目次 1. はじめに 2. 標的型サイバー攻撃の概要と対策 2.1 情報共有イニシャティブJ-CSIP 2.2 標的型メール攻撃に向けた設計ガイド 3. 新たな脅威分野への対応 3.1 制御システムセキュリティへの対応 3.2 自動車の情報セキュリティへの対応 4. おわりに 2

Transcription

1 IPA が取組むサイバー攻撃対策 ~ 標的型サイバー攻撃への対応と新たな脅威分野への取組みについて ~ 2013 年 12 月 13 日独立行政法人情報処理推進機構技術本部セキュリティセンター情報セキュリティ技術ラボラトリー長金野千里 1

2 目次 1. はじめに 2. 標的型サイバー攻撃の概要と対策 2.1 情報共有イニシャティブJ-CSIP 2.2 標的型メール攻撃に向けた設計ガイド 3. 新たな脅威分野への対応 3.1 制御システムセキュリティへの対応 3.2 自動車の情報セキュリティへの対応 4. おわりに 2

3 サイバー攻撃の変遷 ~ 攻撃手法の巧妙化だけでなく攻撃者像も変化 ~ 攻撃者の狙い いたずら目的顕示欲の誇示 攻撃者像 攻撃者 1 人セキュリティ技術者 攻撃手法 不正侵入 金銭目的 ( 犯罪 ) サービス妨害 ( 嫌がらせ ) グループ犯罪者 Botnet Spam メール スパイ 諜報活動機密情報の窃取 国家? Hacktivist 犯罪プロ集団 標的型 シーケンシャルマルウェア ソーシャルエンジニアリングによる ウェブ メール USB 等経由の攻撃へ ビジネスインパクト 個人情報流出 企業の社会的責任 知的財産情報の窃取 企業の競争力低下 国家の危機管理問題へ 制御機器やシステム停止 企業の競争力低下 サプライチェーンの崩壊 社会インフラの混乱 国家の危機管理問題へ 3

4 サイバー攻撃の報道事例 サイバー攻撃の報道事例 時期 報道 2011/4-5 ソニーにサイバー攻撃 個人情報流出 1 億件超 ( 朝日新聞等 ) 2011/9 三菱重にサイバー攻撃 80 台感染 防衛関連も ( 読売新聞等 ) 2011/10 衆院にサイバー攻撃議員のパスワード盗まれる ( 朝日新聞等 ) 2011/11 サイバー攻撃 : 参院会館のPC ウイルス感染は数十台に ( 毎日新聞等 ) 2012/1 JAXA: 職員のパソコン感染 無人補給機情報など流出か ( 毎日新聞等 ) 2012/2 農水省に標的型メール攻撃 情報流出狙う? ( 読売新聞等 ) 2012/2 特許庁 トロイの木馬型感染 メール情報流出か ( 読売新聞等 ) 2012/6 パソコン5 台 ウイルス感染か= 外部サイトと通信 - 原子力安全基盤機構 ( 時事通信 ) 2012/7 財務省 PC 数か月情報流出か トロイの木馬型 ( 読売新聞等 ) 2012/11 JAXA ロケット設計情報流出か PCがウイルス感染 ( 朝日新聞等 ) 2012/12 三菱重工もウイルス感染宇宙関連の情報流出か ( 産経新聞 ) 2012/12 原子力機構 PCウイルス感染 告発情報漏えい?( 読売新聞 ) 2013/1 農水機密 サイバー攻撃 TPP 情報など流出か ( 読売新聞 ) 2013/3 韓国の1 万 6000 台のATM 停止 銀行業務 PC 停止 複数の放送局システム障害 2013/8 やり取り型 サイバー攻撃メールの急増 4

5 セキュリティパッチが出ていない脆弱性を悪用した攻撃事例 ( 注意喚起 ) 5

6 サイバーセキュリティ対策強化に対する取り組み サイバーセキュリティと経済研究会 ( 経済産業省 ) 2010/12~ < 概要 > サイバー攻撃により 知的財産やライフラインを狙った事案や企業等の機密漏えいが多発している状況から ITの安全確保によって守るべき対象が経済活動や国民生活に直接関わる分野へ質的に変化していることを鑑み 経済の成長 安全保障の観点から 必要な情報セキュリティ政策を検討 2.1 情報共有イニシャティブ J-CSIP 2.2 標的型メール攻撃に向けた設計ガイド 主な検討項目 標的型サイバー攻撃への対応 制御システムの安全性確保 情報セキュリティ人材の育成 3.1 制御システムセキュリティへの対応 6

7 1. はじめに 2. 標的型サイバー攻撃の概要と対策 2.1 情報共有イニシャティブJ-CSIP 2.2 標的型メール攻撃に向けた設計ガイド 3. 新たな脅威分野への対応 3.1 制御システムセキュリティへの対応 3.2 自動車の情報セキュリティへの対応 4. おわりに 7

8 標的型攻撃 の流れと防御 0 [ 事前調査 ] 1 [ 初期潜入段階 ] 攻撃の流れを多層防御で検知 抑止する 4. 管理統制 2 [ 攻撃基盤構築段階 ] 事前調査 J-CSIP 2 2. 内部設計ガイド 3 [ システム調査段階 ] [ 攻撃最終目的の遂行段階 ] 1. 入口上流 3. 情報保護 8

9 2012 年 4 月運用開始 Initiative for Cyber Security Information sharing Partnership of Japan サイバー情報共有イニシアティブ 20 官民連携による サイバー攻撃に関する情報共有の取り組み IPAを情報ハブ ( 集約点 ) として 参加組織間で情報共有を行い 高度なサイバー攻撃対策に繋げていく 参考 標的型攻撃の防御に向けた産業界との情報共有の枠組み J-CSIP( ジェイシップ ) の活動レポートを公開 9

10 J-CSIP 発足の背景 ~ 情報共有体制の確立 2010 年 12 月 ~ 2011 年 8 月 経済産業省 サイバーセキュリティと経済研究会 開催 研究会 中間とりまとめ 2011 年 9~10 月 国内のサイバー攻撃に関する複数事案の報道 2011 年 10 月 25 日 ~2012 年 3 月末 2012 年 4 月 2012 年 7~10 月 2013 年 8 月現在 官民連携による情報共有体制 J-CSIP 発足 参加組織等の実務者にて協議を重ね NDA 策定 情報共有ルール整備 重要インフラ機器製造業者 SIG において NDA 締結 運用開始 電力 ガス 化学 石油業界へ拡大 業界間 (SIG 間 ) での情報共有開始 5 業界 45 参加組織にて運用中 (4 月時点 : 39 参加組織 ) 10

11 情報共有のスキーム IPA が情報の集約点となり 参加組織との NDA ( 秘密保持契約 ) に基づき 情報共有を実施 NDA に基づく情報共有スキーム 脅威の検知 不審メール等 企業 情報提供 SIG 情報共有( 情報ハブ 同業界のグループ)企業 企業 情報収集 分析 ウイルスの解析 情報の匿名化 参加組織への情報提供 ( 情報共有 ) 対策情報 一般企業 個人 企業 SIG: Special Interest Group 共有された情報から判明した情報のフィードバック 11

12 サイバー情報共有イニシアティブ (J-CSIP) 金道< 活動の目的と背景 > 一昨年の経済産業省 サイバーセキュリティと経済研究会 の提言及び大手企業及び政府機関への標的型攻撃事案を受け早急に標的型サイバー攻撃を含む情報セキュリティ政策としての情報共有の枠組みを構築する必要から 経済産業省主管の下 重工 重電等 重要インフラで利用される機器の製造業者 (9 社 ) を中心とした情報共有 早期対応の場として J-CSIP を発足 ( 平成 23 年 10 月 25 日 ) < 現状 :SIG 拡大と SIG 間共有を実施 > 重工各社との間で秘密保持契約 (NDA) 及び運用ルールを策定 攻撃情報の共有を開始 ( 平成 24 年 4 月 ) 重工以外の重要業界毎においても情報共有体制の確立を推進することとして 電力 化学 ガス 石油業界等の代表企業と秘密保持契約を締結 (~ 平成 24 年 10 月 ) 5 つの業界 SIG 45 組織での情報共有を実現 単一の業界内に留まらず 業界間が連携した情報共有 連携を開始 ( 平成 24 年 10 月 ~) 一般の企業 業界団体等 緊急対策情報 技術レポートなど 情報ハブ [IPA] 標的型攻撃情報 サイバー攻撃解析協議会 SIG 間連携 ( 情報ハブを基点とした SIG 間情報共有 ) 連携 NISC セプターカウンシル 事務局 (NISC 重要インフラ ) C 4 TAP 重工 SIG 重要インフラ機器製造業者 (24 年 4 月運用開始 ) 電力 SIG 電力事業者 (24 年 7 月運用開始 ) 化学 SIG 化学事業者 (24 年 9 月運用開始 ) ガス SIG ガス事業者 (24 年 10 月運用開始 ) 石油 SIG 石油事業者 (24 年 10 月運用開始 ) 融水 解析機関 IPA など 1 J-CSIP: Initiative for Cyber Security Information sharing Partnership of Japan 2 SIG: Special Interest Group( 業界ごとの情報共有グループ ) 10 分野 12

13 第一段階 : 不審メール情報の情報共有 組織 A 1 不審メール検知 組織 B 組織 C 2 情報提供 メール Y メール X メール X メール Z 3 メールを分析し 対策等を含む情報を作成 4 情報共有実施 13

14 第二段階 : 各組織での同種のメールの発見 最初に見つかった攻撃メール 組織 A 組織 B 組織 C メール Y メール X 6 同時期に着信していた同種のメールを発見 メール Z 7 報告 5 共有された情報を基にログ等を検索 14

15 第三段階 : 情報の集約分析と更なる情報共有 組織 A 組織 B 組織 C 8 発見された同種のメールの情報提供 メール Y 9 情報を集約し メール Z メール X, Y, Z... メールの関連性や事象の整理を行い 更にその情報を共有 10 各参加組織にて 今後の対策の検討に活用 15

16 総括 / 考察 共有情報の活用 活動の効果 1 類似攻撃の早期検知 ( メール着弾検索 ) 2 攻撃侵攻の早期発見 ( 外部アクセスログ 中間生成ファイル検索 ) 3 将来攻撃のブロック ( 攻撃利用 IP アドレスのフ ラックリスト設定 ) 従来 他事業者への攻撃は全く把握できていなかったが 業界を狙った同一もしくは類似の攻撃が実際に行われていることが把握でき 共同で検知 防御できるようになった NDA 下で 近い業種 / 迅速な解析により密度の濃い有効な情報の共有となっており 検知と防御に有効である IPA が情報共有の中継点 ( ハブ ) となることにより 多数行われている攻撃間の相関が ある程度 把握できるようになってきた 2012 年度の情報共有の実績 項番項目件数 (5 つの SIG 39 組織での合算 ) 1 IPA への情報提供件数 246 件 2 参加組織への情報共有実施件数 160 件 1 1 同等の攻撃メールが複数情報提供された際に情報共有を 1 件に集約して配付したり 広く無差別にばら撒かれたウイルスメールと判断して情報共有対象としない場合等があるため 情報提供件数と情報共有実施件数には差が生じる 参考 標的型攻撃の防御に向けた産業界との情報共有の枠組み J-CSIP( ジェイシップ ) の活動レポートを公開 <2013/4/17>

17 1. はじめに 2. 標的型サイバー攻撃の概要と対策 2.1 情報共有イニシャティブJ-CSIP 2.2 標的型メール攻撃に向けた設計ガイド 3. 新たな脅威分野への対応 3.1 制御システムセキュリティへの対応 3.2 自動車の情報セキュリティへの対応 4. おわりに 17

18 標的型メール攻撃 設計ガイドの作成背景 ~ 攻撃仕様を紐解き 攻撃を無効にする対策を模索 ~ IPA 脅威と対策研究会 2010/12 発足 システム基本構成図 研究者セキュリティヘ ンタ ーシステム事業者 4 システム設計策として纏める システム設計策 1 ヒアリングの実施 2 ヒアリング結果を基に作成 攻撃シナリオ 遮断 2 断策遮断 7 監視 1 3 机上で模擬攻撃視監視 2 トレースの実施 御遮強化策防遮断 1 監視 7 監 被害事案を分析し 攻撃シナリオを作成 現実に近いシステム基本構成図を作成し 机上模擬攻撃トレースを実施し システム設計策を導出 18

19 標的型メール攻撃の仕組み ~ 攻撃者によるウイルスを使ったリモートハッキング ~ 標的型メール攻撃シナリオ 従来対策 メールとウイルス問題 1 計画立案 2 攻撃準備 3 初期潜入 4 基盤構築 本ガイドの対象範囲内部侵入拡大問題部分 ( 内部対策を必要とする範囲 ) 5 内部侵入 調査 6 目的遂行 7 再侵入 攻撃目標設定 関連調査 標的型メール C&C サーバ準備 J-CSIP 標的型メールの送付 バックドア開設 端末情報入手 構成情報入手 他端末侵入 サーバ侵入 管理者情報窃取 情報窃取 システム破壊 バックドアを通じ再侵入 社外インターネットエリア 社内ネットワーク 標的型メール攻撃は ウイルスを使ったリモートハッキングである システム内部潜入後の攻撃内容は 公にされない 民間等の攻撃事案の解析結果を分析し 攻撃シナリオを作成 19

20 システム設計策の考え方 1 防御 遮断策 2 監視強化策 攻撃回避を主眼とした設計策 攻撃シナリオをベースに対策 不正アクセス PW 窃取等を防止 早期発見を主眼とした設計策 攻撃者の足跡を発見 トラップを仕掛け ログ監視強化 攻撃者が歩く経路を少なくする事で 監視強化にも繋がる システムとセキュリティ機能が連携して 攻撃者の足跡を残す 20

21 御遮断策監視強化策システム設計策 (1) ~ コネクトバック通信の遮断と検知を強化する ~ 基盤構築段階におけるシステム設計策 分類 No. 対策タイトル概要対象機器防基盤構築段階における 対策目標は下記 2 点 1 リモートコントロール通信経路 ( コネクトバック通信 ) の検知 / 遮断 2 攻撃者による 内部探索 調査活動の検知 / 遮断 断 1 断 2 ネットワーク通信経路設計によるFWでのコネクトバック通信の遮断プロキシサーバのアクセス制御によるコネクトバック通信の遮断 ネットワーク通信経路設計により フ FWでコネクトバック通信を遮断するプロキシサーバにおけるアクセス制御によりコネクトバック通信を遮断する 断 3 プロキシサーバの認証機能によるコネクトバック通信の遮断 プロキシサーバの認証機能により不正な通信を遮断する 視 1 プロキシサーバの認証ログの監視と分析 プロキシサーバの認証ログを分析し コネ クトバック通信の兆候を監視する 視 2 プロキシサーバ経由通信強制遮断によるコネクトバック通信の発見 プロキシサーバ経由の通信を一度切断し 強制切断時に発生するログ等により C&Cサーバへ再接続を行うコネクトバック通信を調査 発見する 継続検討中 FW プロキシ プロキシ プロキシ プロキシ プロキシ 視 3 ブラウザ通信を模倣するhttp 通信検知機 プロキシ 能設計 視 4 内部未使用 IPによる特定サービス監視 継続検討中 ネットワーク 21

22 御遮断策監視強化策システム設計策 (2) ~ アカウント窃取防止と攻撃の検知を主眼とした対策 ~ 内部侵入 調査段階におけるシステム設計策内部侵入調査段階における 対策目標は下記 2 点 1 攻撃者による内部侵入の拡大防止 2 ユーザ端末におけるアカウント窃取防止 分類 No. 対策タイトル概要対象機器防断 4 管理端末とユーザ端末の分離 ユーザ端末と運用管理端末を分離し ユーザ端末から運用管理端末へアクセスできないようにネットワークを分離する ユーザ端末運用管理端末 断 5 ネットワークの分離設計とアクセス制御 断 6 権限の強いアカウントのキャッシュ禁止断 7 ユーザ端末間のファイル共有の禁止 適切なネットワークセグメントの分離設計とネットワークセグメント間のアクセス制御を実施する高い管理者権限を有するアカウント (Domain Admins 等 ) のキャッシュ禁止 端末間でのファイル共有や管理共有を禁止 ( 無効化 ) し ファイルサーバなど必要最低限の対象とだけファイル共有を許可するユーザ端末にトラップアカウントを仕込み 攻撃者のログイン攻撃を検知する ネットワーク機器 ユーザ端末 視 5 トラップアカウントによる認証ロ グの監視と分析 視 6 Listenポート開設の監視 継続検討中 サーバ 視 7 ハッキングコマンドの監視 継続検討中 サーバ ユーザ端末ネットワーク機器 端末認証サーバ (AD) 22

23 ネットワーク通信経路設計による FW でのコネクトバック通信の遮断 対策概要と効果 ブラウザのプロキシサーバ設定に則った正常通信はFWを通過させる 直接外部サーバへ接続を試みるマルウェアの通信はFWで遮断 攻撃の見える化にも繋がる FW の通信ログ ( 遮断ログ ) を定期的に監視することで コネクトバック通信の有無を確認が可能 23

24 運用管理端末とユーザ端末のネットワーク分離設計 対策概要と効果 基本的な対策だが 運用できていないケースが大半 ユーザ端末と運用管理端末とのネットワークを分離することで 運用管理端末の乗っ取りを防ぐ 運用管理端末を用意し 外部からマルウェアが侵入しないように メールやWeb 閲覧を行わない運用とする ADのような重要サーバに対しては 管理機能へのアクセスを特定の端末に制限することで 不正アクセスのリスクを低減 24

25 詳しくは 設計 運用ガイド を参照 新しいタイプの攻撃 の対策に向けた設計 運用ガイド 2011/8/1 第 1 版リリース 2011/11/30 第 2 版リリース 2013/8/29 第 3 版リリース 標的型メール攻撃 対策に向けたシステム設計ガイド < 内容 > 標的型メール攻撃の全容 システム設計対策セット 攻撃基盤構築段階対策(7セット) 内部侵入/ 調査段階対策 (7セット) 対策補足説明資料 25

26 1. はじめに 2. 標的型サイバー攻撃の概要と対策 2.1 情報共有イニシャティブJ-CSIP 2.2 標的型メール攻撃に向けた設計ガイド 3. 新たな脅威分野への対応 3.1 制御システムセキュリティへの対応 3.2 自動車の情報セキュリティへの対応 4. おわりに 26

27 < 従来の制御システム > 常時ネットワークにつながっていない 制御システムの仕様は事業者ごとに固有 内部仕様を熟知していなければ 有効な攻撃は不可能 一般的な PC が感染するウイルスや不正プログラムの影響を受けない 制御システムの生産性 保守性等の利便性向上と引き換えにサイバー脅威が現実化 < 最近の制御システム > 外部ネットワークと接続する傾向にある 制御システムの仕様がオープン化 ( 汎用製品及び標準プロトコル採用 ) Windows や Unix 系等 一般的な情報システム OS の利用が進んでいる 一般的な PC と同様 ウイルスや不正プログラムの影響を受けやすい 27

28 課題 1: オープン化 ネットワーク化に伴うセキュリティ脅威の増大 汎用製品 標準プロトコルネットワーク採用により 脆弱性リスク ワームなどのウイルスの侵入や 機密情報漏えいのおそれがある 課題 2: 製品の長期利用に伴うセキュリティ対策の困難さ 制御システムは通常 10~20 年使用 サポート期限を超えている セキュリティ対策の考慮は充分ではなく 新た脅威への対応も困難である 課題 3: 可用性 性能重視に伴うセキュリティ機能の絞込み 可用性 性能が重視されており システムの動作保証や負荷などの事情から ウイルス監視やセキュリティパッチの適用が難しい 制御システム 情報システム セキュリティ優先順位 A.I.C( 可用性重視 ) C.I.A( 機密性重視 ) セキュリティの対象サービス ( 連続稼動 ) モノ ( 設備 製品 ) 情報 資料 :IPA 重要インフラの制御システムセキュリティと IT サービス継続に関する調査 より抜粋 28

29 年ウイルス名ポイント概要 2003 Slammer ワーム 2003 W32/ Blaster ワーム 2005 Zotob ワーム 原子力発電所の制御システムへのワーム侵入 鉄道の信号管理システムのウイルス感染による運行停止 ウィルスによる自動車工場の操業停止 2010 Stuxnet システムの停止又は暴走 破壊 米国の原子力発電所で マイクロソフト SQL サーバを狙ったウィルスが VPN 接続を介して侵入 感染 制御システムを約 5 時間にわたって停止させた 他の電力施設を結ぶ通信トラフィックも混乱し 通信の遅延や遮断に追い込まれた 発電所のサーバはファイアウォールで外部ネットワークと遮断されていたが ファイアウォール内部のネットワークに接続した 発電所のコンサルタント会社の端末が感染源となった 米国東部の鉄道会社の信号管理システムがコンピュータウイルスに感染し 周辺の 3 路線で朝から昼にかけて通勤および貨物列車が停止 ダイヤ乱れが発生 ウイルスによって 信号や配車のシステムなどの重要システムをつなぐネットワーク部分が 断絶したことが原因と判明 米国大手輸送関連会社の米国にある複数の自動車工場において ウィルスが制御システム内に入り込み プラント中に広がり 操業停止となる事故が発生 Windows2000 システムにパッチをあてることで生産を再開したが 部品サプライヤへの感染も疑われ部品供給の懸念も生じ およそ 1,400 万ドルの損害をもたらした 石油や天然ガスなどのパイプラインやウラン濃縮施設などで使用されている制御システムソフトウェアが乗っ取られたり 制御データが搾取される可能性があったことが判明 USB 等の外部記録媒体を経由して オフィス PC にウイルス感染させ 遠隔監視ソフトウェアの脆弱性を悪用し PLC に悪質なコードを書き込み 制御システム上の装置に対して攻撃を実行した イランのウラン濃縮施設では 約 8,400 台の遠心分離機全てが停止しており これが本ウイルスによるものの疑いもある 経済産業省 サイバーセキュリティと経済研究会中間とリまとめ 及び IPA 報告書より一部抜粋 *)2012 : サウシ アラヒ ア国営石油会社 アラムコ で WS3 万台のテ ィスク破壊攻撃 29

30 米国 ICS-CERT:2009 年に設置以降 インシデント届出件数が飛躍的に増大 水道 エネルギー 原子力 化学 政府関連設備など 届出が多い ICS-CERT のインシデントレスポンス動向 (2009 年 ~2011 年 ) ICS:Industrial Control Systems 分野別インシデント報告割合 (2011 年 ) ICS-CERT ウェブサイト情報をもとに作成 2012 年のインシデント届出は 昨年同数の高い水準で 198 件となっている エネルギー関連の届出が 41%(82 件 ) と激増 ( 昨年 16%) している 30

31 2010 年以降 急激に登録件数が増加しており 2012 年は 2010 年の 8 倍 深刻度の高い脆弱性対策情報の割合が非常に高い (63% がレベル Ⅲ) 件数 レベル III( 危険 CVSS 基本値 =7.0~10.0) レベル II ( 警告 CVSS 基本値 =4.0~6.9) レベル I ( 注意 CVSS 基本値 =0.0~3.9) (89) (21) 64 (8) (10) (~2012/12/31) 図. 産業用制御システムに関するソフトウェアの脆弱性件数と深刻度割合の年別推移 出典 : 脆弱性対策情報データベース JVN ipedia の登録状況 [2012 年第 4 四半期 (10 月 ~12 月 )] (162) 31

32 < 制御システム情報セキュリティ委員会 > 標準化 WG 評価 認証制度 WG について 経済産業省 サイバーセキュリティと経済研究会 での言及により 発足 日本国内の ICS セキュリティの向上 ICS の海外輸出事業の促進 32

33 制御システムのセキュリティの標準 基準には 組織やシステムのレイヤに対応したもの 業種や業界に対応したものなど 様々な標準 基準が提案されている こうした中で 汎用的な標準 基準として IEC62443が注目されてきており 一部事業者の調達要件に挙がってきている 業界で評価認証が先行しているISCIやWIBの基準が IEC62443のシリーズに統合される動きとなっている (WIB: International Instrument User s Association) 標準化対象 汎用制御システム 石油 化学プラント 専用 ( 業種 ) システム 電力システム スマートグリッド 鉄道システム 組織 NERC CIP NIST IR7628 ISO/IEC システム IEC WIB 認 IEC61850 コンポーネント ISCI 認 IEEE1686 凡例 国際標準業界標準認 : 認証スキーム有 33

34 34

35 区分 対象者 IEC 原本名 標準化 普及活動 (IPA の活動 ) 評価認証 (-: 該当せず ) Terminology, concepts and models 翻訳 発刊ー 共通 全体 master glossary of terms and abbreviations ー System security compliance metrics ー セキュリティプログラム 技術 システム 部品 事業 運用者 構築事業者 SI er ベンダ Establishing an IACS security program Operating an IACS security program Patch management in the IACS environment Certification of IACS supplier security policies and practices ガイド公開 (2012/10) 翻訳 発刊 rev2 に対し 41 件寄書 CSMS 認証の推進 (JIPDEC で推進 ) Security technologies for IACS 翻訳 発刊ー Security assurance levels for zones and conduits System security requirements and security assurance levels product development requirements technical security requirements for IACS components 規格に対し 50 件の寄書 EDSA 規格の翻訳 公開 ISCI 認証の推進 (CSSC で推進 ) 国内 ICS セキュリティの向上 ICS の海外輸出事業の促進 35

36 制御システムのトータルなセキュリティ向上を目指して CSMS 認証を導入する 適合性評価制度のスキームに沿って CSMS 認証を実現する # ヒアリング項目ヒアリング結果 CSMS のメリット CSMS 構築の課題 CSMS 認証スキーム CSMS 認証の課題 制御システムの安全性が高まる セキュリティレベルの底上げ 維持 認証取得で 他社アピールができる ビジネス上の優位性が確保できる 経営者層の説得 教育 ( オペレータ 審査員 ) コスト ( 負荷が高い ) ISMS リスク分析手法との相違点が不明 既存マネジメント規格 (ISMS BCMS) との相違点が不明 ISMS 認証と同スキームで可 ISMS との差分要件認証が望ましい 柔軟性のある認証で始めるべき 分野 事業毎のカスタマイズが必要 複数認証の同時取得が必要 再認証の負荷を軽くすることが必要 4 社 ( 制御システムユーザ 3 社 制御システム SIer 1 社 ) ISMS 認証スキーム (CSMS もこれに準ずる ) 審査機関 出典 : 制御システム情報セキュリティ委員会 活動報告書 公開 36

37 EDSA 認証スキームへの日本参画構想 ~ 国内認定機関の実現構想について (ISCI への提案実施 )~ 認定機関 スキームオーナ EDSA 認証制度の運営元現状の制度指定指定 IPAが米国 ISCIへ提案した制度案将来の制度案 ANSI/ACLASS 相互承認協定 評価 / 認証機関 認定 認定 < 現状の評価認証機関 > 評価及び認証機関の候補は 現状は米国 ANSI より認定を受ける必要がある exida < 日本版評価認証機関 > 日本での評価認証機関の候補は 相互承認協定に基づき JAB より認定を受けることが可能となる 日本のケース 日本のベンダ CSSC:Cntrol System Security Center 37

38 1. はじめに 2. 標的型サイバー攻撃の概要と対策 2.1 情報共有イニシャティブJ-CSIP 2.2 標的型メール攻撃に向けた設計ガイド 3. 新たな脅威分野への対応 3.1 制御システムセキュリティへの対応 3.2 自動車の情報セキュリティへの対応 4. おわりに 38

39 組込み機器の今昔 ~ 繋がるモノ ~ クラウド これまでの組込みシステム スタンドアロンで動作 機械的な制御 Car2X 自動車 これからの組込みシステム インターネットを含めた様々なネットワークと接続して動作 そしてクラウドへ ソフトウェア制御 個人情報や操作情報のような機微な情報を含めた様々な情報 ( ビッグデータ ) を扱う 39

40 組込みシステムセキュリティへの IPA の取組み Since 2006 ~ 2009 年 3 月 3 日公開重要インフラの制御システムセキュリティと IT サービス継続に関する調査 2009 年 11 月 25 日公開上下水道分野用の SCADA セキュリティグッド プラクティス 2011 年 5 月 9 日公開 2010 年度制御システムの情報セキュリティ動向に関する調査 2012 年 10 月 10 日公開 IEC62443 規格の対訳版 ~ 日本規格協会より発行 ~ 2013 年 3 月 6 日公開 2012 年度制御システムの情報セキュリティ動向に関する調査 2010 年 9 月 7 日公開組込みシステムのセキュリティへの取組みガイド (2010 年度改訂版 ) 2011 年 2 月 1 日公開情報家電におけるセキュリティ対策検討報告書 2012 年 5 月 31 日公開 2011 年度自動車の情報セキュリティ動向に関する調査 2013 年 3 月 25 日公開自動車の情報セキュリティへの取組みガイド 2013 年 3 月 25 日公開 2012 年度自動車の情報セキュリティ動向に関する調査 組込みシステムのライフサイクル 企画 開発 運用廃棄 2010 年 11 月 25 日公開 TCP/IP に係る既知の脆弱性検証ツール V 年 11 月 30 日公開 SIP に係る既知の脆弱性検証ツール V 年 4 月 25 日から実施組込みシステムを含んだソフトウェアの脆弱性関連情報の受付 蓄積 公開 2013 年 3 月 18 日公開ファジング活用の手引き 40

41 自動車の現状および今後 新しいサービスの発達 カーシェアリング エコドライブ等の新しい自動車の利用形態 車載ソフトウェアの増加等の 自動車の仕組み変化 車載センサや外部情報を利用したサービスの増加 ネットワークへの接続 自動車とスマートフォンの連携 路車間 車車間通信等 新しいネットワークも利用される 汎用プロトコル等の利用 車内ネットワークへの TCP/IP 適用 汎用的な車載セキュリティチップの開発 車載システムに対する汎用 OS の利用 41

42 自動車の情報セキュリティに関連する事例 (1/2) CAN(Controller Area Network): 主要な車載 LAN 方式の一つ 2010 年ワシントン大学 Kohno 氏論文 Experimental Security Analysis of a Modern Automobile にて CAN 本体について ; (1)CAN 通信は同一バス上に同報する方式で 盗聴 解析が容易 (2) 認証フィールドとは発信元 ( ソースアドレス ) がなく なりすましが容易など CAN を利用した車載 LAN 上機器の処理の不足や標準的な処理の不備などについて ; (3) 走行中には無視しなければならないはずの CAN バス全体の通信停止メッセージが 実際には有効 (4) 走行中の ECU の書換えは禁止されているはずであるが 実際には書換えモードに入ることが可能 (5)OBD-II に接続した実験用の PC から上記のテレマティクス端末のソフトウェアを認証手順なしで書換え 現在は 攻撃を行うための機材とソフトウェアは市販製品では機能不足のため開発が必要で 攻撃の難易度は高い ECU 単体の解析 ( 左 ) 静止時の車台上での ECU 間解析と試験 ( 中 ) 走行中の動作試験 ( 右 ) 42

43 自動車の情報セキュリティに関連する事例 (2/2) CAN(Controller Area Network):OBD-II や直接接続による攻撃事例 2013 年 IOActive 社 Chris Valasek 氏が BlackHat で発表した Adventures in Automotive Networks and Control Units にて (1)OBD-II への接続や CAN バスへの直接接続を利用して攻撃 (2) リバースエンジニアリングを利用して通信の解析を行い インジェクションを利用して命令を注入 結果として ハンドル アクセルの操作や ブレーキの無効化が可能に (3) 今回の攻撃デモでは クルマの内装と PC をケーブルで直接接続して実施 遠隔操作では無い 自動車に対する攻撃の検討はこれから サービスの発展に従って攻撃も多様化 (4) 攻撃手法 攻撃用のコード等は報告書で公開 今回は直接接続が必要で難易度も高いが 攻撃手法は共有されやすい 一方で セキュリティ対策普及は難しい 43

44 IPA による自動車の脅威分析 (1/2) 自動車の脅威を考える為に 自動車の機能を整理する必要がある しかし 自動車メーカや車種等によって 機能の整理手法は様々 IPA では自動車の機能を整理した IPA カー をモデルとし 脅威を分析した 1. 基本制御機能 2. 拡張機能 3. 一般的機能 A. B. 駆動系 シャーシ系 F. G. ITS 機能 C. D. ボディ系 テレマティクス 安全快適機能 H. インフォテイメント E. 診断 保守 *1 Bluetooth 無線 LAN USB ポート SD スロット OBD-II I. 持ち込み機器 スマートフォン PND パソコンタブレットプレーヤメモリ /HDD ハンズフリーリモコン 診断機エコメータカスタムメータ *1 診断 保守 : 診断 保守は個々のECUなどに搭載されている場合がある 44

45 IPA による自動車の脅威分析 (2/2) 外部から 情報の入出力が出来るポートを持つ機能については PC と同様の脅威がある 一方で 制御系を外部から直接攻撃する手段に関しては 現状では見つからない ( 設定不良 蓄積情報漏えい 不正利用 不正設定 ウイルス感染 盗聴 ) A. B. 駆動系 シャーシ系 不正利用 不正設定 盗聴等 設定不良 ユーザ情報漏えい 盗聴 DoS 攻撃 F. G. ITS 機能 C. D. ボディ系 不正利用 蓄積情報漏えい 不正設定 ウイルス感染 盗聴 不正アクセス等 テレマティクス 安全快適機能 設定不良 蓄積情報漏えい DoS 攻撃等 ウイルス感染 蓄積情報漏えい 不正利用 不正設定 ウイルス感染 盗聴 不正アクセス等 H. インフォテイメント E. 診断 保守 設定不良 情報漏えい 不正アクセス等 Bluetooth 無線 LAN USB ポート SD スロット OBD-II 不正利用 不正設定 盗聴等 ウイルス感染 設定不良 操作ミス 不正利用 不正設定 ウイルス感染 盗聴 不正アクセス等 I. 持ち込み機器 スマートフォンパソコンタブレットプレーヤメモリ /HDD エコメータカスタムメータ 海外の研究発表の事例にもあるように 自動車制御に直接攻撃を仕掛けるのではなく 脆弱なシステムを踏み台にして 自動車制御に影響を与える危険性がある 45

46 対象機能脅策技術自動車の情報セキュリティへの取組みガイド ~ 車載システムにおける機能と脅威 対策のマッピング表 ~ 2013/3/25 公開 威対 自動車システムのモデル 自動車システムおいて想定される脅威 脅威に対するセキュリティ対策 機能 脅威対策技術マッピング 46

47 1. はじめに 2. 標的型サイバー攻撃の概要と対策 2.1 情報共有イニシャティブJ-CSIP 2.2 標的型メール攻撃に向けた設計ガイド 3. 新たな脅威分野への対応 3.1 制御システムセキュリティへの対応 3.2 自動車の情報セキュリティへの対応 4. おわりに 47

48 情報セキュリティ対策支援サイト isupport 中小企業のセキュリティ対策支援コンテンツ群 ページ 利用者 機能 支援サイト isupport 情報セキュ リティ対策 一般利用者向けページ セキュリティプレゼンター向けページ 主に中小企業を対象とした情報セキュリティ対策を 始めたい 強化したい 学びたい 人向け 情報セキュリティ対策の普及啓発活動を行うかた向け 5 分でできる自社診断 ポイント学習オンライン版 情報セキュリティ対策の実施状況や利用者の意識レベルに合わせた資料が集約されている IPA の情報セキュリティ教育ツールを集約 検索機能により 一般利用者がプレゼンターを探してくれる IPA が主催するイベント セミナー情報の提供 48

49 映像で知る情報セキュリティ IPA セキュリティ普及啓発映像ライブラリ ウイルスはあなたのビジネスもプライベートも狙っている! あなたの組織が狙われている!- 標的型攻撃その脅威と対策 - 大丈夫? あなたのスマートフォン 安心 安全のためのセキュリティ対策 - あなたのスマートフォン ウイルスが狙っている! ワンクリック請求のワナを知ろう! 巧妙化する手口とその対策 - 7 分で気づく身近にある情報漏えいの脅威 キミはどっち? - パソコン ケータイ スマートフォン正しい使い方 - ほんとにあったセキュリティの話 今制御システムも狙われている! - 情報セキュリティの必要性 - 東南アジアの情報セキュリティ - 現状と対策について - 49

50 標的型サイバー攻撃の特別相談窓口 標的型攻撃メールかな? と思ったら? 限られた対象にのみ行われる標的型サイバー攻撃に対し その手口や実態を把握するためには 攻撃を検知した方々からの情報提供が不可欠である ぜひ 相談や情報提供をお寄せいただきたい IPA へご相談ください! 限られた対象にのみ行われる標的型サイバー攻撃に対し その手口や実態を把握するためには 攻撃を検知した方々からの情報提供が不可欠です ぜひ ご相談や情報提供をお寄せ下さい 50

51 ご清聴ありがとうございました <PR> IT 技術力の向上 資格取得で セキュアなネット社会を!

52 IPA は 安心安全な情報システム 社会インフラの実現を目指します 52