電子署名者 : Japan Computer Emergency

Response Team Coordination Center
Japan Computer
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan
Emergency
Computer Emergency Response TeamCoordination Center, cn=Japan Computer
Response Team
Emergency Response Team Coordination
Coordination Center Center
日付 : 2013.02.18 10:46:36 +09'00'

制御システム・セキュリティ
2012年度の動きを振り返る

一般社団法人 JPCERTコーディネーションセンター
理事 宮地 利雄

振り返りの道筋

1.
2.
3.
4.

制御システムのセキュリティ問題への取組が本格化
Stuxnetが口火のひとつとなったサイバー戦争の議論
制御システム製品の脆弱性に関する動向
制御システムのインシデントに関する動向••••注目されたインシデント
標的型攻撃
マルウェア感染インターネットに直結された制御システム

5. 制御システムのセキュリティ標準の動向
6. 制御システムの管理を巡る新しい思潮

Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

2

制御システム・セキュリティ・タスクフォース
経済産業省の「制御システム・セキュリティ・タスクフォース」が中間とりまとめを公表 (6月1日)
http://www.meti.go.jp/committee/kenkyukai/shoujo/controlsystem_security/report01.htm
l— 2011年10月から官民により検討— その後の対策の方向性を提示

Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

3制御システム(ICS)のセキュリティ問題への取組が本格化
国内では，技術研究組合「制御システム・セキュリティ・センター」(CSSC)が発足
http://www.css-center.or.jp/— 2012年3月6日に設立；理事長に新誠一教授(電気通信大学)— 12組織の組合員 (2012年10月現在)— 宮城県多賀城市にテストベッドを構築中
JPCERT/CCも体制を拡充し，ICS関連の脆弱性とインシデント対応にフォーカスして取組を強化
http://www.jpcert.or.jp/ics/
VECは第1回「VEC制御システムセキュリティ対策ソリューションカンファレンス」を開催 (2012年11月28日)
http://www.vec-member.com/
Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

4

Stuxnetから始まった中近東でのサイバー戦争？
Sanger著「対決と潜伏 － オバマ大統領の秘密の戦争と米国の能力の驚くべき利用」の出版— Stuxnetでイランを攻撃する大統領命令— 米国政府からはコメント無し
Stuxnetと類似した構造をもつとされる複数のマルウェアが見つかる— Duqu, Flame (Flamer), Gauss— 直接にはICSを狙わずスパイ活動
マルウェア「Shamoon」— Windowsのシステム・ディスクを破壊— イランがサウジアラビアを攻撃？
Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

5サイバー空間の真珠湾攻撃を警戒する米国
各国政府が「重要インフラへのサイバー攻撃は戦争行為」とみなす方向で検討や声明— サイバー空間を陸海空とならぶ軍事戦略次元と位置づける国家が背後で操るサイバー攻撃が米国の重要インフラに向けられ社会的な混乱を招く事態を米国は強く警戒— 大統領令に基づく官民連携の強化をはかる— 重要インフラ関連のICSを含むシステムの強化を急ぐ— 重要インフラ関連事業者へのAPT的な攻撃によるICSを含むシステム情報の流出への対策— 特に，エネルギー関連業界に注力
ガス・パイプライン業界，電力業界など
Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

6制御システム製品の脆弱性の報告件数増加傾向が続く
制御システム用製品の脆弱性の報告
米国ICS-CERTが脆弱性の取扱ポリシーを改訂— いわゆる「45日ルール」を明示

OSVDBに登録された制御システム製品の脆弱性件数(2013年1月10日現在)

米国ICSJWGのベンダーWGがベンダーのための脆弱性取扱ガイドラインを発行— 脆弱性情報の開示に積極的な姿勢

Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

7制御システム製品の脆弱性の傾向～ Positive Technologies社による調査報告から ～http://www.ptsecurity.com/download/SCADA_analytics_english.pdf

35%に攻撃コード

8割の脆弱性は１ヶ月で修正
攻撃コードがあって放置も日本のベンダーは？
重大な脆弱性が2/3

SCADAとHMIで3/4バッファ・オーバーﾌﾛｰが36%
Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

8ベンダーの脆弱性に対する取組
海外の一部ベンダーではセキュリティ対応の社内体制を整備して脆弱性への対応と積極的な情報開示を開始
ベンダーにより対応姿勢が二極化

Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

9

ICS製品の脆弱性情報を販売する会社までが現れる
対策のない新しい脆弱性の情報を製品利用企業向けに購読契約ベースで販売
製品開発ベンダーやCERT機関には売らない事業的な成否は未知数：— 対策のない脆弱性情報をICS利用企業が買ってどれだけ価値があるのか？
IT関連製品に関しては，製品ベンダーやIDS/IPSベンダーの一部が新しく発見された脆弱性情報を買い取っている
Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

10制御システムのセキュリティ・インシデントの動向
利用者を震撼させた制御システム・ベンダーのシステムへの中国人ハッカーの侵入
米国ICS-CERTは，標的型の攻撃の中で，制御システムが標的とされることを警戒— 包括的なAPT (Advanced Persistent Threat)対策の一環としての制御システム・セキュリティ対策を進める
マルウェアによる制御システムの異常も散発— アジア太平洋地域にある刑務所の監視用CCTVがConfikerに感染してダウン (Symantec社)
インターネットに直結された制御システムが増加？

Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

11制御システム・ベンダーへの侵入事例
Telventカナダ社が「中国人ハッカーに侵入された」と顧客に通知— 米国やカナダ，スペインに事業展開— マルウェアをインストールされ，中核製品の一つのプロジェクト・ファイルが盗まれた
Telventカナダ社では客先に設置された制御システムの遠隔監視サービスも提供— 顧客の多くは電力会社

Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

12

米国における重要インフラ事業者への標的型サイバー攻撃が活発化
米国ICS-CERTが重要インフラ事業者への標的型サイバー攻撃に注目— サイバー攻撃がICSに及んだ事例は極めて少ないが，社内情報システム内でICS関連情報を探し回った形跡— 標的になっているのは，天然ガス・パイプライン事業者や電力事業者

Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

13制御システムにおけるマルウェア感染(頻発していると見られますが，以下は公表された事例です)
アジア太平洋地域にある刑務所の監視用CCTVがConfikerに感染 (Symantec社による情報)— Windowsマシンがダウンして監視が不能にタービン制御システムの約10台のコンピュータがウィルス感染したと電力会社が米国ICS-CERTに相談— 定期保守期間中にソフトウェア更新用のUSBメモリ経由で感染— 運転の再開が予定よりも3週間遅れることに— 別の電力会社でも類似のマルウェア感染事例

Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

14インターネットに直結される制御システム
コンピュータ(インターネット・サーバ)検索エンジンShodan
http://www.shodanhq.com/

SHINEプロジェクト— Shodanを利用して制御システム製品を検索— 数十万台規模の製品を発見— 日本の事例は少数— 攻撃されて大問題を起こしそうな制御システムは多くはなさそう— 4割は脆弱との報告も制御システムの操作や監視をインターネット経由の携帯機器で実現するよう求める顧客もCopyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

15制御システムのセキュリティ標準をめぐる動き
IEC 62443： 策定作業が続いている— セキュリティ管理に関する標準の動き
2-1： 改訂作業中— ISO27000シリーズとの整合性を高める方向— Stuxnetに対抗できるには1/3の管理策の見直しが必要と
ISA-99のWGが報告書
2-2： 策定を中止； 別の標準を2-2として新規追加

米国NARCの電力業界向けセキュリティ標準CIPの改訂— 第5版を策定中— FERC(連邦電力規制委員会)は第4版のCIPを承認して適用

Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

16IEC 62443シリーズ
 ライフ・サイクルと利用事例を追加(1-4)
 セキュリティ管理の運用を中止し，実現ガイドに置換(2-2)
 ISAのWGがStuxnet
対策として2-1は不十分との報告書

Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

17ISAのセキュリティ認定

ISASecureの認定機器— まだ4製品のみ— 仕様上のセキュリティ不備は認定審査対象外
ベンダー名

製品タイプ

モデル名

Honeywell Process Solutions

Safety Manager

HPS 1009077 C001

RTP Corporation

Safety manager

RTP 3000

Honeywell Process Solutions

DCS Controller

Experion C300

Honeywell Process Solutions

Fieldbus Controller

Experion FIM

IPA～ISCI (ISA Secure Compliance Institute)の連携— IPAが認証仕様の邦訳を作成
Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

18制御システムの管理を巡る新しい思潮
制御システムとコンピュータ・システムとの本質的な違いは何か？
— 物理的な設備や施設を基軸としたシステム— 情報システムとは無関係に導入し運用されてきた— 情報システム技術を次々と取り込み構造的には情報システムと大きくは違わなくなりつつあるIT (Information Technology) vs
OT (Operational Technology)
情報システム部門がOT領域もカバーする方向へ (？)— ベンダーは顧客の情報システム部門とも接点

Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

19

御静聴ありがとうございました

2013年を日本の制御システム・セキュリティが実質的に向上する年に！

Copyright® 2013 JPCERT/CC All rights reserved.

制御システム・セキュリティ 2012年度の動き

20