IPAが取組むサイバー攻撃対策 2013年12月13日 独立行政法人 情報処理推進機構

IPAが取組むサイバー攻撃対策  2013年12月13日 独立行政法人 情報処理推進機構
IPAが取組むサイバー攻撃対策
~ 標的型サイバー攻撃への対応と
新たな脅威分野への取組みについて~
2013年12月13日
独立行政法人 情報処理推進機構
技術本部 セキュリティセンター
情報セキュリティ技術ラボラトリー長 金野 千里
Copyright © 2013 独立行政法人情報処理推進機構
1
目次
1.はじめに
2.標的型サイバー攻撃の概要と対策
2.1 情報共有イニシャティブJ-CSIP
2.2 標的型メール攻撃に向けた設計ガイド
3.新たな脅威分野への対応
3.1 制御システムセキュリティへの対応
3.2 自動車の情報セキュリティへの対応
4.おわりに
Copyright © 2013 独立行政法人情報処理推進機構
2
サイバー攻撃の変遷
~ 攻撃手法の巧妙化だけでなく攻撃者像も変化 ~
 攻撃者の狙い
いたずら目的
顕示欲の誇示
金銭目的(犯罪)
サービス妨害(嫌がらせ)
スパイ・諜報活動
機密情報の窃取
グループ
犯罪者
国家?・Hacktivist・
犯罪プロ集団
Botnet
Spamメール
標的型・シーケンシャ
ルマルウェア
 攻撃者像
攻撃者1人
セキュリティ技術者
 攻撃手法
不正侵入
※ソーシャルエンジニアリングによる、ウェブ、メール、USB等経由の攻撃へ
 ビジネスインパクト
 個人情報流出 ⇒ 企業の社会的責任
 知的財産情報の窃取 ⇒ 企業の競争力低下、国家の危機管理問題へ
 制御機器やシステム停止 ⇒ 企業の競争力低下、サプライチェーンの崩
壊、社会インフラの混乱、国家の危機管理問題へ
Copyright © 2013 独立行政法人情報処理推進機構
3
サイバー攻撃の報道事例
 サイバー攻撃の報道事例
時期
報道
2011/4-5
ソニーにサイバー攻撃、個人情報流出1億件超 (朝日新聞等)
2011/9
三菱重にサイバー攻撃、80台感染…防衛関連も (読売新聞等)
2011/10
衆院にサイバー攻撃 議員のパスワード盗まれる (朝日新聞等)
2011/11
サイバー攻撃:参院会館のPC、ウイルス感染は数十台に (毎日新聞等)
2012/1
JAXA:職員のパソコン感染、無人補給機情報など流出か (毎日新聞等)
2012/2
農水省に標的型メール攻撃、情報流出狙う? (読売新聞等)
2012/2
特許庁、トロイの木馬型感染…メール情報流出か (読売新聞等)
2012/6
パソコン5台、ウイルス感染か=外部サイトと通信-原子力安全基盤機構(時事通信)
2012/7
財務省PC数か月情報流出か…トロイの木馬型 (読売新聞等)
2012/11
JAXA、ロケット設計情報流出か PCがウイルス感染 (朝日新聞等)
2012/12
三菱重工もウイルス感染 宇宙関連の情報流出か(産経新聞)
2012/12
原子力機構PCウイルス感染…告発情報漏えい?(読売新聞)
2013/1
農水機密、サイバー攻撃…TPP情報など流出か(読売新聞)
2013/3
韓国の1万6000台のATM停止、銀行業務PC停止、複数の放送局システム障害
2013/8
「やり取り型」サイバー攻撃メールの急増
Copyright © 2013 独立行政法人情報処理推進機構
4
セキュリティパッチが出ていない脆弱性を悪用した攻撃事例(2013.11.20注意喚起)
Copyright © 2013 独立行政法人情報処理推進機構
5
サイバーセキュリティ対策強化に対する取り組み
サイバーセキュリティと経済研究会
(経済産業省)
2010/12~
<概要>
サイバー攻撃により、知的財産やライフラ
インを狙った事案や企業等の機密漏え
いが多発している状況 から、ITの安全
確保によって守るべき対象が経済活動
や国民生活に直接関わる分野へ質的に
変化して いることを鑑み、経済の成長・
安全保障の観点から、必要な情報
セキュリティ政策を検討。
◇主な検討項目
・標的型サイバー攻撃への対応
・制御システムの安全性確保
・情報セキュリティ人材の育成
2.1 情報共有イニシャティブ
J-CSIP
2.2 標的型メール攻撃に向けた
設計ガイド
3.1 制御システムセキュリティ
への対応
Copyright © 2013 独立行政法人情報処理推進機構
6
1.はじめに
2.標的型サイバー攻撃の概要と対策
2.1 情報共有イニシャティブJ-CSIP
2.2 標的型メール攻撃に向けた設計ガイド
3.新たな脅威分野への対応
3.1 制御システムセキュリティへの対応
3.2 自動車の情報セキュリティへの対応
4.おわりに
Copyright © 2013 独立行政法人情報処理推進機構
7
「標的型攻撃」の流れと防御
0
[事前調査]
1
[初期潜入段階]
攻撃の流れを
多層防御で検知、
抑止する
4.管理統制
2
[攻撃基盤構築段階]
2. 内部
事前調査
J-CSIP
3
2
設計ガイド
[システム調査段階]
○○○○
○○○○○○○○
1
3
■■■■■■■■■■■■■■
■■■■■■■■■■■■■■
■■■■■■
■■■■■■■■■■■■■■
■■■■■■■■■■■■■■
■■■■■■
4
[攻撃最終目的の遂行段階]
1.入口
上流
Copyright © 2013 独立行政法人情報処理推進機構
4
3.情報保護
8
2012年4月運用開始
http://www.ipa.go.jp/security/J-CSIP/
• Initiative for Cyber Security Information
sharing Partnership of Japan
• サイバー情報共有イニシアティブ
20
– 官民連携による、サイバー攻撃に関する情報
共有の取り組み
– IPAを情報ハブ(集約点)として、参加組織間で
情報共有を行い、高度なサイバー攻撃対策に
繋げていく
【参考】 ・標的型攻撃の防御に向けた産業界との情報共有の枠組み、J-CSIP(ジェイシップ)の活動レポートを公開
http://www.ipa.go.jp/about/press/20130417.html
Copyright ©
© 2013
2013 独立行政法人情報処理推進機構
独立行政法人情報処理推進機構
Copyright
9
J-CSIP 発足の背景 ~ 情報共有体制の確立
2010年
12月~
• 経済産業省 「サイバーセキュリティと経済 研究会」 開催
2011年
8月
• 「研究会」 中間とりまとめ
2011年
9~10月
• 国内のサイバー攻撃に関する複数事案の報道
2011年
10月25日
• 官民連携による情報共有体制 J-CSIP 発足
~2012年
3月末
• 参加組織等の実務者にて協議を重ね、NDA策定、情報
共有ルール整備
2012年
4月
• 重要インフラ機器製造業者SIG においてNDA締結、運用
開始
2012年
7~10月
• 電力、ガス、化学、石油業界へ拡大
• 業界間(SIG間)での情報共有開始
2013年
8月現在
• 5業界、45参加組織にて運用中
(4月時点: 39参加組織)
Copyright © 2013 独立行政法人情報処理推進機構
10
情報共有のスキーム
• IPAが情報の集約点となり、参加組織とのNDA
(秘密保持契約)に基づき、情報共有を実施
NDAに基づく情報共有スキーム
脅威の検知
不審メール等
情報提供
企業
【情報ハブ】
(
同業界のグループ)
SIG※
情報共有
企業
企業
・情報収集、分析
・ウイルスの解析
・情報の匿名化
・参加組織への
情報提供
(情報共有)
対策情報
一般企業、個人
企業
※ SIG: Special
Interest Group
共有された情報から判明
した情報のフィードバック
Copyright © 2013 独立行政法人情報処理推進機構
11
サイバー情報共有イニシアティブ(J-CSIP)
<活動の目的と背景>
一昨年の経済産業省「サイバーセキュリティと経済研究会」の提言及び大手企業及び政府機関への標的型攻撃事案を受け
早急に標的型サイバー攻撃を含む情報セキュリティ政策としての情報共有の枠組みを構築する必要から、経済産業省主管の
下、重工、重電等、重要インフラで利用される機器の製造業者(9社)を中心とした情報共有、早期対応の場としてJ-CSIPを発
足(平成23年10月25日)。
<現状:SIG拡大とSIG間共有を実施>
●重工各社との間で秘密保持契約(NDA)及び運用ルールを策定、攻撃情報の共有を開始(平成24年4月)。
●重工以外の重要業界毎においても情報共有体制の確立を推進することとして、電力、化学、ガス、石油業界等の代表企業
と秘密保持契約を締結(~平成24年10月)。5つの業界SIG、45組織での情報共有を実現。
●単一の業界内に留まらず、業界間が連携した情報共有・連携を開始(平成24年10月~)。
情報ハブ
[IPA]
緊急対策情報、
技術レポートなど
【一般の企業、業界団体等】
標的型
攻撃情報
サイバー攻撃
解析協議会
SIG間連携(情報ハブを基点としたSIG間情報共有)
NISC
セプターカウンシル
事務局
(NISC重要インフラ)
連携
C4TAP
J-CSIP: Initiative for Cyber Security Information sharing Partnership of Japan
2
SIG: Special Interest Group(業界ごとの情報共有グループ゚)
Copyright © 2013 独立行政法人情報処理推進機構
・・・
水道
1
金融
重工SIG
石油SIG
電力SIG
化学SIG
ガスSIG
重要インフラ
石油事業者
電力事業者
化学事業者
ガス事業者
機器製造業者
(24年7月運用開始) (24年9月運用開始) (24年10月運用開始) (24年10月運用開始)
(24年4月運用開始)
解析機関
IPAなど
10分野
12
第一段階:不審メール情報の情報共有
組織A
組織B
組織C
① 不審メール検知
② 情報提供
メールY
メールX
メールX
メールX
メールZ
③ メールを分析し、
対策等を含む情報
を作成
④ 情報共有実施
Copyright © 2013 独立行政法人情報処理推進機構
13
第二段階:各組織での同種のメールの発見
組織A
組織B
組織C
最初に見つかった
攻撃メール
メールY
メールY
メールX
⑥ 同時期に着
信していた同種
のメールを発見
メールZ
⑦ 報告
⑤ 共有された情報を基にログ等を検索
Copyright © 2013 独立行政法人情報処理推進機構
14
第三段階:情報の集約分析と更なる情報共有
組織A
組織B
組織C
⑧ 発見された
同種のメールの
情報提供
メールY
メールZ
⑨ 情報を集約し…
メールX, Y, Z...
メールの関連性や事象
の整理を行い、更に
その情報を共有
⑩ 各参加組織にて、今後の対策の検討に活用
Copyright © 2013 独立行政法人情報処理推進機構
15
総括 / 考察
共有情報
の活用
① 類似攻撃の早期検知(メール着弾検索)
② 攻撃侵攻の早期発見(外部アクセスログ・中間生成ファイル検索)
③ 将来攻撃のブロック(攻撃利用IPアドレスのブラックリスト設定)
活動の効果
・従来、他事業者への攻撃は全く把握できていなかったが、業界を狙った同一
もしくは類似の攻撃が実際に行われていることが把握でき、共同で検知・防御
できるようになった。
・NDA下で、近い業種 /迅速な解析により密度の濃い有効な情報の共有となって
おり、検知と防御に有効である。
・IPAが情報共有の中継点(ハブ)となることにより、多数行われている攻撃間の
相関が、ある程度、把握できるようになってきた。
2012年度の情報共有の実績
項番
項目
1
IPAへの情報提供件数
2
参加組織への情報共有実施件数
件数(5つのSIG、39組織での合算)
246件
160件 ※1
※1 同等の攻撃メールが複数情報提供された際に情報共有を1件に集約して配付したり、広く無差別にばら撒かれた
ウイルスメールと判断して情報共有対象としない場合等があるため、情報提供件数と情報共有実施件数には差が生じる。
【参考】
・標的型攻撃の防御に向けた産業界との情報共有の枠組み、J-CSIP(ジェイシップ)の活動レポートを公開 <2013/4/17>
http://www.ipa.go.jp/about/press/20130417.html
Copyright © 2013 独立行政法人情報処理推進機構
16
16
1.はじめに
2.標的型サイバー攻撃の概要と対策
2.1 情報共有イニシャティブJ-CSIP
2.2 標的型メール攻撃に向けた設計ガイド
3.新たな脅威分野への対応
3.1 制御システムセキュリティへの対応
3.2 自動車の情報セキュリティへの対応
4.おわりに
Copyright © 2013 独立行政法人情報処理推進機構
17
「標的型メール攻撃」設計ガイドの作成背景
~攻撃仕様を紐解き、攻撃を無効にする対策を模索~
IPA 「脅威と対策研究会」 2010/12発足
システム基本構成図
研究者
セキュリティベンダー ④システム設計策として纏める
システム設計策
システム事業者
・・・
③机上で模擬攻撃
トレースの実施
監視強化策
①ヒアリング
の実施
攻撃シナリオ
遮断⑦
監視①
監視②
・・
防御遮断策
②ヒアリング結果を
基に作成
遮断①
遮断②
監視⑦
 被害事案を分析し、攻撃シナリオを作成
 現実に近いシステム基本構成図を作成し、机上模擬攻撃トレー
スを実施し、システム設計策を導出
Copyright © 2013 独立行政法人情報処理推進機構
18
標的型メール攻撃の仕組み
~攻撃者によるウイルスを使ったリモートハッキング~
 標的型メール 攻撃シナリオ
従来対策
本ガイドの対象範囲
内部侵入拡大問題部分
(内部対策を必要とする範囲)
メールと
ウイルス問題
①計画立案
②攻撃準備
③初期潜入
J-CSIP
• 攻撃目標設定
• 関連調査
• 標的型メール
• C&Cサーバ準備
社外インターネットエリア
・標的型メール
の送付
④基盤構築
⑤内部侵入
・調査
⑥目的遂行
・バックドア開設
・端末情報入手
・構成情報入手
・他端末侵入
・サーバ侵入
・管理者情報窃取
・情報窃取
・システム破壊
⑦再侵入
・バックドアを通じ
再侵入
社内ネットワーク
 標的型メール攻撃は、ウイルスを使ったリモートハッキングである
 システム内部潜入後の攻撃内容は、公にされない
 民間等の攻撃事案の解析結果を分析し、攻撃シナリオを作成
Copyright © 2013 独立行政法人情報処理推進機構
19
システム設計策の考え方
②監視強化策
①防御・遮断策
 攻撃回避を主眼とした設計策  早期発見を主眼とした設計策
 攻撃シナリオをベースに対策
 攻撃者の足跡を発見
 不正アクセス・PW窃取等を防止  トラップを仕掛け、ログ監視強化
攻撃者が歩く経路を少なくする
事で、監視強化にも繋がる
システムとセキュリティ機能が連
携して、攻撃者の足跡を残す
Copyright © 2013 独立行政法人情報処理推進機構
20
システム設計策 (1)
~コネクトバック通信の遮断と検知を強化する~
 基盤構築段階におけるシステム設計策
基盤構築段階における、対策目標は下記2点。
① リモートコントロール通信経路(コネクトバック通信)の検知/遮断
② 攻撃者による、内部探索・調査活動の検知/遮断
分類
防御遮断策
No.
対策タイトル
概要
断①
ネットワーク通信経路設計によるFWでのコ
ネクトバック通信の遮断
プロキシサーバのアクセス制御によるコネ
クトバック通信の遮断
ネットワーク通信経路設計により、フ
FWでコネクトバック通信を遮断する
プロキシサーバにおけるアクセス制御によ
りコネクトバック通信を遮断する
断②
断③
視①
監視強化策
視②
視③
視④
プロキシサーバの認証機能によるコネクト プロキシサーバの認証機能により不正な
通信を遮断する
バック通信の遮断
プロキシサーバの認証ログの監視と分析
プロキシサーバの認証ログを分析し、コネ
クトバック通信の兆候を監視する
対象機器
FW
プロキシ
プロキシ
プロキシ
プロキシ
プロキシサーバ経由通信強制遮断によ プロキシサーバ経由の通信を一度切断し、 プロキシ
るコネクトバック通信の発見
強 制切 断時に発 生す る ロ グ等に より、
C&Cサーバへ再接続を行うコネクトバック
通信を調査・発見する
ブラウザ通信を模倣するhttp通信検知機
【継続検討中】
プロキシ
能設計
内部未使用IPによる特定サービス監視 【継続検討中】
ネットワーク
Copyright © 2013 独立行政法人情報処理推進機構
21
システム設計策 (2)
~アカウント窃取防止と攻撃の検知を主眼とした対策~
 内部侵入・調査段階におけるシステム設計策
内部侵入調査段階における、対策目標は下記2点。
① 攻撃者による内部侵入の拡大防止
② ユーザ端末におけるアカウント窃取防止
分類
No.
対策タイトル
概要
断④ 管理端末とユーザ端末の分離
対象機器
ユーザ端末と運用管理端末を分離し、ユーザ ユーザ端末
端末から運用管理端末へアクセスできない 運用管理端末
ようにネットワークを分離する
防御遮断策
断⑤ ネットワークの分離設計とアクセ 適切なネットワークセグメントの分離設計と ネットワーク機器
ス制御
ネットワークセグメント間のアクセス制御を実
施する
断⑥ 権限の強いアカウントのキャッ 高い管理者権限を有するアカウント(Domain ユーザ端末
Admins等)のキャッシュ禁止
シュ禁止
断⑦ ユーザ端末間のファイル共有の
禁止
端末間でのファイル共有や管理共有を禁止 ユーザ端末
(無効化)し、ファイルサーバなど必要最低限 ネットワーク機器
の対象とだけファイル共有を許可する
監視強化
策
視⑤ トラップアカウントによる認証ロ ユーザ端末にトラップアカウントを仕込み、攻 端末
撃者のログイン攻撃を検知する
グの監視と分析
認証サーバ(AD)
視⑥ Listenポート開設の監視
【継続検討中】
サーバ
視⑦ ハッキングコマンドの監視
【継続検討中】
Copyright © 2013 独立行政法人情報処理推進機構
サーバ
22
ネットワーク通信経路設計によるFWでのコネ
クトバック通信の遮断
 対策概要と効果
 ブラウザのプロキシサーバ設定に則った正常通信はFWを通過させる
 直接外部サーバへ接続を試みるマルウェアの通信はFWで遮断
攻撃の見える化にも繋がる
FWの通信ログ(遮断ログ)を定期的に監視すること
で、コネクトバック通信の有無を確認が可能
Copyright © 2013 独立行政法人情報処理推進機構
23
運用管理端末とユーザ端末の
ネットワーク分離設計
 対策概要と効果
基本的な対
策だが、運
用できてい
ないケース
が大半
 ユーザ端末と運用管理端末とのネットワークを分離することで、運
用管理端末の乗っ取りを防ぐ
 運用管理端末を用意し、外部からマルウェアが侵入しないように、
メールやWeb閲覧を行わない運用とする
 ADのような重要サーバに対しては、管理機能へのアクセスを特定の
端末に制限することで、不正アクセスのリスクを低減
Copyright © 2013 独立行政法人情報処理推進機構
24
詳しくは 「設計・運用ガイド」 を参照
http://www.ipa.go.jp/security/vuln/newattack.html
 『新しいタイプの攻撃』の対策に向けた設計・運用ガイド
2011/8/1 第1版リリース、 2011/11/30 第2版リリース、
2013/8/29 第3版リリース
『「標的型メール攻撃」対策に向けたシステム設計ガイド』
<内容>
 標的型メール攻撃の全容
 システム設計対策セット
・攻撃基盤構築段階対策(7セット)
・内部侵入/調査段階対策(7セット)
 対策補足説明資料
http://www.ipa.go.jp/security/vuln/newattack.html
Copyright © 2013 独立行政法人情報処理推進機構
25
1.はじめに
2.標的型サイバー攻撃の概要と対策
2.1 情報共有イニシャティブJ-CSIP
2.2 標的型メール攻撃に向けた設計ガイド
3.新たな脅威分野への対応
3.1 制御システムセキュリティへの対応
3.2 自動車の情報セキュリティへの対応
4.おわりに
Copyright © 2013 独立行政法人情報処理推進機構
26
<従来の制御システム>
◇常時ネットワークにつながっていない
◇制御システムの仕様は事業者ごとに固有
・内部仕様を熟知していなければ、有効な攻撃は不可能
「一般的なPCが感染するウイルスや不正プログラムの影響を受けない」
制御システムの生産性・保守性等の利便性
向上と引き換えにサイバー脅威が現実化
<最近の制御システム>
◇外部ネットワークと接続する傾向にある
◇制御システムの仕様がオープン化(汎用製品及び標準プロトコル採用)
・WindowsやUnix系等、一般的な情報システムOSの利用が進んでいる
「一般的なPCと同様、ウイルスや不正プログラムの影響を受けやすい」
Copyright © 2013 独立行政法人情報処理推進機構
27
【課題1:オープン化、ネットワーク化に伴うセキュリティ脅威の増大】
• 汎用製品、標準プロトコルネットワーク採用により、脆弱性リスク、ワームなど
のウイルスの侵入や、機密情報漏えいのおそれがある。
【課題2:製品の長期利用に伴うセキュリティ対策の困難さ】
• 制御システムは通常10~20年使用。サポート期限を超えている。
• セキュリティ対策の考慮は充分ではなく、新た脅威への対応も困難である。
【課題3:可用性、性能重視に伴うセキュリティ機能の絞込み】
• 可用性、性能が重視されており、システムの動作保証や負荷などの事情から、
ウイルス監視やセキュリティパッチの適用が難しい。
セキュリティ優先順位
セキュリティの対象
制御システム
情報システム
A.I.C(可用性重視)
C.I.A(機密性重視)
サービス(連続稼動)
モノ(設備、製品)
情報
資料:IPA「重要インフラの制御システムセキュリティとITサービス継続に関する調査」より抜粋
Copyright © 2013 独立行政法人情報処理推進機構
28
年
ウイルス名
ポイント
概要
2003
Slammer
ワーム
原子力発電所の制
御システムへの
ワーム侵入
米国の原子力発電所で、マイクロソフトSQLサーバを狙ったウィルスが
VPN接続を介して侵入・感染。制御システムを約5 時間にわたって停止
させた。他の電力施設を結ぶ通信トラフィックも混乱し、通信の遅延や遮
断に追い込まれた。発電所のサーバはファイアウォールで外部ネット
ワークと遮断されていたが、ファイアウォール内部のネットワークに接続
した、発電所のコンサルタント会社の端末が感染源となった。
2003
W32/
Blaster
ワーム
鉄道の信号管理シ
ステムのウイルス
感染による運行停
止
米国東部の鉄道会社の信号管理システムがコンピュータウイルスに感
染し、周辺の3 路線で朝から昼にかけて通勤および貨物列車が停止、
ダイヤ乱れが発生。ウイルスによって、信号や配車のシステムなどの重
要システムをつなぐネットワーク部分が、断絶したことが原因と判明。
2005
Zotob
ワーム
ウィルスによる自
動車工場の操業停
止
米国大手輸送関連会社の米国にある複数の自動車工場において、ウィ
ルスが制御システム内に入り込み、プラント中に広がり、操業停止となる
事故が発生。Windows2000システムにパッチをあてることで生産を再
開したが、部品サプライヤへの感染も疑われ部品供給の懸念も生じ、お
よそ1,400 万ドルの損害をもたらした。
2010
Stuxnet
システムの停止又
は暴走・破壊
石油や天然ガスなどのパイプラインやウラン濃縮施設などで使用されて
いる制御システムソフトウェアが乗っ取られたり、制御データが搾取され
る可能性があったことが判明。USB等の外部記録媒体を経由して、オフィ
スPCにウイルス感染させ、遠隔監視ソフトウェアの脆弱性を悪用し、PLC
に悪質なコードを書き込み、制御システム上の装置に対して攻撃を実行
した。イランのウラン濃縮施設では、約8,400台の遠心分離機全てが停
止しており、これが本ウイルスによるものの疑いもある。
経済産業省「サイバーセキュリティと経済研究会中間とリまとめ」及びIPA報告書より一部抜粋
*)2012 : サウジアラビア国営石油会社「アラムコ」で、WS3万台のディスク破壊攻撃
Copyright © 2013 独立行政法人情報処理推進機構
29
・米国ICS-CERT:2009年に設置以降、インシデント届出件数が飛躍的に増大
・水道、エネルギー、原子力、化学、政府関連設備など、届出が多い
ICS-CERTのインシデントレスポンス動向
(2009年~2011年)
ICS:Industrial Control Systems
分野別インシデント報告割合(2011年)
ICS-CERTウェブサイト情報をもとに作成
・2012年のインシデント届出は、昨年同数の高い水準で、198件となっている。
・エネルギー関連の届出が41%(82件)と激増(昨年16%)している
Copyright © 2013 独立行政法人情報処理推進機構
30
・2010年以降、急激に登録件数が増加しており、2012年は2010年の8倍
・深刻度の高い脆弱性対策情報の割合が非常に高い(63%がレベルⅢ)
180
160
140
120
100
件
80
数 60
40
20
0
(162)
レベルIII(危険、CVSS基本値=7.0~10.0)
レベルII (警告、CVSS基本値=4.0~6.9)
レベルI (注意、CVSS基本値=0.0~3.9)
(89)
(8)
6
(10)
6
2008
2009
2
4
(21)
14
3
4
2010
64
24
1
2011
92
67
3
2012
(~2012/12/31)
図. 産業用制御システムに関するソフトウェアの脆弱性件数と深刻度割合の年別推移
出典:脆弱性対策情報データベースJVN iPediaの登録状況[2012年第4四半期(10月~12月)]
Copyright © 2013 独立行政法人情報処理推進機構
31
<制御システム情報セキュリティ委員会>
『標準化WG、評価・認証制度WGについて』
Copyright © 2013 独立行政法人情報処理推進機構
経済産業省「サイバーセキュリティと
経済研究会」での言及により、発足
・日本国内のICSセキュリティの向上
・ICSの海外輸出事業の促進
32
■制御システムのセキュリティの標準・基準には、組織やシステムのレイヤに対応
したもの、業種や業界に対応したものなど、様々な標準・基準が提案されている。
■こうした中で、汎用的な標準・基準として、IEC62443が注目されてきており、
一部事業者の調達要件に挙がってきている。
■業界で評価認証が先行しているISCIやWIBの基準が、IEC62443のシリーズに
統合される動きとなっている。
(WIB: International Instrument User’s Association)
標準化
対象
汎用制御
システム
専用(業種)システム
石油・化学
プラント
組織
システム
コンポー
ネント
電力
システム
NERC
CIP
IEC
62443
WIB
認
ISCI
スマート
グリッド
NIST
IR7628
鉄道
システム
ISO/IEC
62278
IEC61850
IEEE1686
認
Copyright © 2013 独立行政法人情報処理推進機構
凡例
国際標準
業界標準
認 :認証スキーム有
33
Copyright © 2013 独立行政法人情報処理推進機構
34
対
区
象
分 者
IEC
原本名
62443-1-1
Terminology, concepts and
models
標準化・普及活動
(IPAの活動)
評価認証 (-:該当せず)
・翻訳、発刊
ー
共 全
master glossary of terms and
62443-1-2
abbreviations
通 体
ー
62443-1-3
System security compliance
metrics
ー
62443-2-1
Establishing an IACS
security program
セ
キ
ュ
リ
テ
ィ
プ
ロ
グ
ラ
ム
事
業
・ 62443-2-2
運
用 62443-2-3
者
技
術
・
シ
ス
テ
ム
構
築
事
業
者
・
SI
er
・ガイド公開(2012/10)
・翻訳、発刊
・rev2に対し、41件寄書
CSMS認証の推進
(JIPDECで推進)
Security technologies for
IACS
Security assurance levels for
zones and conduits
System security
62443-3-3 requirements and security
assurance levels
product development
62443-4-1
requirements
ベ
・翻訳、発刊
ー
62443-3-2
部
ン
品
ダ 62443-4-2
technical security
requirements for IACS
components
ICS
セキュ
リティ
の
向上
Operating an IACS security
program
Patch management in the
IACS environment
Certification of IACS supplier
security policies and
62443-2-4
practices
62443-3-1
国内
ICSの
・規格に対し50件の寄書
ISCI認証の推進
・EDSA規格の翻訳・公開
(CSSCで推進)
Copyright © 2013 独立行政法人情報処理推進機構
海外
輸出
事業
の
促進
35
・制御システムのトータルなセキュリティ向上を目指して、CSMS認証を導入する
・適合性評価制度のスキームに沿って、CSMS認証を実現する
# ヒアリング項目
1
2
CSMSの
メリット
ヒアリング結果
・制御システムの安全性が高まる
・セキュリティレベルの底上げ・維持
・認証取得で、他社アピールができる
・ビジネス上の優位性が確保できる
・経営者層の説得
・教育(オペレータ、審査員)
CSMS
・コスト(負荷が高い)
構築の課題 ・ISMSリスク分析手法との相違点が不明
・既存マネジメント規格(ISMS、BCMS) と
の相違点が不明
3
・ISMS認証と同スキームで可
CSMS
認証スキーム ・ISMSとの差分要件認証が望ましい
4
・柔軟性のある認証で始めるべき
CSMS
・分野、事業毎のカスタマイズが必要
認証の課題 ・複数認証の同時取得が必要
・再認証の負荷を軽くすることが必要
ISMS認証スキーム
(CSMSもこれに準ずる)
審査機関
・・・
4社 (制御システムユーザ3社、制御システムSIer 1社)
出典:「制御システム情報セキュリティ委員会」活動報告書2013.3公開
Copyright © 2013 独立行政法人情報処理推進機構
36
EDSA認証スキームへの日本参画構想
~国内認定機関の実現構想について(ISCIへの提案実施)~
スキームオーナ
IPAが米国ISCIへ提案した制度案
EDSA認証制度の運営元
現状の制度
将来の制度案
認定機関
指定
相互承認協定
ANSI/ACLASS
評価/認証機関
指定
認定
認定
<日本版評価認証機関>
<現状の評価認証機関>
日本での評価認証機関の候補は、
相互承認協定に基づき、JABより認
定を受けることが可能となる。
評価及び認証機関の候補は、
現状は米国ANSIより認定を受
ける必要がある。
exida
日本のケース
日本のベンダ
CSSC:Cntrol System
Security Center
http://www.css-center.or.jp/
Copyright © 2013 独立行政法人情報処理推進機構
37
1.はじめに
2.標的型サイバー攻撃の概要と対策
2.1 情報共有イニシャティブJ-CSIP
2.2 標的型メール攻撃に向けた設計ガイド
3.新たな脅威分野への対応
3.1 制御システムセキュリティへの対応
3.2 自動車の情報セキュリティへの対応
4.おわりに
Copyright © 2013 独立行政法人情報処理推進機構
38
組込み機器の今昔~繋がるモノ~
クラウド
・これまでの組込みシステム
■スタンドアロンで動作
■機械的な制御
Car2X
自動車
・これからの組込みシステム
■インターネットを含めた様々な
ネットワークと接続して動作。
■そしてクラウドへ。
■ソフトウェア制御。
■個人情報や操作情報のよう
な機微な情報を含めた様々な
情報(ビッグデータ)を扱う。
39
Copyright © 2013 独立行政法人情報処理推進機構
組込みシステムセキュリティへのIPA の取組み
Since 2006 ~
2009年3月3日公開
重要インフラの制御システムセキュリティとITサービス継続に関する調査
2009年11月25日公開
上下水道分野用のSCADAセキュリティ グッド・プラクティス
2011年5月9日公開
2010年度 制御システムの情報セキュリティ動向に関する調査
2012年10月10日公開
IEC62443規格の対訳版 ~日本規格協会より発行~
2010年9月7日公開
組込みシステムのセキュリティへの
取組みガイド(2010年度改訂版)
2011年2月1日公開
情報家電におけるセキュリティ対策 検討報告書
2012年5月31日公開
2011年度 自動車の情報セキュリティ動向に関する調査
2013年3月25日公開
自動車の情報セキュリティへの取組みガイド
2013年3月6日公開
2012年度 制御システムの情報セキュリティ動向に関する調査
組込みシステムの
ライフサイクル
2013年3月25日公開
2012年度 自動車の情報セキュリティ動向に関する調査
企画 開発 運用
廃棄
2007年4月25日から実施
2010年11月25日公開
TCP/IPに係る既知の脆弱性検証ツール V5.0
2010年11月30日公開
SIPに係る既知の脆弱性検証ツール V2.0
Copyright © 2013 独立行政法人情報処理推進機構
組込みシステムを含んだソフトウェアの
脆弱性関連情報の受付・蓄積・公開
2013年3月18日公開
ファジング活用の手引き
http://www.ipa.go.jp/security/vuln/fuzzing.html 40
自動車の現状および今後
• 新しいサービスの発達
– カーシェアリング・エコドライブ等の新しい自動車の利用形態
– 車載ソフトウェアの増加等の、自動車の仕組み変化
– 車載センサや外部情報を利用したサービスの増加
• ネットワークへの接続
– 自動車とスマートフォンの連携
– 路車間・車車間通信等、新しいネットワークも利用される
• 汎用プロトコル等の利用
– 車内ネットワークへのTCP/IP適用
– 汎用的な車載セキュリティチップの開発
– 車載システムに対する汎用OSの利用
Copyright © 2013 独立行政法人情報処理推進機構
41
自動車の情報セキュリティに関連する事例(1/2)
【CAN(Controller Area Network):主要な車載LAN方式の一つ】
・2010年ワシントン大学Kohno氏論文「Experimental Security Analysis of a Modern Automobile」にて
CAN本体について;
(1)CAN通信は同一バス上に同報する方式で、盗聴、解析が容易
(2)認証フィールドとは発信元(ソースアドレス)がなく、なりすましが容易 など
CANを利用した車載LAN上機器の処理の不足や標準的な処理の不備などについて;
(3)走行中には無視しなければならないはずのCANバス全体の通信停止メッセージが、実際には有効
(4)走行中のECUの書換えは禁止されているはずであるが、実際には書換えモードに入ることが可能
(5)OBD-IIに接続した実験用のPCから上記のテレマティクス端末のソフトウェアを認証手順なしで書換え
現在は、攻撃を行う
ための機材とソフト
ウェアは市販製品で
は機能不足のため
開発が必要で、攻
撃の難易度は高い。
ECU単体の解析(左)、静止時の車台上でのECU間解析と試験(中)、走行中の動作試験(右)
Copyright © 2013 独立行政法人情報処理推進機構
42
自動車の情報セキュリティに関連する事例(2/2)
【CAN(Controller Area Network):OBD-IIや直接接続による攻撃事例】
・2013年IOActive社Chris Valasek氏がBlackHatで発表した「Adventures in Automotive Networks
and Control Units」にて
(1)OBD-IIへの接続や、CANバスへの直接接続を利用して攻撃
(2)リバースエンジニアリングを利用して通信の解析を行い、インジェクションを利用して命令を注入
→結果として、ハンドル・アクセルの操作や、ブレーキの無効化が可能に
(3)今回の攻撃デモでは、クルマの内装とPCをケーブルで直接接続して実施。遠隔操作では無い。
→自動車に対する攻撃の検討はこれから。サービスの発展に従って攻撃も多様化。
(4)攻撃手法、攻撃用のコード等は報告書で公開。今回は直接接続が必要で難易度も高いが。
→攻撃手法は共有されやすい。一方で、セキュリティ対策普及は難しい。
Copyright © 2013 独立行政法人情報処理推進機構
43
IPAによる自動車の脅威分析(1/2)
自動車の脅威を考える為に、自動車の機能を整理する必要がある。
しかし、自動車メーカや車種等によって、機能の整理手法は様々。
→IPAでは自動車の機能を整理した「IPAカー」をモデルとし、脅威を分析した
1.基本制御機能
2.拡張機能
3.一般的機能
I.持ち込み
F.
ITS
機能
G.テレマ
ティクス
機器
H.インフォ
テイメント
Bluetooth
無線LAN
USBポート
SDスロット
OBD-II
A.
駆動系
B.シャーシ
系
C.
ボディ系
D.安全
快適機能
E.診断・
保守*1
*1 診断・保守: 診断・保守は個々のECUなどに搭載されている場合がある
Copyright © 2013 独立行政法人情報処理推進機構
スマートフォン
PND
パソコン
タブレット
プレーヤ
メモリ/HDD
ハンズフリー
リモコン
診断機
エコメータ
カスタムメータ
44
IPAによる自動車の脅威分析(2/2)
外部から、情報の入出力が出来るポートを持つ機能についてはPCと同様の脅威がある。
一方で、制御系を外部から直接攻撃する手段に関しては、現状では見つからない。
設定不良、
ユーザ情報漏
えい、盗聴、
DoS攻撃
(設定不良、蓄積情報漏え
不正利用、
不正設定、
盗聴 等
F.
い、不正利用、不正設定、
ウイルス感染、盗聴)
A.駆動系
B.シャーシ
系
ITS
機能
C.
ボディ系
不正利用
蓄積情報漏えい、
不正設定、ウイ
ルス感染、盗聴、
不正アクセス等
G.テレマ
ティクス
D.安全
快適機能
設定不良、蓄
積情報漏えい、
DoS攻撃 等
ウイルス感染、蓄積
情報漏えい、不正利
用、不正設定、ウイ
ルス感染、盗聴、不
正アクセス 等
ウイルス感染、設定
不良、操作ミス、不
正利用、不正設定、
ウイルス感染、盗聴、
不正アクセス 等
H.インフォ
テイメント
E.診断・
Bluetooth
無線LAN
USBポート
SDスロット
OBD-II
保守
設定不良、情
報漏えい、不正
アクセス 等
不正利用、
不正設定、
盗聴 等
I.
持ち込み
機器
スマートフォン
パソコン
タブレット
プレーヤ
メモリ/HDD
エコメータ
カスタムメータ
海外の研究発表の事例にもあるように、自動車制御に直接攻撃を仕掛けるのではなく、
脆弱なシステムを踏み台にして、自動車制御に影響を与える危険性がある
45
Copyright © 2013 独立行政法人情報処理推進機構
自動車の情報セキュリティへの取組みガイド
~車載システムにおける機能と脅威・対策のマッピング表~
対象機能
2013/3/25公開
脅威
対策技術
・自動車システムのモデル
・自動車システムおいて想定される脅威
・脅威に対するセキュリティ対策
・機能。脅威対策技術マッピング
Copyright © 2013 独立行政法人情報処理推進機構
46
1.はじめに
2.標的型サイバー攻撃の概要と対策
2.1 情報共有イニシャティブJ-CSIP
2.2 標的型メール攻撃に向けた設計ガイド
3.新たな脅威分野への対応
3.1 制御システムセキュリティへの対応
3.2 自動車の情報セキュリティへの対応
4.おわりに
Copyright © 2013 独立行政法人情報処理推進機構
47
情報セキュリティ対策支援サイトiSupport
中小企業のセキュリティ対策支援コンテンツ群
ページ
iSupport
支情
援報
サ セ 一般利用者
イ キ 向けページ
ト ュ
リ
テ
ィ
セキュリティ
対
プレゼンター
策
向けページ
機能
利用者
・5分でできる自社診断
主に中小企業を
・ポイント学習オンライン版
対象とした
・情報セキュリティ対策の
情報セキュリティ対策を
実施状況や利用者の
「始めたい」「強化した
意識レベルに合わせた
い」「学びたい」人向け
資料が集約されている
情報セキュリティ対
策の普及啓発活
動を行うかた向け
・IPAの情報セキュリティ教育
ツールを集約
・検索機能により、一般利用
者がプレゼンターを探してく
れる
・IPA が主催するイベント・
セミナー情報の提供
Copyright © 2013 独立行政法人情報処理推進機構
48
映像で知る情報セキュリティ
IPA セキュリティ普及啓発映像ライブラリ
□ ウイルスはあなたのビジネスも
プライベートも狙っている!
□ あなたの組織が狙われている!標的型攻撃 その脅威と対策□ 大丈夫?あなたのスマートフォン –
安心・安全のためのセキュリティ対策□ あなたのスマートフォン、
ウイルスが狙っている!
□ ワンクリック請求のワナを知ろう!
–巧妙化する手口とその対策□ 7分で気づく身近にある
情報漏えいの脅威
□ キミはどっち? -パソコン・ケータイ・
スマートフォン 正しい使い方□ ほんとにあったセキュリティの話
□ 今 制御システムも狙われている!
-情報セキュリティの必要性□ 東南アジアの情報セキュリティ
-現状と対策について-
Copyright © 2013 独立行政法人情報処理推進機構
49
標的型サイバー攻撃の特別相談窓口
標的型攻撃メールかな? と思ったら・・・
?
限られた対象にのみ行われる標的型サイバー攻撃に対し、その手口や実態
を把握するためには、攻撃を検知した方々からの情報提供が不可欠である。
ぜひ、相談や情報提供をお寄せいただきたい。
IPAへご相談ください!
http://www.ipa.go.jp/security/tokubetsu/
限られた対象にのみ行われる標的型サイバー攻撃に対し、その手口や実態を
把握するためには、攻撃を検知した方々からの情報提供が不可欠です。
ぜひ、ご相談や情報提供をお寄せ下さい。
Copyright©©2013
2013独立行政法人情報処理推進機構
独立行政法人情報処理推進機構
Copyright
50
ご清聴ありがとうございました
<PR>
http://www.jitec.ipa.go.jp/ip/
IT技術力の向上、資格取得で、セキュアなネット社会を!
IPAは、安心安全な情報システム、
社会インフラの実現を目指します。
Copyright © 2013 独立行政法人情報処理推進機構
52
Was this manual useful for you? yes no
Thank you for your participation!

* Your assessment is very important for improving the work of artificial intelligence, which forms the content of this project

Related manuals

Download PDF

advertising