Japan Computer
Emergency Response
Team Coordination
Center

電子署名者 : Japan Computer Emergency
Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan Computer
Emergency Response Team Coordination
Center, cn=Japan Computer Emergency
Response Team Coordination Center
日付 : 2016.03.04 14:28:48 +09'00'

制御システムセキュリティの重要性
一般社団法人JPCERTコーディネーションセンター
制御システムセキュリティ対策グループ
落合 一郎
JPCERT/CC 20周年

目次
制御システムアセットオーナーの調査結果—2015年の調査結果と2013年からの経年変化—制御システムセキュリティ対策の重要性理解の状況必要とされる制御システムセキュリティ対策—対策の両輪—ICS-CERT推奨技術戦略

まとめ

1Copyright©2016JPCERT/CC All rights reserved.

2015年の途中集計結果と2013年からの経年変化制御システムアセットオーナー
調査結果
2

Copyright©2016JPCERT/CC All rights reserved.

調査（アンケート）の目的と内容
目的

2015年末に2013年とほぼ同じ項目で実施しました—制御システム使用状況の把握—セキュリティリスクの認識と対策状況の把握

主な内容
マルウエア感染有無
PLC, SCADA, DCSの使用有無
ネットワーク接続状況
制御システムセキュリティ対策実施状況
制御システムセキュリティ情報の入手状況
セキュリティリスクの評価実施状況
インシデント発生可能性の認識
事故が起こったときの頼り先
インシデントが発生した場合に備えた体制有無
今後の制御システムセキュリティ対策方向性
3

Copyright©2016JPCERT/CC All rights reserved.

調査対象：多業種

最終的には300社以上の予定
今回は途中集計データです4

Copyright©2016JPCERT/CC All rights reserved.

マルウェアの感染は起こっている
マルウェア感染数—2015年：10社/158社=6.3% ← 2013年：22社/300社=7.3%

5

Copyright©2016JPCERT/CC All rights reserved.

マルウェア感染はUSBメモリから2015年では半日程度の操業停止が1件報告されている
判明している感染経路はやはりUSBメモリが多い
期間を指定していないので、過去に感染があったもの

6

Copyright©2016JPCERT/CC All rights reserved.

セキュリティ情報は入手できていない

2013年
2015年

7

Copyright©2016JPCERT/CC All rights reserved.

セキュリティリスクは評価されていない

2013年
8

Copyright©2016JPCERT/CC All rights reserved.

2015年

インシデントは発生しないと思われている
先頭２つの合計が、リスク評価をしている割合１８％と同じ

2013年
2015年
9

Copyright©2016JPCERT/CC All rights reserved.

事故発生時に頼るのは社内専門家かベンダー

2013年
2015年

10

Copyright©2016JPCERT/CC All rights reserved.

インシデント対応態勢はできていない

2013年
2015年11

Copyright©2016JPCERT/CC All rights reserved.

今後のセキュリティ対策の方向性は２分化
現状で対策されている割合

2015年
12

Copyright©2016JPCERT/CC All rights reserved.

まとめ：それでも、セキュリティ対策は重要
アンケートから読み取れること★セキュリティ情報を入手していない。
★セキュリティリスクを評価できていない。
★インシデントは発生しないと考えている。
★社内の担当者が解決しようとしているが･･･。

国内●今は、運良くあまりウイルス感染などのインシデントが発生していない●オフィス環境を狙ったウイルスが侵入しても影響は小さい

海外

ウクライナの大規模停電
ドイツの製鉄所の事故
ダイムラークライスラーの事故

国内は依然セキュリティ対策は進んでいないことが明らかになったが、インシデント発生可能性は大きくなりつつあり、一旦発生してしまえば、大きな被害になる

セキュリティ対策は重要
13

Copyright©2016JPCERT/CC All rights reserved.

必要とされる制御システムセキュリティ対策
14

Copyright©2016JPCERT/CC All rights reserved.

セキュリティ対策の両輪
次ページ以降で推奨対策を説明します

今回のカンファレンスでいくつかの事例紹介

セキュリティ向上

運用対策

技術対策

（CSIRT構築）

JPCERT/CC
インシデント対応支援、ログ解析
ガイドラインドキュメント提供
国内外のICSセキュリティ情報提供
自己評価ツール提供
15

Copyright©2016JPCERT/CC All rights reserved.

ICS-CERTとインシデント対応状況
ICS-CERTとは—ICS（制御システム）専門のCERT組織—米国DHS内の組織—インシデント対応、脆弱性ハンドリング、アセスメント、
ガイドドキュメント公開

ICS-CERTインシデント報告件数
2015年は295件

16

Copyright©2016JPCERT/CC All rights reserved.

ICS-CERT推奨技術戦略
７つの戦略

この３組織が協力して作成—これらの戦略が実現されていれば2014, 2015年度に報告された インシデントの98％を阻止できたであろうと述べています。
500件程度

この戦略によって阻止できた割合

https://ics-cert.us-cert.gov/Seven-Steps-Effectively-Defend-Industrial-Control-Systems
17

Copyright©2016JPCERT/CC All rights reserved.

Implement Application Whitelisting
ホワイトリストの導入
一般オフィス環境への導入には課題が多い

Whitelist ⇔ Blacklist (Anti-Virus)
ICS環境に適している— ICS環境では稼働後の変更が少ない— パターンファイルの更新が必要ない— 古いOSにも適用できる— 未知のマルウエアからの保護も可能
ソフト選択、導入時に検討すべきこと— ホワイトリストの種類
ファイルPath, ファイル名, ファイルサイズ, シグネチャ,…
— 動作モード制限、モニタリング— ウイルスチェック後に導入
ガイドドキュメント：NIST 800-167
http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-167.pdf

18

Copyright©2016JPCERT/CC All rights reserved.

Ensure Proper Configuration/Patch Management
パッチ管理と設定変更管理
攻撃者はパッチのあたっていないシステムを狙う
正規のパッチを取得する—Havexは改ざんされたパッチで拡散機器の棚卸→必要なパッチの確認

19

Copyright©2016JPCERT/CC All rights reserved.

Ensure Proper Configuration/Patch Management
パッチ管理と設定変更管理
ガイドドキュメント
https://ics-cert.us-cert.gov/sites/default/files/recommended_practices/RP_Patch_Management_S508C.pdf

セキュリティパッチ緊急適用判断フローチャート
リスクの程度

ビジネス
インパクト
リスク分析

緊急適用

20

Copyright©2016JPCERT/CC All rights reserved.

Ensure Proper Configuration/Patch Management
適正なパッチ管理と設定変更管理
パッチ適用手順
テストシステムにパッチ適用して動作確認
スタンバイシステムにパッチ適用して動作確認

スタンバイシステムを運転システムに切り替えて、スタンバイに切り替わったシステ
ムにパッチ適用

21

Copyright©2016JPCERT/CC All rights reserved.

Reduce your Attack Surface Area
攻撃の侵入口を減らす
ネットワーク隔離ハードニング

特にインターネット接続に注意—未使用ポートの無効化—未使用サービスの無効化—外部ネットワーク接続の適正設定
Data Diode

発光素子

受光素子

https://techsupport.osisoft.com/Troubleshooting/KB/KB01099

22

Copyright©2016JPCERT/CC All rights reserved.

Build a Defendable Environment
防御しやすい環境を作る
セグメント分け、または、ゾーニング—論理的なつながりで、ネットワークを分離効果・目的—攻撃者がほかのセグメント（ゾーン）にアクセスできないようにする—マルウエア感染の範囲を限定—インシデント対応の「封じ込め」にも有効

23

Copyright©2016JPCERT/CC All rights reserved.

Manage Authentication 認証管理
攻撃者は認証情報、特に特権アカウントを狙うケースが増えている—特権アカウントが奪われると、ユーザのなりすまし、証拠の隠滅などが行われる—パスワードの厳重管理、マルチファクタ認証

コーポレートのIDとICS環境のIDは分けて管理する—AD等の共有は絶対しない24

Copyright©2016JPCERT/CC All rights reserved.

Implement Secure Remote Access
安全なリモートアクセスを導入
モデムは仕組み的にセキュリティが考慮されていない
オペレータによる意図したバックドアに注意
可能な限り「監視のみ」に設定する
ベンダーの常時リモート接続は許可しない
リモートアクセスはオペレータによる管理のもと、制限時間のある接続に限ること
可能であればマルチファクタ認証とし、鍵は厳密に管理する

25

Copyright©2016JPCERT/CC All rights reserved.

Monitor and Respond モニタリングと対応
近年の脅威に対応するためには、侵入検知と準備された迅速な対応が重要
モニタリングポイント—ICSの境界におけるIPトラフィック—制御ネットワーク内のIPトラフィック
マルウエアによる通信—AVソフトによる検出—ログイン情報の解析—アカウント情報変更の監視

攻撃が検出されたときの対応計画を事前に用意すること26

Copyright©2016JPCERT/CC All rights reserved.

まとめ

27

Copyright©2016JPCERT/CC All rights reserved.

まとめ
日本国内においては2015年の調査においても2013年と比較して状況は改善しているようには見えない
制御システムセキュリティの重要性はますます高まっている
ICS環境への技術対策が体系的に説明されたレポートが公開された

2016年はICSセキュリ
ティ対策の強化を期待

28

Copyright©2016JPCERT/CC All rights reserved.

JPCERTの提供サービス

29

Copyright©2016JPCERT/CC All rights reserved.

お問合せ、ご相談はJPCERTコーディネーションセンター
制御システムセキュリティ対策グループ
制御システムセキュリティに関するご相談— Email：icsr@jpcert.or.jp— https://www.jpcert.or.jp/ics/
制御システムインシデントの報告— Email：icsr-ir@jpcert.or.jp— https://www.jpcert.or.jp/ics/ics-form

御静聴ありがとうございました30

Copyright©2016JPCERT/CC All rights reserved.