電子署名者 : Japan Computer Emergency Response Team Coordination Center

DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer
Japan Computer Emergency
Emergency Response Team Coordination Center, cn=Japan Computer Emergency
Team Coordination CenterResponse Team Coordination Center Response
日付 : 2018.03.12 10:54:50 +09'00'

制御システムにおけるDeception
Systemと早期警戒網について

JPCERTコーディネーションセンター
制御システムセキュリティ対策グループ
阿部 真吾

目次
制御システムにおけるセキュリティの課題と名古屋工業大学との共同研究について
Deception Systemについて
早期警戒網について今後の課題

1

Copyright ©2018 JPCERT/CC All rights reserved.

制御システムにおけるセキュリティの課題と名古屋工業大学との共同研究について2

Copyright ©2018 JPCERT/CC All rights reserved.

制御システムにおけるセキュリティの課題｜１

情報システムへの攻撃と比べ、制御システムへの攻撃の検知手法はあまり確立されていない— 制御機器に残るログはシステム監視のデバッグやトラブルシュートが主目的でサイバー攻撃の調査は考慮されていない— アンチウイルスソフトが入っていない / 入れられない— そもそも現場は少人数運転によりセキュリティ対応のための人が確保できない

3

Copyright ©2018 JPCERT/CC All rights reserved.

制御システムにおけるセキュリティの課題｜２制御システムに特化した情報を相互にやり取りし、共有するための仕組みがほとんどない— 多くの場合、発信されてくる情報を受け取って終わってしまう— 情報を受け取ってもその後のアクションに繋げづらい— そもそもどんな情報を相互に共有すると役に立つ（次のアクションに繋げられる）のかがよくわからない

4

Copyright ©2018 JPCERT/CC All rights reserved.

Deception Systemと早期警戒網のコンセプト
名古屋工業大学との共同研究として以下を検討している
現場担当者にあまり負担をかけることなく、攻撃を検知すると同時に防御するようなシステムはできないか（Deception System：詳細は後述）— 仮に攻撃されたとしても攻撃者に攻撃を断念させることで被害を抑える

検知した情報（脅威）を速やかに共有し、活用するためのシステムはできないか（早期警戒網：詳細は後述）— 早期にセキュリティの対応をできるようにすることで被害を抑える
5

Copyright ©2018 JPCERT/CC All rights reserved.

名古屋工業大学の研究概要
1. 攻撃者に攻撃を断念させる防御方法の開発— 実際のネットワークと比べて巨大なネットワークに見せかけ、攻撃者を混乱させる

2. プラントの運転状態に合わせて通信をサイバー・タグアウト（攻撃経路の分離、攻撃範囲限定）（※）するための方法論の開発— 動的ゾーニングと経路制御によるタグアウト（※）一般にタグアウトとは機器の動力を遮断し、操作を禁止することを明示するためにタグを付け、可視化すること、この研究はタグアウトを電子的に行うことを想定

3. 機能実証用システムの開発— 1、2を組み合わせたDeception System
アセットオーナ側のネットワーク上に設置
JPCERT/CCと共同研究— 情報共有システム（早期警戒網）
各アセットオーナ、分析者で情報をやりとりするための基盤

6

Copyright ©2018 JPCERT/CC All rights reserved.

Deception Systemについて

7

Copyright ©2018 JPCERT/CC All rights reserved.

ICSネットワークにおけるサイバー脅威の発見
一般的なアプローチの例として以下が挙げられる— ICS機器に残るログの分析

システム監視のデバッグやトラブルシュートが主目的— サイバー攻撃の調査は考慮されていない— 正常動作からのアノマリ検知
ホワイトリストにより異常な動作を検知できる全ての異常を検知できるわけではない— ホワイトリスト登録時に異常な動作が混ざっていた場合— 正常な動作を悪用された場合— ハニーポットによる検知
脆弱なシステムを模倣することで攻撃者を誘導し、攻撃情報の収集・検知ができる8

Copyright ©2018 JPCERT/CC All rights reserved.

ここに注目Deceptionについて
Deceptionとは— 騙す、欺く、欺まん

サイバーにおけるDeception— 攻撃者を騙すことで・・・
攻撃者の手法や情報を収集する
実システムが攻撃されないように誘導する
攻撃の邪魔をして時間を稼ぐ— 2016年にガートナーが発表した「注目すべき情報セキュリティ・テクノロジのトップ10」にも挙げられている
参考：https://www.sbbit.jp/article/cont1/32400
9

Copyright ©2018 JPCERT/CC All rights reserved.

Deception Systemに関する名古屋工業大学の研究｜１

攻撃者に攻撃を断念させる防御方法— 制御ネットワークに存在する機器のクローン（ハニーポット）を作成— 実際のネットワークと比べて巨大なネットワークに見せかけ、攻撃者を混乱させる
スキャンが来たらクローンのIPアドレスをランダムに変化させる

real

real

fake

fake

real

real

fake

存在する機器から得られる情報を使ってクローンを作成する
10

Copyright ©2018 JPCERT/CC All rights reserved.

Deception Systemに関する名古屋工業大学の研究｜２
プラントの運転状態に合わせて通信をサイバー・タグアウト（攻撃経路の分離、攻撃範囲限定）するための方法— 動的ゾーニングと経路制御によるタグアウト

OpenFlow
Controller①②

OPCサーバSCADA

11Copyright ©2018 JPCERT/CC All rights reserved.

HMI

Ethernet

HUB

PLC2

PLC1

（タグアウトの例）
最初は①のゾーンにある機器間のみ通信ができる（他の機器はタグアウト）
この時、SCADAへの通信が発生したらそのままハニーポットに送る経路の制御はHUBに繋がった
OpenFlow Controllerにて行う③

ハニーポット

PLC3・・・
meter

sensor

Valve

Meter

Sensor・・・

OPCサーバSCADA

PLC1・・・

valve

例示した状態を可視化したもの（Webで確認できるシステムを用意）一般的なハニーポット
到達したパケットをプロトコルやポート毎に振り分け、そのパケットの応答として設定されたアクションを返す— ハニーポットに構築したアプリケーションが応答する（高対話型）— アプリケーションの動作を模倣して応答する（低対話型）
特定のパケットのみ応答するような実装（機器固有の情報を返すだけ）が一般的ハニーポットを活用して攻撃活動を観察する事例は既に存在している— 例）GasPot（海外のガソリンスタンドのガスタンクを管理するシステムを模倣して攻撃活動を観察した実験）
参考：https://www.blackhat.com/docs/us-15/materials/us-15-Wilhoit-The-Little-Pump-Gauge-ThatCould-Attacks-Against-Gas-Pump-Monitoring-Systems-wp.pdf

12

Copyright ©2018 JPCERT/CC All rights reserved.

既存のハニーポットの課題｜１
Deception Systemとして利用する場合の課題を整理すると…
インターネットに接続して構築することが前提— 外部から接続できる位置に置いて、攻撃者の行動や利用しているインフラ情報の一端を見ることを目的としている場合が多い— 内部ネットワークに置いて、横断的侵害を検知することを目的に利用しているケースはあまりない
一部（主に情報系）で内部ネットワークの機器を模倣する
欺まんシステムが出始めた程度
13

Copyright ©2018 JPCERT/CC All rights reserved.

既存のハニーポットの課題｜２

適切な応答をしないとハニーポットであることを見破られる可能性が高くなる— ハニーポット固有の情報が含まれていると、すぐに見破られてしまう— 本来変化するはずのものが常に同じ値だけを返すようになっていたり、不自然な値（シリアルナンバーがAll 0など）になっていても見破られる可能性が高い
ハニーポット

抜粋： SHODAN
https://www.shodan.io/
14

Copyright ©2018 JPCERT/CC All rights reserved.

Traceback Honeypot System(THS)についてDeception Systemとして利用するため、既存のハニーポットを拡張することを検討— イントラネットに設置することを前提とする
内部侵入後の横断的侵害、感染拡大を検知することが目的— 攻撃者を騙す機能を高めるため、ある程度のコマンドに応答できるようにする
長時間騙せるようにすることが目的— 攻撃元（＝感染源）の情報をプロファイルするため、攻撃元をスキャンする（カウンタースキャン）
迅速なインシデント対応をすること、組織間で共有するための脅威情報を収集することが目的

Traceback Honeypot System(THS)と命名
15

Copyright ©2018 JPCERT/CC All rights reserved.

THSでやりたいことの整理
横断的侵害、感染拡大を検知する— 想定する攻撃として以下を検討
過去に海外で感染が確認されているHavex RAT
海外の研究者が攻撃コンセプトとして発表した
Modbus Stager、 PLC-Blaster

特定プロトコルのコマンドに対して、本物の機器と同じ（区別できない）応答を返す— レスポンスを比較して確認

攻撃元（＝感染源）にカウンタースキャンを行う— スキャンできることを確認
16

Copyright ©2018 JPCERT/CC All rights reserved.

想定する攻撃（１）Havex RAT
ICSベンダのWebサイトを改ざんし、ICSのソフトウエアにマルウエアを仕込む
以下の機能を持つ— OPCサーバスキャン機能— ネットワークスキャン機能
内部ネットワークに存在する正規のPCからのスキャンなので検知が難しい

インターネットUpdate
Module情報システム（IT）
オフィスネットワーク

ベンダ公式HP

制御システム
生産管理等
制御情報ネットワーク
操作端末（HMI等）

OPCサーバ

制御ネットワーク
コントローラ(PLC等)
フィールドネットワーク
バルブ、センサ等

17

Copyright ©2018 JPCERT/CC All rights reserved.

SCADA等想定する攻撃（２）Modbus Stager（研究）Modbusプロトコルにより、PLCのHolding Registerを読み込むと
SCADA/HMI等のPC側で不正なコマンドが実行される
事前に以下２つが必要

Attacker— PLCのHolding Registerに不正なペイロードを書き込む— Modbus Stager（本体）をPCに感染させる

事前準備の後は内部ネットワークに閉じてModbusプロトコルにて不正なコマンドが実行されるため、検知が難しい18

Copyright ©2018 JPCERT/CC All rights reserved.

②Inject Modbus Stager①Inject
payload④Run CodeSCADA/HMI③Read Register

PLC

PLC

Ethernet

PLC・・・
valve

meter

sensorField NW

想定する攻撃（３） PLC-Blaster（研究）ユーザプログラム領域を書き換え、正規プログラムの一部として入れ込む
ネットワーク経由で1台に感染するとC2 Server
Attacker’s PC
そこから同一ネットワーク内のPLCに感染を広げる
Worm
Connect backInjection
内部ネットワークに閉じて特定のEthernet
Spread制御プロトコルにて不正なプログラムが書き込まれるため、
PLC
PLC
PLC
検知が難しい
・・・
valve

19

Copyright ©2018 JPCERT/CC All rights reserved.

meter

sensorField NWTHSの動作検証の流れ
ローカルネットワーク上にいくつかの制御機器とTHSを設置する
実際の制御機器からの応答パケットを使って偽装するための端末情報を作成する
攻撃元（＝感染源）から偽装している端末のIPアドレスに対して通信を行う— 今回はHavex RATとModbus Stagerで検証

攻撃元（＝感染源）に対してカウンタースキャンを行う
20

Copyright ©2018 JPCERT/CC All rights reserved.

ネットワーク構成
192.168.3.111

192.168.3.18

SCADA

HMI

192.168.3.1

Havex
感染端末ゲートウェイ
PLC

192.168.3.41

192.168.3.39

偽装した
端末情報を持つIP
192.168.3.151

ハニーポット21

Copyright ©2018 JPCERT/CC All rights reserved.

計装パネル

偽装する端末の設定情報の作成
一般的なポートスキャンツールであるnmapで得られた応答をxml形式で保存する
保存したxmlをhoneyd（詳細は後述）のコンフィグに変換— この変換により任意のIPアドレスが振られた偽装マシンの設定が作成される
create machine1
set machine1 personality "Nomadix AG 5800 access gateway (VxWorks)“
set machine1 ethernet “AA:BB:CC:DD:EE“
add machine1 tcp port 102 ～add machine1 tcp port 502 ～
192.168.3.0/24 内で現状存在しない値から～ランダムに選択振られた値
set machine1 default tcp action closed（偽装する対象(HMI)の端末のIPアドレスのset machine1 default udp action closed
第4オクテットは18）
bind 192.168.3.41 machine1
22

Copyright ©2018 JPCERT/CC All rights reserved.

ソフトウエア構成
ハニーポット (Raspberry Pi)
conpothoneydinvented device information 1[192.0.2.x]

HTTP Server[80/tcp]

135/tcp : Microsoft RPC
139/tcp : NetBIOS

転送

invented device information 2[192.0.2.y]23

Copyright ©2018 JPCERT/CC All rights reserved.

NIC(Ethernet)[192.0.2.xxx]カウンターcounter
スキャン
scan

80/tcp : HTTP
502/tcp : Modbus

invented device information 3[192.0.2.z]
21/tcp : FTP

BACnetSimulator[47808/udp]

接続試行

445/udp : Microsoft SMB

S7 Simulator[102/tcp]

ModbusSimulator[502/tcp]

接続試行

80/tcp : HTTP
5002/tcp : (Control Protocol)

Attacker
Deviceソフトウエアの紹介
Raspberry Pi— Linuxが動作するシングルボードコンピュータ— この上にTHSを構築

honeyd— バーチャルホストが作れるハニーポットアプリケーション— （重複しない範囲で）任意のIPアドレスで特定のアプリケーションが動作しているように見せかけることができる

conpot— 制御システム関連のプロトコルをエミュレートできる
ハニーポットアプリケーション
24

Copyright ©2018 JPCERT/CC All rights reserved.

ハニーポットに残るログの例
Havexのスキャナがスキャンした様子がログに残る

Wiresharkでみた通信パケット2017-03-27-21:53:10.1007 honeyd log started -----2017-03-27-21:53:58.5141 tcp(6) S 192.168.3.111 49196 192.168.3.151 44818 [Windows 2000 RFC1323]
2017-03-27-21:53:58.5468 tcp(6) S 192.168.3.111 49198 192.168.3.151 502 [Windows 2000 RFC1323]
2017-03-27-21:53:58.5767 tcp(6) S 192.168.3.111 49199 192.168.3.151 102 [Windows 2000 RFC1323]
2017-03-27-21:53:58.6067 tcp(6) S 192.168.3.111 49200 192.168.3.151 11234 [Windows 2000 RFC1323]
2017-03-27-21:53:58.6366 tcp(6) S 192.168.3.111 49201 192.168.3.151 12401 [Windows 2000 RFC1323]:
honeyd logfile（※）Wiresharkはネットワークアナライザと呼ばれるアプリケーションで、ネットワークに流れるパケットをキャプチャして見やすく表示することができる
25

Copyright ©2018 JPCERT/CC All rights reserved.

レスポンスの比較
Wiresharkでパケットを比較しても全く変わらない

THSからのレスポンス＝実際の機器からのレスポンス

26

Copyright ©2018 JPCERT/CC All rights reserved.

カウンタースキャンした結果スキャンしてきた端末に対して自動的にnmapを実行する

オープンしているポート、MACアドレス、OSなどの情報が得られる

27

Copyright ©2018 JPCERT/CC All rights reserved.

THSを動作検証した結果平時は動作しないため、ネットワークに負荷をかけない特定のコマンドについては実際の端末と変わらないレスポンスを返すことができる
攻撃元（＝感染源）をスキャンしたとしても攻撃者に気づかれる可能性は低い— 攻撃中に乗っ取っている端末の通信監視をするとは考えづらいため検知できる／できない攻撃が存在— 検知できる：ネットワークにパケットが発生する攻撃
ネットワークをスキャンするもの
ワームなどのようにネットワーク上の機器に対して感染を拡大しようとするもの— 検知できない：感染端末内で閉じている攻撃
キーロガーのようにキーボードからの入力を記録するようなもの
感染端末のデータを破壊するもの
28

Copyright ©2018 JPCERT/CC All rights reserved.

早期警戒網について

29

Copyright ©2018 JPCERT/CC All rights reserved.

早期警戒網とは各組織にDeception Systemを置き、異常の検知・攻撃のタグアウトを行う
検知した情報を分析し、インディケータとして活用
Deception
できる情報を各組織で共有する担当者
System
A工場

企業Z

企業A

生産管理等
情報制御ネットワーク

・・・

操作端末(HMI等)

OPCサーバ

制御ネットワーク
コントローラ(PLC等)
フィールドネットワーク

サーバ
30

Copyright ©2018 JPCERT/CC All rights reserved.

分析者

バルブ、センサ等

SCADA等インディケータとは攻撃、または、攻撃の準備活動を選り分けるためのデータ・情報— 送信元・通信先のホスト名・IPアドレスやURL、ポート番号— ファイルの名前やハッシュ値、通信の特徴— 攻撃の手法や攻撃者の挙動

インディケータを共有するための仕組み— 攻撃を受けた組織からの提供に基づき、ハブ組織（JPCERT/CC等）が各組織に通知

インディケータを受け取った各組織における対応— 過去・現在・将来において攻撃の有無を調査可能な範囲で結果をハブ組織に提供

31

Copyright ©2018 JPCERT/CC All rights reserved.

インディケータ共有のイメージ
ハブ組織がインディケータや攻撃手法などの知見を集約し、各組織に共有する事で、攻撃者のコスト増加（攻撃活動の手間を増やす、不正アクセスをさせないようにする）を図る— 組織間のインディケータなどを共有する— 各組織においてインディケータによる検知を行う
ただし、インディケータ受領組織における対応コスト（検知情報とログの突き合わせなど）を勘案する必要性がある
攻撃を検知！

・C&Cサーバなどの攻撃インフラ
・攻撃手法、特徴

32

Copyright ©2018 JPCERT/CC All rights reserved.

ハブ組織
インディケータ(検知情報)の共有

インディケータのイメージと活用方法｜１
推奨するログの確認期間— 20XX年 XX月以降

ログ確認期間の絞り込みに活用(大体1～3か月)

攻撃に使用された通信先— hoge.com 80/TCP(HTTP)
攻撃に使用された通信先 URL— http://hogehoge.com/hoge.php
攻撃に使用された通信先
IP アドレス— XXX.XXX.XXX.XXX (国名)
HTTPS
33

Copyright ©2018 JPCERT/CC All rights reserved.

(攻撃の特徴例)
正規の Web サイトが改ざんされ、攻撃者に使用されている可能性がある

インディケータのイメージと活用方法｜２
改ざんされた Web サイト— http://hogefuga.com/home,
YYY.YYY.YYY.YYY (国名)(攻撃の特徴例)
以下のアプリケーションの脆弱性を悪用すると思われる— 製品名 (CVE-20XX-0XXX)
端末のパッチ適用状況の確認に活用改ざんされた Web サイトにアクセスした際の誘導先 URL— http://fugafuga.com,ZZZ.ZZZ.ZZZ.ZZZ

誘導先URLは頻繁に変わるので誘導先URLでのブロックは難しい
脆弱性が悪用された場合の誘導先へのアクセス回数— n回
ログ内のアクセス回数の確認に活用

34

Copyright ©2018 JPCERT/CC All rights reserved.

インディケータのイメージと活用方法｜３
ダウンローダの通信先— http://fugahoge.com/index.html

HTTP ボットの通信先— http://fuga.com/id=[ランダムな文字列](攻撃の特徴例)
以下のファイルがダウンロードされる 端末内の存在有無の確認に活用— mimikatz.exe— Notepad.exe

活用できる情報は情報系と大きく変わらない
それをどうやって収集するかがポイント

Deception Systemを活用して組織内の情報を収集
35

Copyright ©2018 JPCERT/CC All rights reserved.

サイズ : XXXXX bytes
ハッシュ値: MD5 :aabbcc112233445566778899
00ddeeff
SHA1 :
1234aabbcc11223344556677
889900ddeeff4321

Deception Systemで取得できる情報
現時点で取得できる情報を赤文字で記載— 通信ログ— 送信されるペイロード— OSの情報バージョン、イベントログ、パッチ— アプリケーションの情報
バージョン、ログ、オープンしているポート— ファイル名etc

攻撃元（＝感染源）にログインすれば赤文字以外の情報もDeception Systemで取得できる— ただしその場合、 Deception Systemにどのように認証情報を持たせるのかは検討が必要

36

Copyright ©2018 JPCERT/CC All rights reserved.

情報共有する際のフォーマットについて
発信元によって記載フォーマットは異なる— 一般的なフリーテキストの形式だと情報の構造などに統一性がなく、自動的に処理したり、機械的に抽出することが難しい— 情報量が多くなると、人が目視し、手動で処理するなどの運用が難しい— 現場担当者の負担を減らすためにも、ある程度処理を自動化することを考慮したフォーマットが望ましい

標準フォーマットを使うと— 情報の構造や形式が統一されることで機械的に処理しやすい— 抽出した情報から検索するなどの処理の自動化が容易になる
37

Copyright ©2018 JPCERT/CC All rights reserved.

既存の脅威・脆弱性情報共有の標準仕様標準仕様の目的— 共通仕様によって情報を齟齬なく共有する検知に有効なサイバー攻撃を特徴づける指標
脅威情報に含まれる情報のスコープや種類標準仕様の例
MITRE
CVE CWE CVSS

38

Copyright ©2018 JPCERT/CC All rights reserved.

Mandiant

OpenIOC

情報を体系化して統一的に表現・事象の特定・脅威度の分析
・情報の管理STIXを簡略化してOASIS 利用できないか検討中
STIXCybOX
TAXII

（参考）STIXについて
Structured Threat Information eXpression ”「脅威情報構造化記述形式」
サイバー攻撃活動を記述するための統一的な記述方式の一つ
MITRE が中心となり仕様策定を進めてきたが、現在は OASISが引き継いでいる
現在公開されている最新は STIX 2.0— JSON形式で記述する— 前バージョンのSTIX 1.2はXML形式で記述する

OpenIoC などの脅威情報共有技術仕様や Snort や YARA などのツールと連携する機能も提供している
39

Copyright ©2018 JPCERT/CC All rights reserved.

早期警戒網を活用した情報共有の流れ（イメージ）｜１

検知からインディケータを上げるまで— Deception Systemで不審な情報を検知し、アラートを上げる
現場担当者が内容を確認して対応する— 検知した情報を標準フォーマットに変換する
情報を暗号化する— 早期警戒網にアップロードする分析者がサーバにて定期的に内容を確認

40

Copyright ©2018 JPCERT/CC All rights reserved.

早期警戒網を活用した情報共有の流れ（イメージ）｜２

インディケータの受信から対応まで— 早期警戒網から標準フォーマットで脅威情報を受信する— Deception Systemで自組織に関連する情報かどうかを判定する— 自組織にて対応が必要な場合はアラートを上げる
現場担当者が内容を確認して対応する各組織で早期に警戒態勢に入るための一助とする

41

Copyright ©2018 JPCERT/CC All rights reserved.

今後の課題42

Copyright ©2018 JPCERT/CC All rights reserved.

今後の課題（Deception System）
応答性能を高める（バリエーションを増やす）— ICSでは、利用しているシステムやアプリケーション、機器、ネットワークの構成、設定などが組織ごとに異なっており、攻撃対象を限定することが難しい— 今回は第一歩として汎用的なプロトコルに限定して実装

攻撃元（＝感染源）の情報をより多く収集する— 例えば攻撃元（＝感染源）に侵入して機器上で動作するシステムやサービス、アプリケーションを詳細に調査する
その情報をもとに１つの感染源をつぶすだけでなく、対策（アップデートやアクセス制限など）を横展開することができる
43

Copyright ©2018 JPCERT/CC All rights reserved.

今後の課題（早期警戒網）
共有プラットフォームを構築する— 調査研究の一環としてJPCERT/CC内にサーバを設置し、協力いただける組織と情報のやり取りができるようにする

共有する情報の標準フォーマットを検討する— STIXをベースになるべく単純なものを目指す

自組織に関連する情報かどうかを判定するための機能を実装する— あらかじめ判定に必要な情報をDeception Systemに持たせることで対応できそう

44

Copyright ©2018 JPCERT/CC All rights reserved.

さいごに今回発表した内容は実験段階であり、まだまだ課題がたくさんあります
興味がある、一緒に検討したい／試しに置いてデータを取ってみたい、という方がいらっしゃいましたら、是非お声がけください！ご協力をお願いいたします！
— 連絡先：icsr@jpcert.or.jp

制御システムのセキュリティ向上のため、これからも頑張ります！
45

Copyright ©2018 JPCERT/CC All rights reserved.

お問合せ、インシデント対応のご依頼はJPCERTコーディネーションセンター— Email：pr@jpcert.or.jp— https://www.jpcert.or.jp/

インシデント報告— Email：info@jpcert.or.jp— https://www.jpcert.or.jp/form/

制御システムインシデントの報告— Email：icsr-ir@jpcert.or.jp— https://www.jpcert.or.jp/ics/ics-form.html
46

Copyright ©2018 JPCERT/CC All rights reserved.

ご静聴ありがとうございました

47

Copyright ©2018 JPCERT/CC All rights reserved.