制御システムの脆弱性管理の課題とグローバルにおける事例
2024/2/7(⽔) 制御システムセキュリティカンファレンス
Claroty Ltd.
APJ Sales / Solution Engineer
加藤 俊介

JPCERT Coordination Center

デジタル署名者 : JPCERT Coordination Center
DN : c=JP, st=Tokyo, l=Chuo-ku,
serialNumber=AATL20231109322437, o=JPCERT Coordination
Center, cn=JPCERT Coordination Center, email=office@jpcert.or.jp
日付 : 2024.02.02 08:51:38 +09'00'

⽬次
1. 会社・発表者紹介
2. 脆弱性管理を取り巻く状況と重要性
3. 脆弱性管理の課題(特定、追従、優先付け)
4. グローバルにおける事例
5. まとめ2

CLAROTY INDUSTRIAL

1. 会社・発表者紹介

3クラロティとはどんな会社︖

会社の名前の由来
Clarity (透明性・明瞭さ) + OT (Operation Technology: ⼯場などの⽣産システム)
当社はOT含むXIOT向けにセキュリティソリューションを提供するアメリカのスタートアップ企業です

製造業

公共設備

⽯油/ガス

化学

⾃動⾞

⾷品＆飲料

ビルオートメーション

ヘルスケア・
ライフサイエンス4

会社概要
本社: ⽶ニューヨーク

設⽴年: 2015年
従業員数: 500+

資本⾦: $640M (約857億)

導⼊実績: +10,000

拠点: ロンドン、フランクフルト、シンガポール、ソウル、メルボルンなど

収益成⻑率: 1,139%

業界最⾼⽔準の専⾨知識

包括的なソリューション

グローバルにおける実績

拡張型IoT(XIoT)

資産管理

顧客数800+, 導⼊:10,000+, 国: 50+, 業界: 25+
リスクと脆弱性の管理

変更管理

リモート
アクセス
インダストリアル

エンタープライズ

ヘルスケア

ネットワーク
保護

脅威検出

第三者からの⾼い評価|

Copyright © 2022 Clarity Ltd. All rights reserved

5 55

⾃⼰紹介

ミッション: セーフティーxセキュリティでDXを推進する

クラロティ アジア太平洋・⽇本地区 営業部
ソリューションエンジニア加藤俊介

2015年4⽉~ 2018年3⽉: 国内⼤⼿化学メーカー
計装・制御システムエンジニア
2018年4⽉~2022年5⽉: 海外⼤⼿制御機器メーカー
安全計装システムエンジニア
2022年5⽉〜現在:現職
6

CLAROTY INDUSTRIAL

2. 脆弱性管理を取り巻く状況と重要性

7

制御システムの性質
DCSやPLC, RTUはフィジカル空間(現実世界)とサイバー空間を隔てるデバイスである。

サイバー空間

現実世界に影響を与えられる。
例) ポンプを起動する、アームを動かす

誤った動作は環境破壊・⼈⾝事故などを引き起こす可能性がある。

フィジカル空間制御システム本体の脆弱性を悪⽤した攻撃は、環境・経済・安全への影響がある。

8

制御システムが被害・標的となったインシデント事例
2010: Stuxnet

2016: Industroyer

2017: HatMan

ドイツのSiemens社のPLCの脆弱性を標的とし、遠⼼分離機の回転周波数を変更した。

遮断器に対して直接制御コマンドを送信し、遮断器を開閉した。
ドイツのSiemens社のPLCに対してDoS攻撃をしかけるプログ
ラムも含まれていた。

メンテナンス端末に導⼊した不正プログラムから攻撃⽤スクリプトが安全PLCに対して送信、書き込みが⾏われた。

引⽤元:
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/000080701.pdf
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/000076756.pdf
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/000076757.pdf

コントローラーレベルのICS脆弱性を悪⽤した攻撃はすでに成功している。

9

制御システムの脆弱性をつく攻撃ツール開発は活発化

2022年4⽉13⽇、⽶国のエネルギー省と国⼟安全保障省のサイバーセキュリティ・インフラストラクチャー・セキュリティ庁（CISA）、国家安全保障局（NSA）、連邦捜査局（FBI）が新たなハッキングツールの発⾒について共同勧告を実施
ツールは産業⽤制御システムを標的とした、複数のマルウェアを⼀体化したものでした。
(通称:Pipedream)

引⽤元:https://www.mandiant.com/resources/blog/incontroller-state-sponsored-ics-tool

ICS脆弱性を悪⽤した攻撃のハードルは下がってきている。

10

脆弱性公表数の推移とイベント

PLCを含むOT機器の脆弱性公表数は年々増加傾向にある。
2022年後期はベンダーからの公表が、その他の機関からの公表数を超えた。
ベンダー側の意識が⾼まっていると推察できる。

引⽤元:https://www.jpcert.or.jp/present/2023/ICSR2023_01_JPCERTCC.pdf

ICSベンダー側も予防措置として、脆弱性を発表する傾向が強くなってきている。

11

脆弱性管理はコンプライアンス遵守事項

組込機器(PLC や IoT 機器など)のモデル情報やファームウェア情報の把握及び脆弱性情報の定期的な確認等)

Procurement documents andcontracts, such as SLAs, stipulatethat vendors and/or service
providers notify the procuring
customer of confirmed security
vulnerabilities in their assets
within a risk-informed time frame asdetermined by the organization.

(e) security in network
and information systems
acquisition, development
and maintenance,
including vulnerability
handling anddisclosure

引⽤元:
https://www.meti.go.jp/policy/netsecurity/wg1/factorysystems_guideline_ver1.0.pdf
https://www.cisa.gov/cross-sector-cybersecurity-performance-goals
https://www.exalens.com/post/navigating-nis2-for-eu-businesses-ensuring-compliance-and-seizing-opportunities-in-the-eus-evolving-cybersecurity-landscape

各国における規制・ガイドラインにも脆弱性把握、管理は要求されている。

12

脆弱性管理は喫緊の課題

引⽤元:https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_kojo/pdf/005_s01_00.pdf

13インシデント発⽣時における脆弱性情報の有効活⽤
今朝、とある建物にて保管されていた10億円が何者かによって盗み出されました。盗み出された当初の建物の状態は不明です。

出荷設備を動かすPLCのバルブ制御が正しく⾏われず、出荷プロセスが停⽌しました。

今朝、とある建物にて保管されていた10億円が何者かによって盗み出されました。盗み出された当初の建物は、鍵があいた状態のドアが設置されており、ドアは設置されてから約30年が経過した⽊製のドアでした。

出荷設備を動かすPLCのバルブ制御が正しく⾏われず、出荷プロセスが停⽌しました。
このPLCには公開脆弱性であるCVEXXX, YYY, ZZZが該当すると確認されており、リモートでのコード実⾏やDDoS攻撃を受ける可能性がありました。
原因調査のヒントが多い!

14

インシデント原因の特定事例

出荷設備を動かすPLCのバルブ制御が正しく⾏われず、出荷プロセスが停⽌しました。

ICS起因

PLCのIOカード故障
プログラムエラー
計装空気不良
バルブ固着

脆弱性起因

リモートコード実⾏
DoSによるサービス停⽌15

脆弱性管理の取り巻く状況と重要性
1 ICS、得にコントローラーはサイバー空間とフィジカル空間を隔てる機器のため、影響度が甚⼤かつ重要度が⾼い。

2 ICSを狙った脅威は⾼まっており、ベンダー側からも積極的に脆弱性情報を開⽰され、規制・ガイドラインからも脆弱性管理がますます求められている。

3 脆弱性情報を管理することで、インシデント後の原因調査にも活⽤できるため、把握と管理は必要である。

16

CLAROTY INDUSTRIAL

3. 脆弱性管理の課題(特定、追従、優先付け)

17

公開脆弱性からの該当資産の特定

引⽤元: https://jvn.jp/vu/JVNVU96883262/

該当する資産を把握するためには、詳細な資産台帳が必要

18

資産台帳があっても該当CVEの紐づけは困難

ベンダー名

モデル番号

バージョン

数量CODESYS

Runtime Toolkit 32-bit fullV2.4.7.55

5

CODESYS

PLCWinNT

V2.4.7.55

10

CODESYS

V2 Runtime Toolkit 32-bit fullVer. 2.4.7.55

10

Advanced SearchにてCPEという特殊な識別⼦のフォーマットを使⽤すると、当該脆弱性を確認できる。

資産情報から、該当する脆弱性を検索可能だが、⾮常に多くの⼿間がかかる。

19

⽇々追加、修正される脆弱性情報
2/7(⽔)
PLC-A

バージョンA

バージョンB

2/29(⽊)CVE-AA

PLC-A

バージョンA

CVE-AA

CVE-AB

CVE-AB

CVE-ACCVE-AC_R1

CVE-BA
CVE-BB

バージョンB

CVE-BA
CVE-BB
CVE-BC

⽇々追加・修正される脆弱性情報を⼿動で追従するのには限界がある。

20

該当する脆弱性情報は把握できたが、優先度が⾒え⾟い
脆弱性管理番号CVSS 基本値

深刻度

該当する資産数

CVE-2021-34527

8.8

重要4

CVE-2021-33742

7

重要42

CVE-2021-34448

6.8

警告

7

CVE-2020-0787

7.8

重要5

CVE-2021-27502

7.8

重要12

CVE-2021-27504

7.8

重要14

CVE-2021-22636

7.8

重要54

CVE-2021-27429

7.8

重要35

CVE-2021-22680

9.8

重要1

脆弱性情報が把握できたものの、どの脆弱性から対応すべきか把握し⾟い。

21

脆弱性管理の課題(特定、追従、優先付け)
1 保有している資産と公開脆弱性情報の紐づけには、まず保有資産の詳細な把握(資産棚卸)が必要になる。

2 紐づけ後の追加・修正情報への追従については、⼈⼿で実施するのは⾮常に困難なため、ツールの導⼊が合理的である。

3 脆弱性対応について優先順位をつける指標が複数あるため、優先順位をつけるポリシーや指針が必要になる。

22

CLAROTY INDUSTRIAL

4. グローバルでの事例

23

資産可視化ツールによる資産台帳作成と脆弱性管理

資産可視化ツール
パッシブ管理番号

ベンダー名

モデル番号

バージョン

数量

1

CODESYS

Runtime Toolkit 32-bit fullV2.4.7.55

52

CODESYS

PLCWinNT

V2.4.7.55

10

3

CODESYS

V2 Runtime Toolkit 32-bit fullVer. 2.4.7.55

10アクティブエージェント
プロジェクトファイル

脆弱性管理番号CVSS 基本値

深刻度

該当する資産数

CVE-2021-34527

8.8

重要4CVE-2021-33742

7

重要42

実データに基づく資産棚卸しと、脆弱性⾃動紐づけ、追従をツールによって⾃動化

24脆弱性の優先度をつける指針

EPSS

KEV

FIRSTという団体が管理する管理する脆弱性悪⽤スコアシステム。

CISAが公開している実際に悪⽤が確認された脆弱性のリスト。

今後30⽇間にその脆弱性が悪⽤される確率を0~100%で算出

攻撃の試み、攻撃の成功が観測されたことがリ
スト掲載の条件

引⽤元:
https://www.first.org/epss/
https://www.cisa.gov/known-exploited-vulnerabilities-catalog

実際に悪⽤される可能性のある脆弱性情報は、⼀般に公開されている。

25

脆弱性情報に指標を加えて対応の優先付け
脆弱性管理番号CVSS 基本値

深刻度

該当する資産数

EPSS

KEV

CVE-2021-34527

8.8

重要496.7%

あり

CVE-2021-33742

7

重要4227.3%

あり

CVE-2021-34448

6.8

警告715.9%なし

CVE-2020-0787

7.8

重要50.7%ありCVE-2021-27502

7.8

重要124.0%

なし

CVE-2021-27504

7.8

重要1410.0%

なし

CVE-2021-22636

7.8

重要5430.0%

なし

CVE-2021-27429

7.8

重要3514.9%なし

CVE-2021-22680

9.8

重要198.0%あり

EPSSが⾼いことと、KEVが存在することから⾼確率で脆弱性を付かれる可能性有り=> 優先順位”⾼”として対応

26

脆弱性対応の例
IPS

パッチ適⽤やファームウェア更新により脆弱性をなくす(本質的対策)

脆弱性を悪⽤する攻撃コマンドを、シグニチャーとして登録しIPS実装(仮想パッチ)

セグメントを区切り、セグメント間の通信ポリシーを設定する。
(マイクロセグメンテーション)

ICS運⽤環境においては、実施できるタイミングは限られており、タイムリーには対応が出来ない。

攻撃が確認されてからでないと、シグニチャーとして配布されない可能性がある。

通信内容の正しい把握とポリシーの段階的適⽤が必要となる。

応急処置としてネットワーク側で補正対策をする。

27

全体のまとめ1 効率的な脆弱性管理の運⽤には、保有資産の把握から脆弱性情報の紐づけ、追従が出来るツールが必要である。

2 CVEにある情報だけでなく、EPSS, KEVとの紐づけを⾏うことで、悪⽤される可能性の⾼さをベースに優先付けできる。

3 ICSにおいては脆弱性対応として、本体側で対応することよりもネットワークセキュリティとして補正制御を⾏う⽅が現実的である。
28

ありがとうございました。