制御システムの情報セキュリティ
～ 社会インフラや工場に対するサイバー攻撃の脅威と対策～
2019年5月 8日（水） 14:40 - 15:00 2019年5月 9日（木） 16:10 - 16:30 2019年5月10日（金） 14:40 - 15:00 独立行政法人情報処理推進機構（IPA） セキュリティセンター セキュリティ対策推進部 福原聡／岡下博子本日の内容
1. 制御システムとは
2. 制御システムと情報システムの違い
3. 制御システムの変化
4. 制御システムにおける脅威
5. 制御システムへのサイバー攻撃の現状
6. サイバー攻撃事例
7. 制御システムのセキュリティ対策
8. IPAの取り組み
1. 制御システムとは
制御システムとは
電力、ガス、水道、石油・化学等のプラントや運輸・交通等における監視制御、機 械・食品の工場の生産ラインで利用されているシステム。 制御システムの特性
社会基盤、産業基盤を支えており可用性が最重要。 停止による社会的な影響・事業継続上の影響が大きい2. 制御システムと情報システムの違い
制御系システム 情報系システム セキュリティ上の 優先度 継続的な安全確保安定稼働(可用性) 情報の適切な管理 事業上の被害 サービス、製品の供給停止設備の破壊 情報漏えい システム更新の ライフサイクル 10～20年 3～5年 システムの稼働時間 24時間365日随時再起動困難なケースが 多い サービスの提供時のみ 再起動は許容範囲 運用管理部署 計装、設備管理部門 情報システム部門 システムは古く、更新は困難。被害は物理的。3. 制御システムの変化
過去の制御システム 現在の制御システム バルブ センサ フィールド機器 インターネット 外部接続無し 専用のハード バルブ センサ フィールド機器 インターネット Windows Linux 外部接続あり 専用の プロトコル TCP/IP USBメモリ の利用 アクセス ポイント 情報システム 情報システム 制御システム 制御システム4. 制御システムにおける脅威
制御システムにおける脅威
(2016年 高い順) ① ソーシャルエンジニアリングとフィッシング ② USBメモリや外部のPCを介してマルウェア感染 ③ インターネット/イントラネットからのマルウェア 感染 ④ リモートアクセス 監視端末 制御 サーバ HMI （操作端末） SW SW バルブ センサ EWS FW 制御ネットワーク （情報側） 制御ネットワーク（フィールド側） 情報ネットワーク フィールド機器 コントローラ アクセス ポイント コントローラ ①、③ ② ④【出典】BSI Industrial Control System
5. 制御システムへのサイバー攻撃の現状(1)
サイバー攻撃の頻度の調査
No. 調査機関 調査対象 内容 出典 1 シーメンスと Ponemon-Institute 中東の石油・ガス事業者 担当200人 75%が過去1年間に、機密情報の窃取や制御シ ステムの運用障害につながったインシデントが 少なくとも1回あった https://www.helpnetsecurity.com/2018/03/21/middle-east-ot-cyber-risk/ 2 Corero-Network-Security 英国の重要インフラ事業者 200社 過去2件間に70%がサービス障害を経験し、そ のうち35%がサイバー攻撃によるものと判 明。(17.5%がサイバー攻撃で障害が発生) https://www.infosecurity-magazine.com/news/a-quarter-of-uk-cni-firms/ 3 Kaspersky-Lab社と PAC社 25か国製造、工業、エネル ギー、鉱業、運輸、物流の制 御システムのCS意思決定者 320人 31%が過去1年間に1回以上制御シス テムのサイバーインシデントを経験。 https://ics-cert.kaspersky.com/reports/2018/06/28/the-state-of-industrial-cybersecurity-2018-findings-of-joint-survey-by-kaspersky-l ab-and-pac/ 4 Fortinet SCADA/ICSを使用している 組織 56%が過去1年間にSCADA/ICSに侵 入されたことがある https://www.fortinet.com/content/dam/fortinet/assets/white-papers/WP-Independent-Study-Pinpoints-Significant-Scada-ICS-Cybersecurity -Risks.pdf 5 Kaspersky-Lab-ICS-CERT 同社のセキュリティソリュー ションが収集 41%の組織で制御システムが少なくとも１回 攻撃を受けた。トップはインターネットで2位 はリムーバブルメディア https://ics-cert.kaspersky.com/reports/2018/09/06/threat-landscape-for-industrial-automation-systems-h1-2018/#_Toc523849953 6 Positive-Technologies 世界各地の石油ガス会社等 73%の事業者においてITネットワークへの侵 入が可能。ITNWからは82%の事業者でOTへ の侵入が可能だった。（合わせると60%がイ ンターネットからOTへ) https://www.securityweek.com/industrial-networks-easy-hack-corporate-systems-study5. 制御システムへのサイバー攻撃の現状(2)
ここまでのまとめ
•
制御システムがサイバー攻撃を受けると被害は目に見える場合
が多い
•
制御システムは、ネットワークで繋がり、汎用化した装置が増え
たため、攻撃しやすくなってきた
•
制御システムはITと同レベルのセキュリティ対策はされていない
•
すでに制御システムへのサイバー攻撃は頻繁に起こっている
6. 制御システムへのサイバー攻撃事例紹介
Stuxnet BlackEnergy 事例を代表するマルウェア名 や事象,攻撃方法で表した Industroyer Mariposa CryptoJacking パイプライン爆発 Shamoon Blaster HDDCryptor DDoS LockerGoga WannaCry TRITON 電力 石油・ガス 化学 製造 交通・輸送 水道6. サイバー攻撃事例（1）
原子力：機器を破壊 被害企業：イランの核燃料施設 攻撃の形態:特定の設備破壊をねらったゼロデイ攻撃 被害： • 2010年9月、ウラン濃縮用遠心分離機の約8400台が稼動不能に陥った 原因： 【参考】 経済産業省： 「平成25年度次世代電力システムに関する電力保安調査報告書」 http://www.meti.go.jp/meti_lib/report/2014fy/E003791.pdf USBメモリ経由で侵入したゼロデイ脆弱性を利用 し感染するウイルスStuxnet が、遠隔監視制御ソ フトウェアが動作する端末を乗っ取り、遠心分離機 を制御するPLC（プログラマブルロジックコントロー ラ）を書き換え、遠心分離機に高い負荷をあたえる 事により、破壊した。6. サイバー攻撃事例（2）
電力(1)：大規模停電 被害企業：ウクライナ西部の電力供給会社 攻撃の形態:マルウェアを利用した遠隔操作 被害： • 2015年12月、3-6時間にわたる大規模停電により140万人に影響 原因： • 標的型メール(WORDマクロ)により情報系PCがマルウェアBlackEnergy3に感染。 攻撃者による制御装置の不正遠隔操作により、送電停止がひきおこされた。 同時にマルウェアKillDiskによる制御端末のシステム 破壊、コールセンター(電話回線)に対するサービス 妨害攻撃がおこなわれた。 【出典】https://ics.sans.org/media/E-ISAC_SANS_Ukraine_DUC_5.pdf6. サイバー攻撃事例（3）
電力(2)：大規模停電 被害企業：ウクライナ首都近郊の電力供給会社 攻撃の形態:マルウェアによる遮断器の直接操作 被害： • 2016年12月、ウクライナの首都キエフ北部とその周辺地域で、30分～1時間15分 にわたる大規模停電が発生 原因： • 電力会社の制御システムがマルウェア「Industroyer/CrashOverride」に感染し、 当該マルウェアが送電変電所の遮断機を不正 操作し、制御システムのデータを削除した。 • マルウェアが電力用のプロトコルで通信する。 【出典】https://www.pcworld.com/article/3152010/security/cyberattack-suspected-in-ukraine-power-outage.html6. サイバー攻撃事例（4）
電力(3)：運転再開の遅延 被害企業：米国の電力会社 攻撃の形態:外部記憶媒体を介在するマルウェア感染 被害： • 2012年10月、メンテナンス中の制御ネットワークに接続された約10台のコン ピュータがマルウェア Mariposa に感染した結果、運転再開が約3週間遅延。 原因： • システム管理会社がメンテナンス時にソフトウェア アップデート作業用に持ち込んだUSBメモリ―が 感染していた。 【出典】https://ics-cert.us-cert.gov/sites/default/files/Monitors/ICS-CERT_Monitor_Oct-Dec2012.pdf http://www.itmedia.co.jp/enterprise/articles/1301/17/news022.html6. サイバー攻撃事例（5）
水道(1)：性能低下 被害企業：ヨーロッパの水道事業者 攻撃の形態:クリプトジャッキング(仮想通貨のマイニング) 被害： • 2018年2月、水道事業者の制御ネットワーク上の機器が仮想通貨Moneroのマイ ニングマルウェアに感染、制御システムに大きな影響(性能低下)をもたらした。 原因：• SCADA(Supervisory Control And Data Acquisition :監視制御装置)につながっているWindows XPの 操作端末（HMI）でオペレーターがブラウザでイン ターネットにアクセスし、悪意のある広告をクリック して感染した。
6. サイバー攻撃事例（6）
水道(2)：薬品量の変更 被害企業：非公開 攻撃の形態:Webサーバの脆弱性攻撃による侵入 被害： • 2016年、水道事業者の顧客の個人情報を盗むために侵入したハッカーが制御系 を操作し、水道用の化学薬品の量を変更した(すぐ修正したため実害は出ていな い) 原因： • 事業者が時代遅れのソフトウエアを利用しており、 システムは勘定系と操作系が混在していた。 【出典】https://www.wateronline.com/doc/hackers-infiltrate-water-plant-modify-chemical-levels-00016. サイバー攻撃事例（7）
自動車製造業：操業停止 被害企業：自動車工場 攻撃の形態:ランサムウェアのばらまき 被害： • 2017年5月～6月、フランス、英国および日本の大手自動車メーカーの工場で、コ ンピュータがWannaCryに感染し、1日～数日間操業が停止した。 原因： • 詳細不明 • 外部ネットワークからの感染か隔離された ネットワークへの外部機器の持ち込みか？ セキュリティパッチが適応されていない 機器で被害が拡大した。 【出典】https://www.businessinsider.com/renault-nissan-production-halt-wannacry-ransomeware-attack-2017-5 https://tech.nikkeibp.co.jp/it/atcl/news/17/062101717/6. サイバー攻撃事例（8）
石油・化学(1)：爆発 被害企業：British Petroleum 攻撃の形態：監視カメラから侵入 被害： • 2008年8月、トルコのパイプラインが爆発 原因： • 監視カメラの脆弱性を利用して侵入、 制御システムの警報装置の動作を停止 させたうえで、管内の圧力を異常に高め て爆発を引き起こしたとされる。 【出典】https://www.newsweekjapan.jp/tsuchiya/2015/08/post.php 被害企業：サウジアラムコ(サウジアラビア) 攻撃の形態:標的型攻撃 被害： • 2012年8月、世界最大の石油企業で利用している計算機（ワークステーション） 30,000台がマルウェアShamoonに感染し、計算機上のファイルが消去されて、1週 間以上の間、社内ネットワークが停止（制御システム自体は分離されていたため 無傷） 原因： • メール添付のマクロ付ファイルで侵入。
6. サイバー攻撃事例（9）
石油・化学(2)：社内ネットワーク停止 【出典】https://www.nytimes.com/2012/12/10/business/global/saudi-aramco-says-hackers-took-aim-at-its-production.html6. サイバー攻撃事例（10）
石油化学(3)：緊急停止 被害企業：中東の石油化学プラント 攻撃の形態:特定の安全計装システムを狙った攻撃 被害： • 2017年、石油化学プラントのSISのコントローラの制御プログ ラムをマルウェアTRITON/Hatmanが、SISが危険な状態を許 可するよう改竄し、プロセスが緊急停止した。 原因：
• マルウェアによるEWS(エンジニアリングワークステーション） へのリモートアクセス、SISシステムのゼロデイ脆弱性を利用 【出典】https://www.fireeye.com/blog/threat-research/2017/12/attackers-deploy-new-ics-attack-framework-triton.html安全計装システム（SIS: Safety Instrumented System）
制御プロセスの状態を監視し、危険な状態になった時に プロセスの安全を確保するシステム 制御装置・ フィールド機器 安全計装 システム(SIS) 制御 システム
6. サイバー攻撃事例（11）
金属：装置とシステムの損害 被害企業：ドイツの製鉄所 攻撃の形態:標的型攻撃により不正操作を行う 被害： • 2014年12月、ドイツの製鉄所で、サイバー攻撃によって溶鉱炉が正常にシャット ダウンできず、装置及び製鉄システム（操業）に大きな損害を与える事件が発生 原因： • 標的型攻撃メールを利用して侵入し 生産設備の制御システムの操作権限 を奪取、不正操作によって溶鉱炉を 正常に停止できない様にした。 【出典】https://www.bbc.com/news/technology-305751046. サイバー攻撃事例（12）
非鉄金属：生産量の減少 被害企業：Norsk Hydro (ノルウェーのアルミ生産企業)など 攻撃の形態:ランサムウェア 被害： • 2019年3月、生産システムとオフィスITシステムがランサムウェアLockerGogaに感 染。生産設備を管理していたシステムのデータが暗号化されたため、手動での業 務に切り替え世界中の工場で生産が減速。初週だけで3500～4100万ドル(39-46 億円)の損失。決算報告を5週間遅らせる。 原因： • ランサムウェアは正規の署名を持って いたため、検知できなかった。 【出典】https://www.zdnet.com/article/norsk-hydro-ransomware-incident-losses-reach-40-million-after-one-week/6. サイバー攻撃事例（13）
鉄道：運賃徴収システムの停止 被害企業：サンフランシスコの市交通局 攻撃の形態:ランサムウェアによるシステム破壊 被害： • 2016年12月、運賃の徴収が出来なくなり、改札を開放して無賃乗車を認めたため、 5万ドルの運賃収入の損失。 原因： • メール経由でランサムウェアHDDCryptorの亜種が侵入。2000台を超えるPCに感 染し、ネットワーク共有ドライブとローカルディスク を暗号化した。 【出典】https://www.theregister.co.uk/2016/11/27/san_francisco_muni_ransomware/6. サイバー攻撃事例（14）
航空：欠便と遅延 被害企業：LOTポーランド航空 攻撃の形態:地上フライトプラン管理システムへのDDoS（分散型サービス拒否攻撃） 被害： • 2015年6月、首都ワルシャワからの出発便に欠航（10便）や遅延（15便）が発生し、 1,400人に影響を与えた。 原因： • 詳細は不明 【出典】https://www.cnbc.com/2015/06/22/hack-attack-leaves-1400-passengers-of-polish-airline-lot-grounded.html 被害企業：フランス TV5Monde社 攻撃の形態:7つの侵入口から同時に攻撃 被害： • 2015年4月、10時間にわたり12のテレビチャンネルが放送されなくなった。同時に Webサイトやソーシャルメディアも乗っ取りの被害に遭った。復旧に450万ユーロ かかった。 原因： • パスワード盗用、インターネットに開いていた リモート接続口から初期パスワードで侵入、 遠隔カメラなどから侵入し、長期間にわたり 調査し、攻撃されたと言われている。
6. サイバー攻撃事例（15）
放送：放送中止 【出典】https://www.bbc.com/news/technology-37590375 対策を検討するうえでの制約事項
• 構成変更が困難 • 機器の随時停止が困難 • OSのサポート終了 • ハードウエアの老朽化 現実的な対策
• 外部から持ち込み、接続する機器・媒体の管理・ 対策の徹底 • 自社環境にも導入可能な、攻撃を早期に検知する 仕組みの検討 • セキュリティ・バイ・デザイン7.
制御システムのセキュリティ対策
侵入 ここで 止める ここで 止める 侵入8. IPAの取り組み
制御システムのセキュリティリスクを知る 重大な経営課題となる制御システム のセキュリティリスク 第3版 事業被害に至るサイバー攻撃を止める 制御システムのセキュリティリスク 分析ガイド 第2版受付 現在位置 展示エリア
