Japan Computer Emergency
Response Team Coordination
Center

電子署名者 : Japan Computer Emergency
Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan ComputerEmergency Response Team Coordination Center,
cn=Japan Computer Emergency Response Team
Coordination Center
日付 : 2015.03.11 16:52:52 +09'00'

ユーティリティ制御システムのセキュリティへの対応
ICS Cybersecurity Incident Response andTroubleshooting Process
制御システムセキュリティカンファレンス2015，
JPCERT/CC，2015/2/12

高野 正利
Masatoshi TAKANO

Toyota Motor Corporation, andTechnical Committee on Instrument and Control Networks,
Industrial Applications Division, SICE, Japanmasatoshi_takano ＠ mail.toyota.co.jp

Masatoshi TAKANO, 2015.0212

目次 Table of Contents
1. 本日の要旨
Ensuring cybersecurity of ICS

2. 制御システムの情報セキュリティをユーザ視点で考える
Consideration from operator’s perspective and today’s security defenseof ICS

3. 制御システムのトラブルシューティングにセキュリティ問題への少しの意識
ICS troubleshooting with awareness of cybersecurity

4. ガイドライン
Practical guideline

5. まとめConclusions and discussion

Masatoshi TAKANO, 2015.0212

1. 本日の要旨• 制御システムのトラブルシューティングにセキュリティのことも考える
Improving ordinal troubleshooting with the awareness of cyber-related issues

通常のトラブルシューティングとセキュリティハンドリングを分けて考えない
Having a cybersecurity incident-handling installation, separate from the ordinal
troubleshooting flow, makes the operations and troubleshooting capabilities
more complex.

• 多層防御により，時間を稼ぐ
Establishment of multilayered defense for buying time

Masatoshi TAKANO, 2015.0212

2. ポイント Priorities of ICS cybersecurity approaches
2.0 その機能は，本当に必要なのかを考える• 本当に必要な機能なのか．
• その機能追加に伴うセキュリティリスクについても考える．

2.1 制御システムの情報セキュリティをユーザ視点で考える
Consideration of operator’s perspective

2.2 考慮すべき点
Consideration of today’s security defense of ICS.1 脆弱性リスクの見積りは困難
Uncertainties of future risk estimation.2 マネジメントシステムの視点
Management-system application to ICS cybersecurity.3 制御システムセキュリティ対策の限界
ICS security limitations compared to IT system

Masatoshi TAKANO, 2015.0212

2.1 ユーザ視点で考える
Consideration of operator’s perspective• 多くのオペレータはセキュリティ問題に遭遇していない
Many plant-floor operators have few experience of the detection of possible
cyber-incidents during ordinal troubleshooting.
Most ICS troubleshooting is for non-cyber-related issues.

SystemCyberincidents

Standalone
controllers
Hard-wired
relay, loop
controllers,
orPLCswithout
field
networks
Could notbe found.

Network based
ICSDCSs, PASs,SCADA,
Industrial
Ethernet/Fieldbus

IT systems

Recently, havereported.

Have manyexperiences.

Officesystem,Web,Internet,Intranet

Masatoshi TAKANO, 2015.0212

2.1 ユーザ視点で考える（続き）
Consideration of operator’s perspective• セキュリティ問題のアラームは上がらない可能性が高い• オペレータはセキュリティ問題かどうかに気づけない場合が多い→日々のプラント異常・故障への対応の中で，セキュリティ問題を見分けられるかどうかが大きな課題となる．

Masatoshi TAKANO, 2015.0212

2.1 ユーザ視点で考える（続き）
Consideration of operator’s perspective
制御システムと情報システムのセキュリティ対応比較
サイバーセキュリティを認識

IT システム

制御システム多くのケースで念頭にある

通常故障などのトラブルシューティング過程で，ほぼ認識しできるか脆弱情報への対応ていない
アンチウィルスソフトウェア，パタ・自社システムにその脆弱点があるかどうかの確認

ーン ファ イ ル等は通常， 自動 的

→現状，これが困難にアップデート・脆弱点があった場合に，今やるのか／次期改修時か／当面見合わせかの判断を実施したいが→現状，判断材料なし

脆弱性情報の扱い

ベンダーの製品から検索可能なユーザに認識できるように公開する必要あり（自社システム情報構成に使われているのか／いないのか）

サイバーセキュリティ

足し算（More with more）

引き算（More with less）

脅威への対応とにかくアップデート

制御機能に絞ったシステム構成によるリスク低減

Masatoshi TAKANO, 2015.0212

2.2 考慮すべき点
Consideration of today’s ICS security defense.1 脆弱性リスクの見積りは困難
Uncertainties of future risk estimation.2 マネジメントシステムの視点
Management-system application to ICS cybersecurity.3 制御システムセキュリティ対策の限界
ICS security limitations compared to IT system

Masatoshi TAKANO, 2015.0212

2.2.1 脆弱性リスクの見積りは困難
Uncertainties of future risk estimation
情報系システムのセキュリティ対応• 既知の脆弱性→アンチウィルスソフトなどにより検知し防御する仕組み• 未知の脆弱性をついたもの（Zero-day-attack）→現時点で容易ではない．
Cyber security defense of ICS is unable to identify the risk of cyber-related
incident exploitation, including new architecture of attacks, or is unable to predictthe risk of what will be exploited next.

Masatoshi TAKANO, 2015.0212

2.2.2 マネジメントシステムの視点
Management-system application to ICS・Zero-day attackは当然のことながら予測が出来ず，頻度の大小に関わらず影響度が高いものは，Likelihood

リスク低減が必要になると考えたほうが良い．

• Organization cannot identify andrecognize whether the rapid
Rapid change withtransition of the risk level would have
DDoS etc.
occurred.
• Thus, ordinal risk assessment could
not be applicable to cybersecurity
risk assessment for the management
system.
At the moment of theVery HighHigh
Moderate
Low

Very Low

first attack of zero-day

Level of Impact
Masatoshi TAKANO, 2015.0212

2.2.3 制御システムセキュリティ対策の限界
ICS security limitations compared to IT system

・制御システムは，リアルタイム性の確保や，運用期間が長いことによるプアな（5～10年単位で見れば）コンピュータ資源などの制約がある．
・リアルタイムでのアンチウィルスソフト等の更新は難しいため，必要な制御機能を絞り込み，ソフトウェアの最少化が重要．
• IT system employs online, real time update mechanisms of security
software such as security patches or virus pattern files.
• In contrast to the IT security, an ICS platform may not run the cybersecurity software, or may require processes to discover whether new
versions of antivirus software or pattern files work correctly. It is difficult toimplement the security software into ICS.

Masatoshi TAKANO, 2015.0212

2.2.3+ 制御システムセキュリティ対策
Different views of ICS security considerations
・機密性・ アクセス制御（識別と認証），暗号化・正確性（例えば）・ TCPによるバーチャルサーキット
TCP・可用性・ 安定稼動 → システム資源・動作の保証・ 障害対応
The definition of "realtime" by IEEE-POSIX is・ 応答性
to provide a required level of service
in a bounded response time .
（リアルタイム性）
・周期タスクのデッドラインの保証
・ ウィルス対応他
・非周期タスクの要求時間内での応答
Schedulability
Rate Monotonic Theoryn∑ C ≤ n( 2= T

Task Priorityii11ni-1 )Ｃ i＝独立した周期タスクの最悪実行時間
Ｔi＝周期ｎ＝タスク数

I/O
Di
Ai
Null

対策

・ Priority Inversion

対策・ Dead LockTime

Masatoshi TAKANO, 2015.0212

3. 制御システムのトラブルシューティングに
セキュリティ問題への少しの意識
ICS troubleshooting with awareness of cybersecurity
Damaged components or functions

Troubleshooting-Adding cyber-oriented
incident handling toexisting ICS
troubleshooting capabilities-Training

Awareness ofcyber-relatedtroublesDetection of
cyber incidents

Adjust, repair or replace• An acute awareness of thepotential for cyber-related,
together with the main stream of
the troubleshooting, supports the
response to cyber-incidents.
• Maintenance organizations
should add cyber-oriented
incident handling to existing ICS
troubleshooting trees.

Response to
cyber incidents

可能性の高いものからトラブルシューティングし，並行してセキュリティ問題の可能性を確認
・制御システムのトラブルシューティングにおいては，セキュリティ起因であっても，通常の設備故障であっても，トラブルとなっている機器や制御機能のトラブルシューティングから入るべきである．
・既存のトラブルシューティングマニュアルなどに追記して，セキュリティ問題へ少し意識を持てるようにすることが，とりこぼしなくトラブルに対応できる方法と考える．
Masatoshi TAKANO, 2015.0212

4. ガイドライン Practical guideline
一般的な多層防御の制御システム例• We describe a practical guideline toretard zero-day exploitation.
• Figure shows one of generaldefense-in-depth strategies
including a platform layer and acommunication layer.

Masatoshi TAKANO, 2015.0212

4. ガイドライン（続き） Practical guideline
プラットフォームレイヤ： OSや通信プロトコルなどソフトウェアの必要最少化
コミュニケーションレイヤ： 必要な通信に制限するアプリケーションプロキシゲートウェイ等→必要な制御機能以外の通信経路の遮断・防御を，プラットフォームレイヤとコミュニケーションレイヤで直列に多層化することにより，ひとつの脆弱性だけでセキュリティトラブルとなるリスクを低減する．

Masatoshi TAKANO, 2015.0212

5. まとめ Conclusions and discussion
プラントシステムのトラブルシューティングの中で，セキュリティ問題をバランスしてとらえることの重要性
・プラントトラブルシューティング手順にセキュリティ問題をチェックできる枝葉を追加しておく
・制御システム独自の制約やＩＴと共通する不確実性への対応として，より詳細なシリーズでの多層防御が有効な可能性がある．
This study considered ICS cyber-incident response and its protection from theviewpoint of operators’ circumstances and limitations of today’s security
defense.
• Improving ordinal troubleshooting with the awareness of cyber is
responsive to indefinite responses to trouble;• Improving layered defense with a safety function is responsive tounpredictable attack and to unexpected changes of risk

Masatoshi TAKANO, 2015.0212

本資料で使用している図表及び一部本文は，下記参考文献からの引用です．

参考文献
1. 高野正利，ユーティリティ監視制御システムの情報技術と情報セキュリティ，計測と制御，第53巻第10号，2014/10.
2. Masatoshi Takano, “ICS Cybersecurity Incident Response and theTroubleshooting Process”, SICE Annual Conference 2014.
3. 高野正利，ユーティリティ制御システムのセキュリティ，情報セキュリティ
EXPO専門セミナー2010, 2010/5/12.
4. Masatoshi Takano, “Sustainable Cyber Security for Utility Facilities Control
System based on Defense-in-Depth Concept”, SICE Annual Conference 2007.

Masatoshi TAKANO, 2015.0212