Japan Computer Emergency Response TeamCoordination Center

電子署名者 : Japan Computer Emergency Response Team
Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan Computer Emergency
Response Team Coordination Center, cn=Japan Computer
Emergency Response Team Coordination Center
日付 : 2012.03.02 10:43:04 +09'00'

JPCERT/CC の取組みとツールの紹介

一般社団法人 JPCERT コーディネーションセンター
情報流通対策グループ 山田 秀和

本日のアジェンダ

I.
II.
III.
IV.
V.

JPCERT/CCのこれまでの取組み
JPCERT/CCのこれからの取組み
制御システム向けツールの紹介
S4
まとめCopyright® 2012 JPCERT/CC All rights reserved.

I.
II.
III.
IV.
V.

JPCERT/CCのこれまでの取組み
JPCERT/CCのこれからの取組み
制御システム向けツールの紹介
S4まとめ

Copyright® 2012 JPCERT/CC All rights reserved.

JPCERT/CCのこれまでの取組み
2007年の取組み— グッド・プラクティス・ガイド プロセス・制御とSCADAセキュリティ

2008年の取組み— 「制御系プロトコルに関する調査研究」報告書— 国内の制御システム、制御系プロトコルに関する調査報告書

Copyright® 2012 JPCERT/CC All rights reserved.

JPCERT/CCのこれまでの取組み
2009年の取組み— 制御システムセキュリティガイドライン、標準、及び認証への取り組みに関する分析— 重要社会インフラのためのプロセス制御システム (PCS) のセキュリ
ティ強化ガイド— 制御システムベンダーセキュリティ情報共有タスクフォース— 制御システムセキュリティカンファレンス 2009
— 制御システムセキュリティ関連情報（メーリングリスト）

Copyright® 2012 JPCERT/CC All rights reserved.

JPCERT/CCのこれまでの取組み
2010年の取組み— 推奨プラクティス：工業用制御システムにおけるサイバーセキュリティイン
シデント対応能力の開発— 人的セキュリティガイドライン— 制御システムのサイバーセキュリティ：多層防御戦略— 制御システム環境におけるサイバーセキュリティ文化の支援を目的とした運用セキュリティ（OPSEC）の使用— グッド・プラクティス・ガイド パッチ管理— グッド・プラクティス・ガイド プロセス・制御とSCADAセキュリティ(改訂)— 制御システムセキュリティカンファレンス2010— 制御システムセキュリティ情報共有タスクフォース
制御システムベンダに限らず、制御システムに携わる方を対象
Copyright® 2012 JPCERT/CC All rights reserved.

JPCERT/CCのこれまでの取組み

2011年の取組み— 制御システムセキュリティカンファレンス2011— 制御システムセキュリティアセスメントツール(SSAT)の提供開始— 制御システムセキュリティ検討タスクフォース
インシデントレスポンス体制検討ワーキンググループ事務局

Copyright® 2012 JPCERT/CC All rights reserved.

I.
II.
III.
IV.
V.

JPCERT/CCのこれまでの取組み
JPCERT/CCのこれからの取組み
制御システム向けツールの紹介
S4まとめ

Copyright® 2012 JPCERT/CC All rights reserved.

2012年の取組み（予定）— インシデント対応に必要な技術および実態の調査— ポータルサイト— 制御システムセキュリティアセスメントツール— セキュアコーディング— 脆弱性情報ハンドリング

Copyright® 2012 JPCERT/CC All rights reserved.

インシデント対応に必要な技術および実態の調査

インシデント対応に必要な技術および実態の調査
日 時
期 間
内 容

対 象
募集数

Copyright® 2012 JPCERT/CC All rights reserved.

3月中旬実施予定
2日間
Idaho の実地訓練から得た経験をもとに制御シミュレータ等を用いた擬似制御環境を用いて組織でのインシデント対応を行う上で必要と考えられる項目の調査等を実施
ユーザ + ベンダの2人1組最大で10組(20人程度)

ポータルサイト

ポータルサイトでの情報提供— 現在のメーリングリストでの配信も残しつつポータルサイトでの情報提供も検討中
メーリングリストでの配信内容見直しも— 特定期間内に収集した制御システムセキュリティ関連の情報— 記事へのアクセス数や反響の大きい情報を中心に分析や追跡調査などを行う予定

対象者— 制御システムベンダー— 制御システムユーザー

利用に当たって（現在検討中)— NDA— 組織としてのセキュリティ対応チームの確立
Copyright® 2012 JPCERT/CC All rights reserved.

制御システムセキュリティアセスメントツール

制御システムセキュリティアセスメントツール（日本版SSAT）— 各管理項目における現状を「見える化」する— 問題発見や気づくためのきっかけ作り— 設問数の100問前後— 1/31 時点での JPCERT/CC からの直接配布数 89— 本ツールはベンダやユーザ、業界団体がカスタマイズを加えるなどして再配布することも可能

Copyright® 2012 JPCERT/CC All rights reserved.

制御システムセキュリティアセスメントツール

2011年のアセスメントツール提供時
全面的にご協力をいただいたセキュリティ合同WGの皆様
SICE (公益社団法人計測自動制御学会)
計測・制御ネットワーク部会セキュリティある情報共有検討WG
JEITA (社団法人電子情報技術産業協会)
制御・エネルギー管理専門委員会 安全・安心システムWG
JEMIMA (社団法人日本電気計測器工業会)
PA・FA計測制御委員会セキュリティ調査研究WG

また、昨年末より以下の皆様にもご協力いただき業界団体、各企業ご担当者様

日本の制御システム業界に適した形でのアップデート作業進行中
Copyright® 2012 JPCERT/CC All rights reserved.

セキュアコーディング
セキュアコーディング (C/C++ / Java)— 出荷後のソフトウエア製品に発見される多くの脆弱性は、プログラミングエラーによって引き起こされている。

— 製品開発工程において、脆弱性につながるような欠陥を作りこまない、仮に作りこまれたとしても出荷前の検証等の段階で発見・対応につながる取り組みが必要。
— 開発工程別、あるいは、開発プロセスを包含したよりセキュアな製品開発を実施するための幾つかの対策アプローチが存在する。

セキュアコーディング
Copyright® 2012 JPCERT/CC All rights reserved.

脆弱性ハンドリング

脆弱性ハンドリング
一般公表前のソフトウエア/ハードウエアシステム等におけるセキュリ
ティ上の欠陥に係わる情報を、適切な方法で取り扱い、製品開発者によって用意された対策情報とともに公表することによって問題解決方法を広く示し、社会における製品利用者の安全に貢献するための活動

Copyright® 2012 JPCERT/CC All rights reserved.

脆弱性ハンドリング

制御システム関連情報の公表例①— JVN#98649286 (2011/11/01) https://jvn.jp/jp/JVN98649286/
CSWorks の LiveData Service におけるサービス運用妨害 (DoS) の脆弱性

Copyright® 2012 JPCERT/CC All rights reserved.

脆弱性ハンドリング
CSworks 社の情報公開

http://www.controlsystemworks.com/blogengine/post/CSWorks-2041151-security-release.aspx
Copyright® 2012 JPCERT/CC All rights reserved.

脆弱性ハンドリング
制御システム関連情報の公表例②— JVN#63249231 https://jvn.jp/jp/JVN63249231/
Cogent DataHub における HTTP ヘッダインジェクションの脆弱性— JVN#12983784 https://jvn.jp/jp/JVN12983784/
Cogent DataHub におけるクロスサイトスクリプティングの脆弱性

Copyright® 2012 JPCERT/CC All rights reserved.

脆弱性ハンドリング

Cogent 社の情報公開

http://www.cogentdatahub.com/ReleaseNotes.html
Copyright® 2012 JPCERT/CC All rights reserved.

I.
II.
III.
IV.
V.

JPCERT/CCのこれまでの取組み
JPCERT/CCのこれからの取組み
制御システム向けツールの紹介
S4まとめ

Copyright® 2012 JPCERT/CC All rights reserved.

制御システム向けツールの紹介

Bandolier— Digital Bond 社がDoEからの資金を元に作成— 制御システムに最適なセキュリティ設定を確認するための監査ファイル（カスタマイズ可能）— Nessus (脆弱性スキャナ) のプラグインとして提供

Copyright® 2012 JPCERT/CC All rights reserved.

制御システム向けツールの紹介

ツールの利用場面— ベンダーの皆様
社内の品質保証
受け入れテスト時— ユーザーの皆様
受け入れテスト時
定期的なセキュリティテスト

Copyright® 2012 JPCERT/CC All rights reserved.

I.
II.
III.
IV.
V.

JPCERT/CCのこれまでの取組み
JPCERT/CCのこれからの取組み
制御システム向けツールの紹介
S4まとめ

Copyright® 2012 JPCERT/CC All rights reserved.

S4 (Scada Security Scientific Symposium )S4(Scada Security Scientific Symposium )とは— 2007から米国で開催されている制御システムのセキュリティに特化したカンファレンス(2011年は開催せず)— 開催時期：毎年1月頃（今年は2012年1月17日～20日に開催）— 開催場所：マイアミ— 主催：DigitalBond

過去の講演内容— 制御システムに用いられるプロトコルに関する分析や脆弱性の公開— 制御システムでどのようにセキュリティ対策を行うかの調査

Copyright® 2012 JPCERT/CC All rights reserved.

S4 (Scada Security Scientific Symposium )Project Basecamp— PLC に関するセキュリティ上の問題点が無いか調査

Copyright® 2012 JPCERT/CC All rights reserved.

JPCERT/CCのこれまでの取組み
JPCERT/CCのこれからの取組み
制御システム向けツールの紹介
S4 Project Basecamp
まとめ

Copyright® 2012 JPCERT/CC All rights reserved.

まとめ
JPCERT/CC 2012年の取組み
インシデント対応に必要な技術および実態の調査
ポータルサイト
制御システムセキュリティアセスメントツール
セキュアコーディング
脆弱性ハンドリング
ツールの紹介制御システム向けのセキュリティツールは公開済
S4
制御システムのみならず、制御装置自身もターゲットに
Copyright® 2012 JPCERT/CC All rights reserved.

お問い合わせ制御システムセキュリティ
連絡先：cs-security-staff@jpcert.or.jp
H
P： https://www.jpcert.or.jp/ics/Copyright® 2012 JPCERT/CC All rights reserved.

お問い合わせセキュアコーディング
連絡先：secure-coding@jpcert.or.jp
 書籍—『C/C++セキュアコーディング』—『CERT C セキュアコーディングスタンダード』—『Java セキュアコーディングスタンダード CERT/Oracle版』

 Web記事連載
CodeZine - C/C++セキュアコーディング入門
http://codezine.jp/article/corner/339
CodeZine - Javaセキュアコーディング入門
http://codezine.jp/article/corner/437

 その他






CERT C Secure Coding Standard 日本語版 http://www.jpcert.or.jp/sc-rules/
Java セキュアコーディングスタンダード CERT/Oracle 版 http://www.jpcert.or.jp/java-rules/
Java セキュアコーディング 並行処理編
http://www.jpcert.or.jp/securecoding_materials.html#certjavacon
OWASP「ソフトウエアセキュリティ保証成熟度モデル
http://www.jpcert.or.jp/securecoding_materials.html#owaspsamm
ソースコード解析ツールを活用したCERTセキュアコーディングルールの有効性評価報告書(英語版、日本語版）http://www.jpcert.or.jp/research/Analysistools.html

Copyright® 2012 JPCERT/CC All rights reserved.

ご静聴ありがとうございました。

JPCERTコーディネーションセンター— Email：office@jpcert.or.jp— Tel：03-3518-4600— Web: http://www.jpcert.or.jp/

Copyright® 2012 JPCERT/CC All rights reserved.