JPCERT Coordination Center

デジタル署名者 : JPCERT Coordination Center
DN : c=JP, st=Tokyo, l=Chuo-ku, o=JPCERT Coordination Center, cn=JPCERT Coordination Center,
email=office@jpcert.or.jp
日付 : 2022.01.17 15:44:33 +09'00'

CONFIDENTIAL—

ABB BAILEY JAPAN 3.FEB 2022

制御システムエンジニアによる実践的な制御システム復旧計画
ABB日本ベーレー デジタル技術部 大石貴之
(情報処理安全確保支援士 登録番号 第018981)

—
ABB in Japan | ABBジャパン
技術革新のリーダー企業の1社として800+売上（2017）21

January 13, 2022

Slide 2

million人

従業員数

国内事業拠点

456$1907

拠点 ABB株式会社本社所在地：品川区大崎
 ABBジャパングループとして4事業本部、4つの合弁会社
全国24拠点にネットワークを展開

 約502億円 ($1=¥110)

設立年

 日本でのルーツは、114年前。
前身企業による横浜事務所開設

—
私たちの事業組織
21の事業部で構成する完全分散型のビジネスモデル
BUSINESS
AREA

エレクトリフィケーション

プロセス
オートメーションモーション

ロボティクス＆ディスク
リート・オートメーション

配電ソリューション

エネルギー産業

大型モータ&ジェネレータ

ロボティクス

スマートパワープロセス産業

事業本部

DIVISION
事業部

ドライブ
システムドライブ

スマートビルディング

マリン＆ポート

インストレーション機器

過給機

トラクション

パワーコンバージョン

計測・分析機器

MPT

E-モビリティサービス

IEC LVモータ
NEMAモータ

13.01.2022

Slide 3

マシンオートメーション—
ABB Bailey Japan Ltd.| ABB日本ベーレー株式会社
火力発電向けオートメーションのマーケットリーダー

250

約
従業員数

750%
30%

 火力発電所ﾎﾞｲﾗ－制御ｼｽﾃﾑ

人
ﾏｰｹｯﾄｼｪｱ

1971

拠点

 本社所在地： 静岡県伊豆の国市
 全国7拠点に営業拠点を展開

国内事業拠点January 13, 2022

Slide 4

 設計・ｻｰﾋﾞｽ機能に加えて、ｼｽﾃ
ﾑ開発、製造機能も併せ持つ*2018年3月時点

 LNG受入基地制御ｼｽﾃﾑ

設立年

 米Bailey Meter、極東貿易の合弁会社として、50年前に日本ベーレー（株）設立
 1999年にABBグループの一員となり、2008年より現社名へ

—
ABB日本ベーレー: 特長
納入実績
事業用発電設備
ボイラ/バーナ制御装置
LNG制御装置

Japan Total

20282

7

国内
火力
発電所

121211

東北

48%
market
share

北海道

38
10134
弊社
納入数

415

北陸

61

関西
9沖縄

3317東京

44中国

43

30
20
171515

九州

10

四国

4中部

89
電源開発

共同火力

—自己紹介2010 ～ 2018

DCS制御システムの設計・調整・メンテナンス業務を担当

2018 ～ 現在

制御システムのセキュリティ設計・検証・ソリューション提案・制御最適化

1. 制御システムのハーデニング
2. 脆弱性検査
3. IDS,EDRの検証
4. プロセス制御データサイエンティスト

—Agenda
本日お話しすること・制御システムへのサイバー攻撃に備え、１．事例を知る（ランサムウェア「DARKSIDE」による米国パイプライン攻撃）
２．制御システムの特徴を知る

３．必要な準備を行う

—
事例を知る

Slide
8 13, 2022
January—
ランサムウェア「DARKSIDE」および米国のパイプラインへの攻撃

事象：2021/5/7 米コロニアル・パイプラインがランサムウェア攻撃によりに全面停止した。
操業開始以来、パイプラインの稼働を全面停止させたのは初めて事態となった。
燃料価格は軽微な上昇に留まったが、多くのガソリンスタンドで在庫切れを起こした。

経緯：
2021年4月29日：DARKSIDEがコロニアル・パイプライン社のコンピュータシステムに侵入
2021年5月7日：データの暗号化、身代金の要求を受け、コロニアル・パイプライン社はパイプライン操業の一時停止を公表、同社CEOが身代金の支払いを承認。
2021年5月12日：パイプラインシステム再開、一部供給網は影響継続。

2021年5月15日：供給網全体の復旧を確認。
2021年6月7日：FBIが身代金の一部を押収。

2022/1/13

9

—
ランサムウェア「DARKSIDE」および米国のパイプラインへの攻撃
攻撃フェーズ

1.侵入

2.探索

3.情報流出

4.暗号化

5.脅迫

-VPNシステムのアカウン
ト及び、パスワードが盗まれ攻撃者に侵入されたと報告。

数週間から数か月かけて組織のネットワークを詮索。複数の部門のネットワークに侵入

攻撃者は窃取したファイ
ルをクラウドストレージに100GB程度のデータをアップロード

攻撃者は拡張子の変更、暗号化を行いコンピュータを操作不能にした。

暗号化ファイルの復元と情報流出を人質に金銭を要求した。

⇒OTネットワークへの影響範囲が不明であったがパイプライン全停させた。

January 13, 2022

Slide 104重脅迫
１．ファイルを暗号化
２．情報流出３．DDosターゲット
４．メール攻撃—
事件関係者・有識者のコメント
1. VPNログインは多要素認証を有効としていない従業員のユーザー名とパスワードが使用された。このプロファイルは使用されていないと考えられてた。パスワードは比較的複雑なものであるが、この認証情報は以前に別のウェブサイトで使用していた可能性があり、それを攻撃者が利用したと考えられる。

・パスワードポリシー

2. 最終的な復旧にはバックアップデータを使用したが破損しているか、危険に晒されていたのか、使用して安全だったのかが不確かであったとして身代金440万ドルの支払いを決めた。

・日常点検

3. DarkSideには制御システムに関与しパイプラインをシャットダウンする機能はありませんが、この攻撃や他の攻撃では、攻撃の影響や対応方法がわからないため、オペレーターはOTの生産全体をシャットダウンすることになります。

January 13, 2022

Slide 11・アカウントの棚卸・従業員への注意喚起

・バックアップの取得
・復旧作業のトレーニング
サイバー攻撃を受ける想定と準備、システムの理解が最も重要である。

出典:
https://www.techtarget.com/searchsecurity/news/252502216/Mandiant-Compromised-Colonial-Pipeline-password-was-reused
Colonial Pipeline hack no cause for panic about infrastructure attack (cnbc.com)

—制御システムの特徴を知る

Slide
12 13, 2022
January—
制御システムネットワーク
制御装置のシステム構成、動作環境を把握することで復旧に必要な準備をする。

HMI
Server A

HMI
Server B

OWS1

OWS2

EWS

HMI
ネットワーク

通信GW

通信モジュール

制御コントローラ

コントローラネットワーク制御対象

本内容は全ての製品・システム構成に該当するものではありません。
January 13, 2022

Slide 13

—
制御システムネットワーク
制御装置のシステム構成、動作環境を知り復旧に必要な情報を知る。

HMI
Server A

HMI
Server B

ランサムウェアはどこまで広がるか？
OWS1

OWS2

EWS

HMI
ネットワーク

通信モジュールは上位ネットワークからの侵入を防げるか？
通信GW
通信モジュール

制御に影響を及ぼす改変とは？

コントローラネットワーク制御コントローラ

制御対象

January 13, 2022

Slide 14

—
HMIネットワーク

HMI
Server A

HMI
Server B

OWS1

OWS2

EWS

HMI
ネットワーク

資産の特徴
・汎用OS(Linux , Windows)が使用される。
・冗長化構成のServer A, Bは同期処理のため同一ネットワークに配置される。

同期処理

Server - Client

・複数台のOWSもServer A,Bと同一ネットワークに配置される。
・EWS,HMIServerはコントローラへのコマンド発生機能を持つ。

通信GWとの通信プログラム

機能・構成

注意点

・オペレータはOWSを使用しプラントの状態把握、操作を行う。

・様々な脆弱性が発見される汎用OS

・HMIServer – OWS はサーバクライント関係

・機能冗長化構成ではあるがホットスタンバイが前提となるため横展開に弱い。

・EWS – HMIの保守及び、コントローラの保守を行う。
・可用性を重視し各装置複数台の冗長化構成としている。

・EWS,HMIServerの既存機能を悪用することでコントローラネットワークに変更を加えることが可能
・セキュリティログがどの程度詳細に取得されているか

January 13, 2022

Slide 15

—通信GW

通信GW

IP通信 又はシリアル通信

資産の特徴

通信モジュール• 独自OSではあるが、組み込みRTOSを使用して開発される通信モジュール（VxWorks,codesys等)

通信相手、プロトコルの否認/プロトコル変換• 特定のプロトコルのみ変換可能であり、実質的なファイアウォー
ル相当の機能を持つ。

非公開プロトコル又は汎用制御プロトコル

機能・構成

注意点

• HMIネットワーク-コントローラネットワークの通信を行う。

• コンピュータ資産と1対1の構成が多く横展開のリスク低い• コントローラネットワークとの通信は必ずこのモジュールを経由• コントローラネットワークが同一ネットワークで構成されるため、1ヶ所から全てのコントローラにアクセス可能。

• HMIネットワークに対してシリアル通信、IP通信、コントローラネットワークに対して非公開プロトコルや汎用制御用プロトコルで通信される。
• コンピュータ資産と1対1の構成が多い

January 13, 2022

Slide 16

• 組み込みRTOSで構成され、過去にも脆弱性が発見されている。通信障害やコントローラに対して干渉される可能性がある。

—コントローラネットワーク

資産の特徴

同一ネットワーク
独自プロトコル制御
コントローラコントローラネットワーク• 独自OSではあるが、組み込みRTOSを使用して開発されるコント
ローラモジュール（VxWorks,codesys等)• ファームウェアの更新はハードスイッチにより保護される場合がある同期処理• 設定値の変更はリアルタイムに実施できる

機能・構成

注意点

• 内部ロジックの計算、IO処理、冗長化同期処理等を既定時間毎安定的に実行する。

• コントローラは同一ネットワーク上のコントローラと通信可能であり、1つの変更がネットワーク上すべての動作に影響を及ぼす。

• コントローラ内部の機能構成はプラント毎異なる。

• 組み込みRTOSで構成され、過去にも脆弱性が発見されている。通信障害やコントローラに対して干渉される可能性あり。

• コントローラ間の通信は独自プロトコルで行われる。

• 設定値変更であってもプラント運転に多大な影響を与える• コントローラ側に変更履歴を保持する機能がない。

January 13, 2022

Slide 17

—
設定値変更によるプラント運転への影響

STUXNETPIDコントローラ・インターロック信号

EWS

通信用DLLを改変
保守ツール機能の一部

HMI
ネットワーク

通信モジュール・HMIにダミーデータ表示
・設定値変更コマンドの発行

正常通信

通信GW

正常動作
・設定値変更及び、演算機能に変更

コントローラネットワーク• アナログ制御はPIDブロックを用いて行われる。この設定値を変更することで目標値に対する追従性を悪化させることや急激な動作により機器を破損させることが可能。
• 機器やユニットの保護のためにインターロック回路を構築している。
• 重要なインターロック信号の模擬や、閾値を変更することで、プラントを自動停止や、再起動不可に陥れることが可能。

January 13, 2022

Slide 18

—
サイバー攻撃に対しての制御システムの特徴

・機能冗長化構成ではあるが資産は同一ネットワーク上に置かれる場合が多く横展開に弱い。
・保守端末に限らず、コントローラネットワークとの通信プログラムはインストールされており、コントローラネットワークへの侵入口になりえる。

HMIネットワーク

・組み込みRTOSで構成され、過去にも脆弱性が発見されている。
通信障害やコントローラに対して干渉される可能性がある。

通信GW

・HMIネットワーク-通信モジュール間はIPプロトコルで通信されており傍受は可能
・HMI資産と通信モジュールは1対1の構成であり横展開のリスクは低い
・コントローラは同一ネットワーク上のコントローラと通信可能であり、1つの変更がネットワーク上すべての動作に影響を及ぼす。

コントローラネットワーク・コントローラ側に変更履歴を保持する機能がない。
・設定値変更によりプラント制御動作に大きく影響を与える。

January 13, 2022

Slide 19

—
必要な準備を行う

Slide20 13, 2022
January—
HMIネットワーク
横展開リスクに備えたオンライン・オフラインバックアップの準備

推奨構成

オンラインバックアップストレージ
Offline Back up

HMIServer A

HMIServer B

OWS1

•

HMIネットワーク上の機器について、バックアップをスケジュールする。

•

保存ストレージをHMIネットワーク上に置かない。

•

可能な限りHMIやEWSと異なるOSを利用する。

•

バックアップ動作中は通信データ量が増加する。HMI動作に影響を及ぼす可能性があり、メーカとの協調が必要。

onlineBack up storage

オフラインバックアップストレージ
HMI
ネットワークDMZJanuary 13, 2022

Slide 22•

横展開による感染を考慮しオフラインバックアップは推奨。

•

更新頻度は運用次第だが、コントローラ側に変更を加えた際は必ず取得する。

•

使用しているコンピュータに対応するHDDストレージを用意する。

•

リストアした状態で保管。

•

最低減のオペレーション可能な構成。

—
コントローラネットワーク
コントローラ内部への干渉に備えた「定期的な内部データ受信」と「変更内容の比較」

推奨構成

定期的なコントローラ内部データ受信

EWS•

コントローラの中のパラメータとEWS内のパラメータを常に一致させる。

•

コントローラ内部の演算プログラム及びパラメータは定期的に受信しバックアップデータを作成する。

•

バックアップデータは外部メディアに保存し保管する。

メンテナンス記録
HMI
ネットワーク

設定値変更等

通信GW

内部データの受信

コントローラネットワークJanuary 13, 2022

外部メディアに保存

Slide 23

変更内容の比較•

使用機器により受信データとバックアップデータを比較する手順を明確にする。

•

設定値変更等のメンテナンス作業はメンテナンス記録として残す。

—
メーカやメンテナンス部門との協調制御システムによって適切なメンテナンス、サポートが異なります。

• 緊急事態発生時に期待できるサポートは?
-連絡先や、メーカのサポート体制-メーカ推奨の復旧方法、アイソレーション、証拠保全方法-復旧に必要な機能と期間の把握-どのようなセキュリティログが残るか-予備品の確認-故障との見極め -> 通常制御状態の状態を保存・把握する。

• 日常的に実施すべきメンテナンスは？
-推奨される日常保守-保守契約-トレーニング（復旧、システム起動）January 13, 2022

Slide 24

セキュリティ対応はメンテナンス業務に含まれる。
他部門、他社と協調できる体制づくりが重要。

—制御システム復旧
STEP 1 – メーカへの連絡

平常時準備– 協力体制の構築
社外（装置メーカ、メンテナンス業者)
社内（経営層、他部門）– HMIバックアップ
オンラインバックアップのスケジュール
オフラインバックアップの取得
ハードウェアの予備品準備

ネットワークのアイソレーション

STEP 2 – HMIネットワーク復旧
バックアップデータからの復元
アイソレーション状態で起動›– コントローラネットワークメンテナンス
定期的なコントローラ内部データ取得
メンテナンス記録

証拠保全の方法›– 制御システムの把握
脆弱性調査
制御システム機能の知る

事象の連絡

STEP 3 – コントローラネットワーク復旧

内部データとバックアップデータの照合– 作業手順準備とトレーニング
必要なら：OS再インストール

January 13, 2022

Slide 25

オペレーションの段階的な復帰– 運転状態の比較
主要なプロセス値
制御状態– システム状態の確認
実行中のタスク
コンピュータ/コントローラの負荷率
伝送通信量– アイソレーションNWの段階的な復旧

—
復旧計画のすすめ

いつでも自分の判断に自信を持てるように必要な準備をしておきましょう。