュリティカンファレンス2009，
JPCERT/CC，2009/2/19

高野 正利 トヨタ自動車（株）

Masatoshi Takano, Toyota Motor Corporation
計測自動制御学会 産業応用部門 ネットワーク部会
Technical Committee on Instrument and Control Networks,
The Society of Instrumentation and Control Engineers (SICE)

Masatoshi Takano, JPCERT/CC, 2009.2.19

アウトライン
Table of contents

1. プラントシステムへの要求と課題
Vision of ICS

2. プラントシステムのセキュリティ
Cyber security for ICS

3. まとめConclusion

Masatoshi Takano, JPCERT/CC, 2009.2.19

1. プラントシステムへの要求と課題
Vision of ICS

1) ヒューマンインターフェースの進化
Human-centered interfaces

2) プラントデータの情報共有
Information sharing through systems

3) 柔軟に変化へ適用できるインフラシステム
Flexible reconfiguration

対象となるネットワーク型プラントシステム
Scope: Networked monitoring and control systems used in
critical infrastructures such as in utility facilities

Masatoshi Takano, JPCERT/CC, 2009.2.19

1. プラントシステムへの要求

ネットワーク型プラントシステム
Network-based ICS
Vehicle production line
Energy management-Energy consumption data
-CO2 emission data

Energy supply

Networked monitoring andcontrol systems

Power plant

Substation

Scope

Power station

Clean center

Masatoshi Takano, JPCERT/CC, 2009.2.19

1. プラントシステムへの要求

1) ヒューマンインターフェースの進化
Human-centered interfaces
Human-centered

Computer-centered

個別（ローカル）

広域ネットワーク監視

Stand alone/LAN

どこでも運転監視

Wide area network

Remote operationsin any location
Intranet

Intranet WAN/LAN(TCP/IP)

Wireless
LANPHS
Factory B
Factory B

Factory C
Wirelessconnection

ITIntranet
Factory B

ICSICS

IntranetICS

Factory ASubstation

Power station

Clean center

Factory A•Inspection results•Plant c onditions/al arms
•Plant operati on

ＩＴシステムと共通のネットワーク
Common network sharing with IT systems

シームレス通信
Seamless communication
Masatoshi Takano, JPCERT/CC, 2009.2.19

1. プラントシステムへの要求

2) プラントデータの情報共有
Information sharing

・工程別エネルギー使用量の日常管理
・各マネジメントレベルでの活用
Daily check system of energy consumption volume per each manufacturing department
Data sharing on energy consumption at each level

Energy Consumption
SystemIntranet-Energy consumption Data
-CO2 emission Data

Field server
WHWHWH-EMS

Watt-hour meter,
flow meter

シームレス通信Seamless communication

Connectivity between systems on a local andglobal basis contributes to information sharing.
Masatoshi Takano, JPCERT/CC, 2009.2.19

1. プラントシステムへの要求

3) 変化へ適用できるインフラシステム
Flexible reconfiguration

制御ネットワーク
Plant network

Initial network
Additional
networkfor change

導入当初

生産ライン，運転監視の変更

適用度

Initial

Adaptation to new production lines

Effect

基幹ネットワークの共用

最少限のネットワーク
工事で適応可能Use of TCP/IP
network
sharing with IT
Factory A

Factory A
Factory B

Minimum
additionalnetwork

ネットワークの大幅な再構築
工場間の専用線要プラントシステム
独自ネットワーク
Proprietarynetwork
Factory A

Factory A

Reconstruction

Factory B
Masatoshi Takano, JPCERT/CC, 2009.2.19

1. プラントシステムへの要求

シームレス通信
Seamless communication
TCP/IPによる制御システムと情報システムとの接続
Plant control system must be connected with plant business systems.
Control networks need to employ TCP/IP/Ethernet.
Network
layer
ModelApplication

ICSs
Plant Conditions
AlarmsPlant Operation

Transport/
Network
ProtocolData link/
PhysicalPhysicallayer

Interoperable
systemConversion

Application
Function
Function
Block
N/W
HTTP
FTP
Telnet

Proprietary

Threehurdles

TCP
IP
Ethernet

Proprietarysystem

Proprietary

制御システムセキュリティ

Ethernet＊10BaseT 100Base

Proprietary・・・

Improving
cyber security
Masatoshi Takano, JPCERT/CC, 2009.2.19

2. プラントシステムのセキュリティ
Cyber security for ICS

1) ＩＴとは異なるアプローチ
Difficulties of ICS cyber security/ Seeing in a different light2) 岐路にあるプラントシステム
Crossroads of ICS

3) 考えられる脆弱点
The vulnerabilities of today's ICS

4) 最小限のプラットフォームサービス
Minimum platform service5) 多階層での防御（例）Defense-in-depth strategy

Masatoshi Takano, JPCERT/CC, 2009.2.19

2. プラントシステムのセキュリティ

1) ＩＴとは異なるアプローチ
Difficulties of ICS cyber security
Category
StatusIT systems
State-of-the-art

UpdateEmploy online real-timemechanism update mechanisms forsecurity patches or virus
pattern files

Minor monthly Major annual update,or on a more frequent
updateICSs
A couple of generations behind IT
Might not run security software,or may require processes todiscover whether new security
patches or virus pattern files
work correctly
Minor annualupdate

basisLife cycle: 3 to 4 years

Examination Have almost no checks on
applications
Computingcapacity

Can expand

Life cycle: 10 to 15 years

Examine the availability andperformance impacts of using thesecurity software
Are difficult to expand

Masatoshi Takano, JPCERT/CC, 2009.2.192. プラントシステムのセキュリティ

1) ＩＴとは異なるアプローチ（続き）
Seeing in a different light••••

The secret of proprietary protocols for controller levelcommunications does not protect the systems.
Patched systems have also unknown vulnerabilities
which can result in zero day attacks.
The availability of ICS controllers should have priority
over database servers or human interfaces of ICS.
Unusual execution of control software causes operation
disruptions because ICSs are used in criticalinfrastructure such as utility facilities control systems.

Masatoshi Takano, JPCERT/CC, 2009.2.19

2. プラントシステムのセキュリティ

2) 岐路にあるプラントシステム
Crossroads of ICS
従来独自のＯＳ通信，制御（オンラインリアルタイムのセキュリティ）ITシステムと同じ道を選択するか
Employment of the same security architecture

Proprietaryplatforms(OS, protocols)

独自のまま行くか違う方法を取るか
Following adifferent pathfrom IT

Proprietary

新たな進め方プラットフォーム
New guidelines

Masatoshi Takano, JPCERT/CC, 2009.2.19

2. プラントシステムのセキュリティ

3) 考えられる脆弱点
The vulnerabilities of today's ICS
設備コントローラを守る
Platform Factory
Service default settings

Substation

Waste Water
Treatment

Power Station

No block
MaintenancePC

ICS Application

Simple installing
firewall

Backdoor
Telnet
RPCOthers

IT
IT infra. and servicesMasatoshi Takano, JPCERT/CC, 2009.2.19

2. プラントシステムのセキュリティ

4) 最小限のプラットフォームサービス
Minimum platform service

Remove unused services.

Minimum Limitation ofPlatform Application-ICS Control
ServiceThe application layer adopts onlycontrol functions and the network
layer employs only TCP/IP.

software,DB
Minimum service
Minimumnetwork protocol
Network Model

User
Application

Protocol/ServiceICSs
SoftwareDatabase
API

RPC

SharedFile
FTP

Application

TelnetTransport

PortControl

TCP

NetworkIP
Control

IP

SMTP

Trivial
BOOTP
FTP

/ UDP

OthersMasatoshi Takano, JPCERT/CC, 2009.2.19

2. プラントシステムのセキュリティ

5) 多階層での防御（例）Defense-in-depth strategy
Substation

Minimum Limitation ofPlatform Application
Service-ICS Controlsoftware,DBWaste WaterTreatment

Power Station

Minimum service
Minimumnetwork protocol
Minimum Application
Connection proxygateway

No backdoor

TelnetRPC

ITOthers
ICS
Application
Masatoshi Takano, JPCERT/CC, 2009.2.19

3. まとめConclusion

サーバではなくサーバではなく，ではなく，設備を設備を制御している
制御しているコントローラしているコントローラをコントローラを守ることが最優先
ることが最優先（組み込みシステムにもセキュリティ問題あり）

・最小限のソフト，通信ドライバの組み込み
Minimize platform services and network connections.

・Application proxy gatewayの必要に応じた採用
・多階層防御Defense-in-Depth strategy
Cyber security defense must be layered to reduce the risk of security incidents.

→多層防御により，現場をある期間（１Ｙはそのまま）は維持
参考文献
Masatoshi Takano, Sustainable Cyber Security for Utility Facilities Control System based on Defense-inDepth Concept, SICE Annual Conference 2007
Masatoshi Takano, Human-Centered Industrial Control Systems through Seamless Communication andFlexible Reconfiguration , SICE Annual Conference 2008
Masatoshi Takano, JPCERT/CC, 2009.2.19