IoT 時代のサイバーセキュリティ確保に向けて 情報セキュリティ大学院大学 内閣府 SIP プログラムディレクタ (PD) 後藤厚宏 1

Transcription

1 IoT 時代のサイバーセキュリティ確保に向けて 情報セキュリティ大学院大学 内閣府 SIP プログラムディレクタ (PD) 後藤厚宏 1

2 自己紹介 : 後藤厚宏 情報セキュリティ大学院大学研究科長 教授 内閣府 SIP プログラムディレクタ ( 重要インフラ等のサイバーセキュリティ確保 ) 1979 年東京大学工学部卒 1984 年同情報工学博士 ( 工博 ) 同年日本電信電話公社( 現 NTT) に入社 約 27 年間情報技術に関する研究開発に従事 2007 年情報流通プラットフォーム研究所所長 2010 年サイバースペース研究所所長を歴任 2011 年に情報セキュリティ大学院大学教授に転身し人材育成にも尽力 2015 年より内閣府 SIP 重要インフラ等のサイバーセキュリティ確保 プログラムディレクタ 2

3 情報セキュリティ大学院大学 情報セキュリティ専門の独立大学院として 2004 年開学 2016 年 9 月までに 修士 300 名 博士 30 名の修了生日本の中核的業務を担う 学長田中英彦 情報セキュリティ専門の大学院大学 : 修士 ( 情報学 ) ( 情報学 ) 技術 管理 法制 セキュリティ総合教育のカリキュラム 博士 将来の CIO/CISO を育成する実務指向教育と深い専門研究成果の蓄積 横浜市神奈川区鶴屋町 ( 横浜駅きた西口徒歩 1 分 ) 3

4 情報セキュリティ大学院大学におけるセキュリティ人材育成の取組み 3 産業界との協業 1 大学院の取組 3 共同研究等 3 業務専門家の + セキュリティ教育 高度専門人材 セキュリティエキスパート セキュリティ実践力のある技術者 経営者 1 大学院博士等 1 大学院修士 2 底上げ と若手育成 2 MOOC 等の入門講座 一般市民 一般社会人 4

5 アジェンダ 自己紹介 攻撃手口の分析 東京 2020 大会 IoT 時代を見据えて まとめ 5

6 攻撃手口の分析 6

7 攻撃の手口 ( 標的型攻撃 APT) OA 環境への攻撃型 攻撃者 内部事情を踏まえた巧妙な偽装メール インターネット ファイアウォール IDS IPS 等 メールサーバ 新種のマルウエアは アンチウイルスで検知できない 偽装メールの URL をクリックするとマルウエアをダウンロードしてしまう 一般社員の PC 一般ユーザ PC 一般ユーザ PC ファイルサーバ等 データ 標的となる機密情報 管理者の PC 基幹システム等 データ データを暗号化して丸ごと盗み出し 攻撃者による繰り返し攻撃 ( 長期間 密かに ) 組織内の別 PC に感染 PC にバックドア ( 裏口 ) 遠隔操作 (C&C) 標的となる機密情報 7

8 標的型攻撃のサイバーキルチェーン 偵察 社内事情調査 武器化 配送 エクスプロイト マルウェアなどの準備 メール配信 Web の仕掛け マルウェア感染 ( メール開封 Web アクセス ) 防御活動 監視 送信アドレスの受信拒否設定 ( メールサーバ ) 組織内 外への注意喚起 インストール 管理者 PC にバックドア ( 裏口 ) システムのスキャンによる検知 遠隔操作 目的達成 遠隔操作 (C&C) 通信 ファイルサーバアクセス データ ( 顧客情報等 ) の盗み出し 監視 URL ブロック NW 遮断 ( システムスキャン フォレンジックによる検知 ) 8

9 攻撃の手口 ( 標的型攻撃 : 年金機構の場合 ) OA 環境への攻撃型 攻撃者 インターネット 年金機構 厚労省 NISC から詳細な報告書 ファイアウォール IDS IPS 等 メールサーバ 一般社員の PC 一般ユーザ PC 一般ユーザ PC ファイルサーバ等 データ 情報のコピー 管理者の PC 基幹システム等 約 100 万件の年金情報 データ 年金情報 内閣サイバーセキュリティセンター NISC National center of Incident readiness and Strategy for Cybersecurity 9

10 標的型攻撃 : 年金機構での攻防 偵察 武器化 社内事情調査 マルウェアなどの準備 厚労省年金局 年金機構 4/22 5/8 5/18 5/19 5/20 配送 エクスプロイト メール配信 Web の仕掛け マルウェア感染 ( メール開封 Web アクセス ) メール開封 メール開封 メール開封 受信拒否 メール開封 インストール 遠隔操作 目的達成 管理者 PC にバックドア ( 裏口 ) 遠隔操作 (C&C) 通信 ファイルサーバアクセス データ ( 顧客情報等 ) の盗み出し 遮断 5/8 注意喚起 5/20 5/22 遮断遮断遮断 個人メールアドレスの漏えい 10

11 東京 2020 大会 IOT 時代を見据えて 11

12 IoT 時代のセキュリティ課題への取組み Safety & Security by Design セキュリティの作り込み IoT は Systems-of-Systems 不完全であるという認識 現場でのすり合わせ 運用対処が必須 長期的な 代謝 プロセス サプライチェーンのリスクへの対応 重要インフラ設備は 長 ライフサイクル 人材育成 12

13 サイバー攻撃のターゲットは重要インフラへ 重要インフラ 攻撃者情報通信金融航空 鉄道 電力 ガス 医療 水道 政府 行政サービス サイバー攻撃 物流石油クレジット 化学 内閣サイバーセキュリティセンター (NISC) が 13 分野を指定 13

14 サイバー攻撃のターゲットは重要インフラへ 事例 1 ウクライナ西部でサイバー攻撃による大規模停電 サイバー攻撃によって大規模な停電に至った初めての事例 ウクライナの西部の都市イヴァーノ = フランキーウシクで 140 万世帯の停電 復旧までに約 6 時間を要する (2015 年 12 月 ) 標的型メールによる攻撃が原因とされるウクライナのニュース番組で報道 (12 月 24 日 ) 事例 2 欧州鉄道保護システムに脆弱性(2016 年 1 月発表 ) 列車の競合進路を防止する鉄道保護システムの脆弱性を突いた攻撃により衝突事故等の重大な事故が引き起こされる可能性指摘 出展 :Security Affairs 事例 3 イラン核施設 原子力発電所へのサイバー攻撃(2010 年 ) Windowsの未知の脆弱性を利用 USBデバイスを経由した多段階の感染により外部と遮断されたシステムでウラン濃縮用遠心分離機を破壊 (Stuxnet) 出展 :Kasperski 14

15 IoT 機器が重要インフラへサイバー攻撃 事例 4 サイバー攻撃による DNS 停止 (2016 年 10 月 ) 約 6 時間にわたりサービスが不安定に PayPal, Twitter, Amazon, Netflix なども影響を受けた 15

16 IoT 機器が重要インフラへサイバー攻撃 脆弱性のある IoT 機器が大規模 DDoS 攻撃の踏み台 電力会社 HEMS ネットワーク AV 家電ネットワーク 医療 ヘルスケアネットワーク 何がつながっているか分からない = 脆弱性な生活機器が攻撃の入口に EV/HV 蓄電池 コジェネ スマートメータ 自動運転 HEMS 端末 車車間通信 太陽光発電 省エネ制御家電 照明 ITS 路側機 ITS& 自動車安全機能の連携 車載 ECU 4K 8K コンテンツ ネットワーク家電 ホームサーバ IoT システム ゲートウェイ 後付車載器 テレマティクス端末 データレコーダ等 持込機器 その他自動車サービス ロボット介護 医療 ヘルスケア機器 医療 ヘルスケアサーバ ウェラブル機器 サービス提供サーバ ( クラウド ) 出典 : 一般社団法人重要生活機器連携セキュリティ協議会提言 分野ネットワーク間の連携ができていない = 他分野の生活機器の思わぬ動作が影響 いたる所で生活機器とモバイルデバイスが接続 = モバイルデバイスが脅威の運び役に 多くの生活機器がサーバと通信 = プライベートに係る情報の漏えい 改ざんの危険性 生活機器を遠隔から監視 操作するサービスが増加 = 遠隔サーバの乗っ取りによる生活機器への攻撃も 16

17 IoT 機器が重要インフラへサイバー攻撃 IoT のセキュリティ課題は 大量 & 管理者不在 大量 : 製造者は利用者を把握しきれない ( 散在 ) 管理者不在 : 所有者は機器の管理やネット接続に無関心 自分の機器が DDoS 攻撃の踏み台になっていても気が付かない 事後対応は多大なコスト ( 大きな社会的負担 ) 野良 IoT 17

18 重要インフラとサイバーセキュリティ 重要インフラ等 (ex 公共設備 上下水道 交通他 ) IoT システム サイバー攻撃 公開サーバへサイバー攻撃 制御ネットワーク ( 内部犯行, 侵入者 ) サイバー攻撃 外部ネットワーク ( インターネット等 ) ( 遠隔保守時 ) 通常は接続無し! インフラ事業者 官公庁の業務用ネットワーク 事業者オフィス 重要インフラの制御 監視 OA 環境へのサイバー攻撃 18

19 攻撃の手口 (Stuxnet イラン核施設への攻撃 2010 年頃 ) クローズド NW への攻撃型 業務用ネットワーク A Web GW 産業システム攻撃専用のマルウエアが PC に感染 PC 制御用ネットワーク B 制御機器 (PLC) 産業システムを攻撃 産業機械 ( 例遠心分離機 ) 攻撃者 インターネット ネットワーク A 感染が拡大 潜伏 PC 制御機器 (PLC) に感染 PC ( 制御機器の保守用 ) ネットワーク B 誤動作 USB メモリに感染 (or 保守端末等 ) ネットワーク B の PC に感染 19

20 Stuxnet のサイバーキルチェーン 偵察 社内事情調査 名刺交換 武器化 マルウェアなどの準備 配送 メール配信 Web の仕掛け 配送 保守者が USB 持ち込み エクスプロイト 保守者 PC にマルウェア感染 エクスプロイト 制御 PC マルウェア感染 インストール 保守者 USB に感染 インストール PLC 感染 遠隔操作 制御情報改ざん 大変だ! 目的達成 産業機械が誤動作 20

21 重要インフラとサプライチェーンリスク ( 不正機能が組み込まれるリスク ) 重要インフラ等 (ex 公共設備 上下水道 交通他 ) 機器ベンダー サプライヤー IoT システム 保守端末 不正プログラム混入 制御機器 ソフトウェアの製造ライン (OT) OA 環境 (IT) 不正機能の組込み 制御ネットワーク (OT) マルウェアの侵入不正なファームウェア更新 OA 環境 (IT) 標的型攻撃 外部ネットワーク ( インターネット等 ) 標的型攻撃 21

22 サイバーキルチェーン ( 調達時のリスク ) 機器ベンダー サプライヤー 偵察 社内事情 ( サプライチェーン ) 調査 偵察 社内事情調査 武器化 マルウェアなどの準備 配送 製品の調達 配送 メール配信 Web の仕掛け エクスプロイト 制御 PC マルウェア感染 エクスプロイト 製造ラインの PC にマルウェア感染 インストール PLC 感染 インストール 製品 ( 機器 ソフト ) に感染 遠隔操作 制御情報改ざん 大変だ! 目的達成 産業機械が誤動作 22

23 重要インフラとサプライチェーンリスク ( 業務情報が悪用されるリスク ) 標的型攻撃のリスクは個人情報漏えいだけではない! 重要インフラ等 (ex 公共設備 上下水道 交通他 ) 機器ベンダー サプライヤー IoT システム 保守端末 制御機器 ソフトウェアの製造ライン (OT) 不正機能の埋込み 内部犯行, 侵入者 制御ネットワーク (OT) OA 環境 (IT) 業務情報漏えい ( 図面 マニュアル ) 標的型攻撃 外部ネットワーク ( インターネット等 ) 業務情報漏えい ( 図面 マニュアル ) OA 環境 (IT) 標的型攻撃 23

24 サイバーキルチェーン ( 偵察 のリスク ) 偵察 社内事情調査 偵察 制御システム情報の調査 武器化 マルウェアなどの準備 武器化 マルウェアなどの準備 配送 メール配信 Web の仕掛け 配送 調達機器への埋め込み 内部犯行 エクスプロイト マルウェア感染 エクスプロイト マルウェア感染 インストール バックドア ( 裏口 ) 準備 インストール バックドア ( 裏口 ) 準備 遠隔操作 目的達成 ファイルサーバアクセス データ ( システム情報 保守情報等 ) の盗み出し 個人情報でなくて良かった 遠隔操作 目的達成 制御システムへのアクセス インフラへの妨害 大変だ! 24

25 重要インフラとサプライチェーンリスク 重要インフラ等 (ex 公共設備 上下水道 交通他 ) 機器ベンダー サプライヤー IoT システム 保守端末 不正プログラム混入 制御機器 ソフトウェアの製造ライン (OT) OA 環境 (IT) 業務情報漏えい ( 図面 マニュアル ) 不正機能の組込み 不正機能の埋込み 内部犯行, 侵入者 制御ネットワーク (OT) 業務情報漏えい ( 図面 マニュアル ) OA 環境 (IT) 野良 IoT 機器 DDoS 攻撃マルウェア侵入 マルウェアの侵入不正なファームウェア更新 脆弱な保守端末 不正なオペレーション 標的型攻撃 標的型攻撃 25

26 まとめ 26

27 色々な前提のもとでのセキュリティ確保? 外部 NW と接続無し or 制限 調達システムは健全 セキュリ ティ確保 設備は 非公開 社内マネジメントは健全 外部委託は健全 27

28 重要インフラ等におけるサイバーセキュリティの確保 (2016 年 10 月 06 日現在 ) 目的国民生活の根幹を支える重要インフラ等をサイバー攻撃から守るため 制御 通信機器の真贋判定技術 ( 機器やソフトウェアの真正性 完全性を確認する技術 ) を含めた動作監視 解析技術と防御技術を研究開発し 重要インフラ産業の国際競争力強化と2020 年東京オリンピック パラリンピック競技大会の安定的運営に貢献 対象機関大学 企業 国立研究開発法人等管理法人 :NEDO 実施期間 2015 年度から5 年間 ( 予定 ) 予算規模 2015 年度 :5 億円 2016 年度 :25.5 億円 ( 総合科学技術 イノベーション会議が研究開発の進捗や有効性等について毎年度評価を行い 配分額を決定する ) プログラムディレクター (PD) 後藤厚宏情報セキュリティ大学院大学研究科長 教授 SIP 研究開発テーマ (a) コア技術 (b) 社会実装技術 社会実装 ( 重要インフラ ) 大学 企業 国立研究開発法人等 研究者 研究者 制御 通信機器 IoT 向けの真贋判定技術 システムの動作監視 解析 防御技術 適合性確認のあり方 情報共有プラットフォーム技術 セキュリティ人材の育成 オリンピックの安心 安全に貢献