Japan Computer Emergency Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan ComputerEmergency Response Team Coordination Center, cn=Japan Computer Emergency
Response Team Coordination Center
日付 : 2010.03.09 10:36:50 +09'00'

制御システムにおけるセキュリティ役割分担の取り組み

制御システムセキュリティカンファレンス ２０１０
２０１０．２．９（社）計測自動制御学会 産業応用部門 計測・制御ネットワーク部会（株）日立製作所 日立研究所

山田 勉
制御システムセキュリティカンファレンス2010

目次
１．制御システムセキュリティの背景と課題– SICE/JEMIMA/JEITAセキュリティ共同WG

２．制御システムセキュリティのケーススタディ
３．セキュリティ機能と役割分担の検討– NIST/PCSRF/SPP-ICS制御システムセキュリティカンファレンス2010

1 -1. SICE/JEITA/JEMIMA共同セキュリティWG• 目的– 製造業分野におけるセキュリティ標準化動向，技術等の調査・研究活動を進め，会員企業，ユーザにフィードバックする(JEMIMA)• メンバ
横河電機(株)，(株)山武，(株)東芝，富士電機ｼｽﾃﾑｽﾞ(株)(株)日立ﾊｲﾃｸｺﾝﾄﾛｰﾙｼｽﾃﾑｽﾞ，(株)日立製作所• 広報活動– JEMIMA 計測展，委員会セミナー– SICE Annual Conference，産業応用部門大会– JEITA 制御システムフォーラム– JPCERT/CC 制御システムセキュリティ・カンファレンス• 団体協力関係– JPCERT/CC，IPAと相互に情報交換– IEC/TC65/WG10国内委員会にメンバ登録
SICE：(社)計測自動制御学会，JEITA：(社)電子情報技術産業協会，JEMIMA：(社)日本電気計測器工業会
制御システムセキュリティカンファレンス2010

1 -2. 制御システムの概要（イントラネット）

情報系ネットワーク

生産管理サーバ（Windows PC, 専用ｱﾌﾟﾘｹｰｼｮﾝ）
制御系情報ネットワーク（オープンネットワーク）

制御系情報ネットワーク操作卓，監視画面（Windows PC, 専用ｱﾌﾟﾘｹｰｼｮﾝ）

制御ネットワークフィールドネットワーク

制御ネットワーク（独自/オープンプロトコル）
3Com

3Com

コントローラ（独自ハードウェア，独自OS）
フィールドデバイス（センサ，アクチュエータ）制御システムセキュリティカンファレンス2010

1 -3. 制御システムセキュリティの背景
制御システムにおいて情報連携の重要性が高まる

見える化（経営，生産管理，操業）
情報系ネットワーク
ロット別コスト
環境対策（イントラネット）

オープン技術中間在庫制御系情報ネットワーク
トレーサビリティ
生産性向上
制御ネットワーク

時間短縮
フィールドネットワーク
作業正確性向上

3Com

技術の共通化の進展

3Com

マルチベンダ• ハードウェア（x86, LAN用LSI）• OS（Windows, Linux）• ネットワーク（Ethernet, 無線LAN）• プロトコル（OPC, 産業用Ethernet）• アプリケーション（ﾃﾞｰﾀﾍﾞｰｽ, Web）

外部からの干渉を受けやすくなる⇒被害を受けないように防止することが必要になる
OPC：OLE for Process Control
制御システムセキュリティカンファレンス2010

1 -4. 制御システムセキュリティの課題
出典：IPA「重要インフラの制御システムセキュリティとITサービス継続」• 課題１：オープン化に伴う脆弱性リスクの混入– 汎用製品，標準ネットワークの採用⇒ 脆弱性の課題も引き継ぐ（例：USBメモリ，ネットワーク侵入）• 課題２：長期利用に伴うセキュリティ対策技術の陳腐化– １０～２０年の間に，対策が更新されない可能性あり• 課題３：可用性重視に伴うセキュリティ機能の絞り込み– ウイルス検査プログラム負荷のシステムに対する影響– パッチ導入によるシステム稼働率への影響
関門

基本戦略：
独立した複雑なセキュリティシステムより，シンプルな対策を「重ねる」

多層防御
3Com

3Com

区分化

制御システムセキュリティカンファレンス2010

目次
１．制御システムセキュリティの背景と課題– SICE/JEMIMA/JEITAセキュリティ共同WG

２．制御システムセキュリティのケーススタディ
３．セキュリティ機能と役割分担の検討– NIST/PCSRF/SPP-ICS

制御システムセキュリティカンファレンス2010

2 -1. 事例：オーストラリア下水システム侵入• 2000年，下水処理管理システムが丌正に侵入され，河川や公園に何百万リットルもの下水を流出• 侵入したエンジニア– マルーチー市の下水システムを開発した会社に勤務していた– クイーンズランド州マルーチー市へ就職を希望したが，丌採用で立腹– 2000年3月～4月で少なくとも46回侵入し，システムの制御権を奪取

Maroochy by Google map• ノートPC＋無線を使い侵入⇒逮捕・禁固２年
制御システムセキュリティカンファレンス2010

2 -2. セキュリティとは• 『意図的で丌当な行為（＝攻撃）の被害を受けないよう防止すること』– 意図的で無い行為から資産を守るのは「安全対策」• オーストラリアの例ではどうすれば良かったか– 設計管理，ユーザ管理，リモートアクセス制限 etc.
⇒ 「気付き」が肝心• シンプル/安易なセキュリティはない。
繰り返して見直す，PDCAサイクルを回すことが重要
PDCA：Plan Do Check Act
制御システムセキュリティカンファレンス2010

2 -3. セキュリティ規格の分類
管理運用視点・ｾｷｭﾘﾃｨ管理ｼｽﾃﾑ仕様
・推奨実施例コンポーネント視点
・ｾｷｭﾘﾃｨ機能要件定義
・評価・認証の枠組み• ISO/IEC 27000ｼﾘｰｽﾞ(27001：

情報系
ｾｷｭﾘﾃｨ

情報ｾｷｭﾘﾃｨ管理ｼｽﾃﾑ（ISMS）要求事項，27002：ISMS 実践のための規範，27005：
情報ｼｽﾃﾑのﾘｽｸ管理，27006：認証/登録ﾌﾟﾛｾｽの要求仕様)• ISO/IEC 15408(Common Criteria；CCと称される。
製品がセキュリティに配慮すべき事項）• NIST SP800-53他• ISA-99(生産制御ｼｽﾃﾑｾｷｭﾘﾃｨ）制御系 • ISO/IEC 62443 (予定)
(Industrial Process Measurement andｾｷｭﾘﾃｨ
Control – Net & System Security)• PCSRF SPP-ICS(System Protection Profile Industrial Control System)• NIST SP800-82
制御システムセキュリティカンファレンス2010

2 -4. ＰＤＣＡの具体策
ＰｌａｎＤｏＣｈｅｃｋＡｃｔ

使えるツール・規格
各種Good Practice
セキュリティ評価ツール
ISA-99NIST SP800-53/82， PCSRF：SPP-ICS
ISA-99脆弱性スキャナ
ログ監査/侵入検知システム（IDS）
脆弱性情報
ISA-99NIST SP800-53/82

SPP-ICSを「役割分担」に使うことを検討

制御システムセキュリティカンファレンス2010

目次１．制御システムセキュリティの背景と課題– SICE/JEMIMA/JEITAセキュリティ共同WG

２．制御システムセキュリティのケーススタディ
３．セキュリティ機能と役割分担の検討– NIST/PCSRF/SPP-ICS

制御システムセキュリティカンファレンス2010

3 -1. 確実なセキュリティ対策を行うためには多層防御
Defense-in-depth
技術や使用方法による複数の対策（防御壁）でシステムに対する直接攻撃や情報漏洩を退ける

ｾｷｭﾘﾃｨﾎﾟﾘｼｰ(ﾙｰﾙ)
ファイヤウォールでネットワーク分割

ﾈｯﾄﾜｰｸ境界ｾｷｭﾘﾃｨ

内部ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ
侵入検知システム

ｴﾝﾄﾞﾎﾟｲﾝﾄｾｷｭﾘﾃｨ
3Com

ウィルス検知ソフト
OSのパッチ

セキュリティに対する攻撃を防ぐだけではなく，攻撃を見つけ対応するための時間稼ぎが可能

制御システムセキュリティカンファレンス2010

3 -2. ２つのギャップを考える
機能分担から見たギャップICSｺﾝﾎﾟｰﾈﾝﾄ
強固

操作のﾙｰﾙ
教育

ｾｷｭﾘﾃｨﾎﾟﾘｼ-

ギャップを放置してセキュリティ対策をしても「穴」ができてしまう

認証
ｱﾝﾁｳｨﾙｽ
IDS
Firewall

役割分担から見たギャップ

ユーザ

ｲﾝﾃｸﾞﾚｰﾀ

ベンダ

IT環境

「誰」が「何」を担当するか⇒「SPP-ICS」を用いて役割分担を試行• 産業制御システム（ICS）のためのセキュリティ要件のセット• ISO/IEC 15408のPP(Protection Profile)をICS向けに拡張
IDS：Intrusion Detection System，

SPP-ICS：System Protection Profile - Industrial Control System
制御システムセキュリティカンファレンス2010

3 -3. 機能・役割分担の概要
システム構成を定義
脅威を確定する

セキュリティ機能要件の分析（ＳＰＰ－ＩＣＳの活用）

セキュリティ対策方針を決める
セキュリティ機能要件を導く

機器・環境のセキュリティ機能分担＆実装する責任者（役割分担）を明確化
・ICS機器・IT機器
・非IT系

・ユーザ・ベンダ・インテグレータ
制御システムセキュリティカンファレンス2010

3 -4. 役割分担に使用したモデルシステム
水平構造

垂直構造
Office Network

RouterRemoteFactory Network（Ethernet） Maintenance

M&CS
PublicServerHMI

EWS

Factory Network（Ethernet）
Plant-A
Plant-BRAS

HMI Router

HMI

modemControl Network
Control Network

3Com

3Com

Controller/PLC

Field Network

Valve/Sensor/Actuator

Controller
/PLC

3Com

Field Network

Valve/Sensor/Actuator

Valve/Sensor/Actuator

制御システムセキュリティカンファレンス2010

3 -5. システムにおける脅威を確定する
不正な情報公開
不正な分析
不正な修正
不正な破壊
書き換え
悪意のあるコマンド
なりすまし
否認
DOS攻撃
特権
障害検知なし自然災害による停止
電力停止
ウィルス感染
物理的攻撃

脅威を確定する

セキュリティ
ｾｷｭﾘﾃｨ対策方針
対策方針
を決める
を決める

セキュリティ
機能要件
を導く

コンポーネント毎に、SPP-ICSを参照しながら、考えられる脅威を確定する

脅威
SPP-ICSで定義されている
制御システムセキュリティカンファレンス2010

3 -6. セキュリティ対策方針を決める
脅威
脅威を確定する

セキュリティ
ｾｷｭﾘﾃｨ対策方針
対策方針
を決める
を決める

セキュリティ
機能要件
を導く

不正な情報公開
不正な分析
不正な修正
不正な破壊
書き換え
悪意のあるコマンド
なりすまし
否認
DOS攻撃
特権障害検知なし
自然災害による停止
電力停止
ウィルス感染
物理的攻撃

セキュリティ対策方針
物理的リスク否干渉
総合接続性
データーのバックアップ
データ変更の認証
操作の継続
組織管理
移行
コンプライアンス
組織外の人の管理
リモート制御アクセアウ権限
安全な通信
データの完全な状態
機密性の保護操作における可用性システムの完全な状態
システム診断
不正監視
監査
侵入検知

SPP-ICSに，想定される脅威に対してどのような対策方針をとるべきかが明記されている。
共同WGではこの情報を，Excelを使って簡単に利用できるようにした。
制御システムセキュリティカンファレンス2010

3 -6. セキュリティ対策方針を決める
脅威を確定する

セキュリティ対策方針
脅威

セキュリティ
ｾｷｭﾘﾃｨ対策方針
対策方針
を決める
を決める

セキュリティ
機能要件を導く

脅威を決めると、一意にセキュリティ対策方針が決まる
制御システムセキュリティカンファレンス2010

3 -7. セキュリティ機能要件を導き出す
セキュリティ対策方針
脅威を確定する

セキュリティ
ｾｷｭﾘﾃｨ対策方針
対策方針
を決める
を決める

セキュリティ
機能要件
を導く

物理的リスク否干渉
総合接続性
データーのバックアップ
データ変更の認証操作の継続組織管理移行
コンプライアンス
組織外の人の管理
リモート制御アクセアウ権限
安全な通信
データの完全な状態
機密性の保護操作における可用性システムの完全な状態
システム診断
不正監視
監査
侵入検知

セキュリティ機能要件
機能要件
FPT_PHP.1
FPT_PHP.2
FPT_PHP.3

物理的攻撃の検出
物理的攻撃への通知

FPT_PHP.4
FPT_RCV.2
FPT_RCV.3
FPT_RCV.4

自動回復
損失のない自動回復

FPT_RCV.5
FPT_RPL.1

説明

物理的攻撃への抵抗
ドメインと物理的な境界線を明確に、ドメインごとのセキュリティポリシーを確定すること

機能回復
障害時、機能を削減してからの継続運転。
リプレー検出
サブオブジェクトのセキ ュリティドメインを実施し、信頼しないドメインからの干渉を防ぐ
変更されていない受信に対する応答
各部分の間で送受信さ れたデータの正確さを把握すること。
システムが信頼性のあるタイムスタンプの利用が出来ること。

SPP-ICSに，対策方針に対してどのような機能
FPT_SEP.1
要件があるかが明記されている。
FPT_SSP.1
共同WGではこの情報を，Excelを使って簡単に利用できるようにした。 FPT_SSP.2
FPT_STM.1

制御システムセキュリティカンファレンス2010

3 -8. 機能MAPを作る
Function
Explanation
requirement
FAU_GEN.1 Record the audit log
FAU_GEN.2 Record the user ID in the audit log

機能MAP

FAU_SAA.1
FAU_SAR.1
FDP_ACC.1
FAU_SAA.3

The violation of the policy can be audited
according to the set rule.
The audit information can be provided in an
appropriate way for those engaged in theaudit.
Accesses can be partly restricted.
Simple attacks can be detected.

When the user data is exported to outside,
ICSｺﾝﾎﾟｰﾈﾝﾄ
FDP_ETC.1 access can be properly restricted.

＝HMI

FPT_PHP.1 Detect the physical attacks.
FPT_PHP.2 Notification to the physical attacks.
FPT_RCV.2 Automatic recovery.

セキュリティ
機能要件

Ｖ
Ｖ

IT
Non-IT
Environment environment
Ｖ(Firewall)Ｖ
Ｖ(Firewall)Ｖ

Ｖ

Ｖ(Firewall)Ｖ
Ｖ
Ｖ

Ｖ(Firewall)
Ｖ
Ｖ

HMI

Controller
3Com

Controller

Ｖ

Ｖ
ＩＴ環境
Ｖ
Ｖ
Ｖ Network Ｖ Firewall
Ｖ

非ＩＴ環境
操作規則

教育

実現手段へ割り当てる
制御システムセキュリティカンファレンス2010

3 -9. 役割MAPを作る
セキュリティ機能要件
ICSｺﾝﾎﾟｰﾈﾝﾄ

機能MAP

HMI

Controller

ＩＴ環境
Network

操作規則

教育

3Com

Function Requirement Control system vendor役割
MAP

Firewall

非ＩＴ環境

FAU_GEN.1
FAU_GEN.2
FAU_SAA.1
FAU_SAR.1
FDP_ACC.1
FAU_SAA.3
FDP_ETC.1
FPT_PHP.1
FPT_PHP.2

Ｖ
Ｖ
Ｖ
Ｖ
Ｖ
Ｖ
Ｖ
Ｖ
Ｖ

Integrator

User

Ｖ
Ｖ
Ｖ
Ｖ
Ｖ
Ｖ

Ｖ
Ｖ

Ｖ

セキュリティ
機能の実行責任者
を割り当て
制御システムセキュリティカンファレンス2010

3 -10. SPP-ICSによる機能・役割分担のまとめ
機能MAP

役割MAP

制御システム構成機器等が持つべきセキュリティ機能を明確にできる

セキュリティ対策する際の制御システム関係者の役割を明確にできる

セキュアな制御システムを構築
制御システムセキュリティカンファレンス2010

まとめ• SICE/JEITA/JEMIMAでは共同WG活動にて制御システムセキュリティの調査研究を推進中。
– 制御システムセキュリティは関係者（ユーザ・インテグレータ・ベンダ）の共同が必要。
– セキュリティ対策の穴を減らすために
NIST/PCSRFのSPP-ICSを用いることで機能分担と役割分担ができることを確認した。

• 今後の活動– JPCERT/CCと共同で，セキュリティ評価ツールを試行し，利用上の課題や利点を評価する。
制御システムセキュリティカンファレンス2010