制御システムの情報セキュリティ

～ 社会インフラや工場に対するサイバー攻撃の脅威と対策～

2019年5月 8日（水） 14:40 - 15:00

2019年5月 9日（木） 16:10 - 16:30

2019年5月10日（金） 14:40 - 15:00

独立行政法人情報処理推進機構（IPA）

セキュリティセンター

セキュリティ対策推進部

福原聡／岡下博子

本日の内容

1. 制御システムとは

2. 制御システムと情報システムの違い

3. 制御システムの変化

4. 制御システムにおける脅威

5. 制御システムへのサイバー攻撃の現状

6. サイバー攻撃事例

7. 制御システムのセキュリティ対策

8. IPAの取り組み

1. 制御システムとは

制御システムとは

電力、ガス、水道、石油・化学等のプラントや運輸・交通等における監視制御、機械・食品の工場の生産ラインで利用されているシステム。

制御システムの特性

社会基盤、産業基盤を支えており可用性が最重要。

停止による社会的な影響・事業継続上の影響が大きい

2. 制御システムと情報システムの違い

制御系システム 情報系システムセキュリティ上の優先度

継続的な安定稼働(可用性)安全確保 情報の適切な管理

事業上の被害 サービス、製品の供給停止設備の破壊 情報漏えい

システム更新のライフサイクル 10～20年 3～5年

システムの稼働時間24時間365日随時再起動困難なケースが多い

サービスの提供時のみ再起動は許容範囲

運用管理部署 計装、設備管理部門 情報システム部門

システムは古く、更新は困難。被害は物理的。

3. 制御システムの変化

過去の制御システム 現在の制御システム

バルブ　センサ

フィールド機器

インターネット

外部接続無し

専用のハード バルブ　センサ

フィールド機器

インターネット

WindowsLinux

外部接続あり

専用の

プロトコル TCP/IP

USBメモリ

の利用

アクセス

ポイント

情報システム 情報システム

制御システム 制御システム

4. 制御システムにおける脅威

制御システムにおける脅威(2016年 高い順)

① ソーシャルエンジニアリングとフィッシング

② USBメモリや外部のPCを介してマルウェア感染

③ インターネット/イントラネットからのマルウェア感染

④ リモートアクセス

監視端末

制御

サーバ

HMI（操作端末）

SW

SW

バルブ　センサ

EWS

FW

制御ネットワーク （情報側）

制御ネットワーク（フィールド側）

情報ネットワーク

フィールド機器

コントローラ

アクセス

ポイント

コントローラ

①、③

②

④

【出典】BSI Industrial Control System https://www.allianz-fuer-cybersicherheit.de/ACS/DE/_/downloads/BSI-CS_005E.pdf?__blob=publicationFile&v=3

5. 制御システムへのサイバー攻撃の現状(1)

サイバー攻撃の頻度の調査No. 調査機関 調査対象 内容 出典

1シーメンスとPonemon-Institute

中東の石油・ガス事業者担当200人

75%が過去1年間に、機密情報の窃取や制御システムの運用障害につながったインシデントが少なくとも1回あった

https://www.helpnetsecurity.com/2018/03/21/middle-east-ot-cyber-risk/

2Corero-Network-Security

英国の重要インフラ事業者200社

過去2件間に70%がサービス障害を経験し、そのうち35%がサイバー攻撃によるものと判明。(17.5%がサイバー攻撃で障害が発生)

https://www.infosecurity-magazine.com/news/a-quarter-of-uk-cni-firms/

3Kaspersky-Lab社とPAC社

25か国製造、工業、エネルギー、鉱業、運輸、物流の制御システムのCS意思決定者320人

31%が過去1年間に1回以上制御システムのサイバーインシデントを経験。

https://ics-cert.kaspersky.com/reports/2018/06/28/the-state-of-industrial-cybersecurity-2018-findings-of-joint-survey-by-kaspersky-lab-and-pac/

4 FortinetSCADA/ICSを使用している組織

56%が過去1年間にSCADA/ICSに侵入されたことがある

https://www.fortinet.com/content/dam/fortinet/assets/white-papers/WP-Independent-Study-Pinpoints-Significant-Scada-ICS-Cybersecurity-Risks.pdf

5Kaspersky-Lab-ICS-CERT

同社のセキュリティソリューションが収集

41%の組織で制御システムが少なくとも１回攻撃を受けた。トップはインターネットで2位はリムーバブルメディア

https://ics-cert.kaspersky.com/reports/2018/09/06/threat-landscape-for-industrial-automation-systems-h1-2018/#_Toc523849953

6Positive-Technologies

世界各地の石油ガス会社等

73%の事業者においてITネットワークへの侵入が可能。ITNWからは82%の事業者でOTへの侵入が可能だった。（合わせると60%がインターネットからOTへ)

https://www.securityweek.com/industrial-networks-easy-hack-corporate-systems-study

5. 制御システムへのサイバー攻撃の現状(2)

ここまでのまとめ

• 制御システムがサイバー攻撃を受けると被害は目に見える場合が多い

• 制御システムは、ネットワークで繋がり、汎用化した装置が増えたため、攻撃しやすくなってきた

• 制御システムはITと同レベルのセキュリティ対策はされていない

• すでに制御システムへのサイバー攻撃は頻繁に起こっている

6. 制御システムへのサイバー攻撃事例紹介

Stuxnet

BlackEnergy

事例を代表するマルウェア名や事象,攻撃方法で表した

Industroyer

Mariposa

CryptoJacking

パイプライン爆発

Shamoon

Blaster

HDDCryptor

DDoS

LockerGoga

WannaCry

TRITON電力 石油・ガス化学

製造

交通・輸送

水道

6. サイバー攻撃事例（1）原子力：機器を破壊

被害企業：イランの核燃料施設

攻撃の形態:特定の設備破壊をねらったゼロデイ攻撃

被害：

• 2010年9月、ウラン濃縮用遠心分離機の約8400台が稼動不能に陥った

原因：

【参考】 経済産業省：「平成25年度次世代電力システムに関する電力保安調査報告書」http://www.meti.go.jp/meti_lib/report/2014fy/E003791.pdf

USBメモリ経由で侵入したゼロデイ脆弱性を利用し感染するウイルスStuxnet が、遠隔監視制御ソ

フトウェアが動作する端末を乗っ取り、遠心分離機を制御するPLC（プログラマブルロジックコントロー

ラ）を書き換え、遠心分離機に高い負荷をあたえる事により、破壊した。

6. サイバー攻撃事例（2）電力(1)：大規模停電

被害企業：ウクライナ西部の電力供給会社

攻撃の形態:マルウェアを利用した遠隔操作

被害：

• 2015年12月、3-6時間にわたる大規模停電により140万人に影響

原因：

• 標的型メール(WORDマクロ)により情報系PCがマルウェアBlackEnergy3に感染。攻撃者による制御装置の不正遠隔操作により、送電停止がひきおこされた。

同時にマルウェアKillDiskによる制御端末のシステム

破壊、コールセンター(電話回線)に対するサービス妨害攻撃がおこなわれた。

【出典】 https://ics.sans.org/media/E-ISAC_SANS_Ukraine_DUC_5.pdf

6. サイバー攻撃事例（3）電力(2)：大規模停電

被害企業：ウクライナ首都近郊の電力供給会社

攻撃の形態:マルウェアによる遮断器の直接操作

被害：

• 2016年12月、ウクライナの首都キエフ北部とその周辺地域で、30分～1時間15分にわたる大規模停電が発生

原因：

• 電力会社の制御システムがマルウェア「Industroyer/CrashOverride」に感染し、当該マルウェアが送電変電所の遮断機を不正

操作し、制御システムのデータを削除した。

• マルウェアが電力用のプロトコルで通信する。

【出典】 https://www.pcworld.com/article/3152010/security/cyberattack-suspected-in-ukraine-power-outage.html

6. サイバー攻撃事例（4）電力(3)：運転再開の遅延

被害企業：米国の電力会社

攻撃の形態:外部記憶媒体を介在するマルウェア感染

被害：

• 2012年10月、メンテナンス中の制御ネットワークに接続された約10台のコンピュータがマルウェア Mariposa に感染した結果、運転再開が約3週間遅延。

原因：

• システム管理会社がメンテナンス時にソフトウェア

アップデート作業用に持ち込んだUSBメモリ―が

感染していた。

【出典】 https://ics-cert.us-cert.gov/sites/default/files/Monitors/ICS-CERT_Monitor_Oct-Dec2012.pdfhttp://www.itmedia.co.jp/enterprise/articles/1301/17/news022.html

6. サイバー攻撃事例（5）水道(1)：性能低下

被害企業：ヨーロッパの水道事業者

攻撃の形態:クリプトジャッキング(仮想通貨のマイニング)

被害：

• 2018年2月、水道事業者の制御ネットワーク上の機器が仮想通貨Moneroのマイニングマルウェアに感染、制御システムに大きな影響(性能低下)をもたらした。

原因：

• SCADA(Supervisory Control And Data Acquisition

:監視制御装置)につながっているWindows XPの

操作端末（HMI）でオペレーターがブラウザでイン

ターネットにアクセスし、悪意のある広告をクリック

して感染した。【出典】 http://www.eweek.com/security/water-utility-in-europe-hit-by-cryptocurrency-malware-mining-attack

6. サイバー攻撃事例（6）水道(2)：薬品量の変更

被害企業：非公開

攻撃の形態:Webサーバの脆弱性攻撃による侵入

被害：

• 2016年、水道事業者の顧客の個人情報を盗むために侵入したハッカーが制御系を操作し、水道用の化学薬品の量を変更した(すぐ修正したため実害は出ていない)

原因：

• 事業者が時代遅れのソフトウエアを利用しており、

システムは勘定系と操作系が混在していた。

【出典】 https://www.wateronline.com/doc/hackers-infiltrate-water-plant-modify-chemical-levels-0001

6. サイバー攻撃事例（7）自動車製造業：操業停止

被害企業：自動車工場

攻撃の形態:ランサムウェアのばらまき

被害：

• 2017年5月～6月、フランス、英国および日本の大手自動車メーカーの工場で、コンピュータがWannaCryに感染し、1日～数日間操業が停止した。

原因：

• 詳細不明

• 外部ネットワークからの感染か隔離された

ネットワークへの外部機器の持ち込みか？

セキュリティパッチが適応されていない

機器で被害が拡大した。【出典】 https://www.businessinsider.com/renault-nissan-production-halt-wannacry-ransomeware-attack-2017-5

https://tech.nikkeibp.co.jp/it/atcl/news/17/062101717/

6. サイバー攻撃事例（8）石油・化学(1)：爆発

被害企業：British Petroleum

攻撃の形態：監視カメラから侵入

被害：

• 2008年8月、トルコのパイプラインが爆発

原因：

• 監視カメラの脆弱性を利用して侵入、

制御システムの警報装置の動作を停止

させたうえで、管内の圧力を異常に高め

て爆発を引き起こしたとされる。

【出典】 https://www.newsweekjapan.jp/tsuchiya/2015/08/post.php

被害企業：サウジアラムコ(サウジアラビア)

攻撃の形態:標的型攻撃

被害：

• 2012年8月、世界最大の石油企業で利用している計算機（ワークステーション）30,000台がマルウェアShamoonに感染し、計算機上のファイルが消去されて、1週間以上の間、社内ネットワークが停止（制御システム自体は分離されていたため無傷）

原因：

• メール添付のマクロ付ファイルで侵入。

6. サイバー攻撃事例（9）石油・化学(2)：社内ネットワーク停止

【出典】 https://www.nytimes.com/2012/12/10/business/global/saudi-aramco-says-hackers-took-aim-at-its-production.html

6. サイバー攻撃事例（10）石油化学(3)：緊急停止

被害企業：中東の石油化学プラント

攻撃の形態:特定の安全計装システムを狙った攻撃

被害：

• 2017年、石油化学プラントのSISのコントローラの制御プログラムをマルウェアTRITON/Hatmanが、SISが危険な状態を許可するよう改竄し、プロセスが緊急停止した。

原因：

• マルウェアによるEWS(エンジニアリングワークステーション）へのリモートアクセス、SISシステムのゼロデイ脆弱性を利用

【出典】 https://www.fireeye.com/blog/threat-research/2017/12/attackers-deploy-new-ics-attack-framework-triton.html

安全計装システム（SIS: Safety Instrumented System）

制御プロセスの状態を監視し、危険な状態になった時にプロセスの安全を確保するシステム

制御装置・

フィールド機器

安全計装

システム(SIS)

制御

システム

6. サイバー攻撃事例（11）金属：装置とシステムの損害

被害企業：ドイツの製鉄所

攻撃の形態:標的型攻撃により不正操作を行う

被害：

• 2014年12月、ドイツの製鉄所で、サイバー攻撃によって溶鉱炉が正常にシャットダウンできず、装置及び製鉄システム（操業）に大きな損害を与える事件が発生

原因：

• 標的型攻撃メールを利用して侵入し

生産設備の制御システムの操作権限

を奪取、不正操作によって溶鉱炉を

正常に停止できない様にした。

【出典】 https://www.bbc.com/news/technology-30575104

6. サイバー攻撃事例（12）非鉄金属：生産量の減少

被害企業：Norsk Hydro (ノルウェーのアルミ生産企業)など

攻撃の形態:ランサムウェア

被害：

• 2019年3月、生産システムとオフィスITシステムがランサムウェアLockerGogaに感染。生産設備を管理していたシステムのデータが暗号化されたため、手動での業務に切り替え世界中の工場で生産が減速。初週だけで3500～4100万ドル(39-46億円)の損失。決算報告を5週間遅らせる。

原因：

• ランサムウェアは正規の署名を持って

いたため、検知できなかった。

【出典】 https://www.zdnet.com/article/norsk-hydro-ransomware-incident-losses-reach-40-million-after-one-week/

6. サイバー攻撃事例（13）鉄道：運賃徴収システムの停止

被害企業：サンフランシスコの市交通局

攻撃の形態:ランサムウェアによるシステム破壊

被害：

• 2016年12月、運賃の徴収が出来なくなり、改札を開放して無賃乗車を認めたため、5万ドルの運賃収入の損失。

原因：

• メール経由でランサムウェアHDDCryptorの亜種が侵入。2000台を超えるPCに感染し、ネットワーク共有ドライブとローカルディスク

を暗号化した。

【出典】 https://www.theregister.co.uk/2016/11/27/san_francisco_muni_ransomware/

6. サイバー攻撃事例（14）航空：欠便と遅延

被害企業：LOTポーランド航空

攻撃の形態:地上フライトプラン管理システムへのDDoS（分散型サービス拒否攻撃）

被害：

• 2015年6月、首都ワルシャワからの出発便に欠航（10便）や遅延（15便）が発生し、1,400人に影響を与えた。

原因：

• 詳細は不明

【出典】 https://www.cnbc.com/2015/06/22/hack-attack-leaves-1400-passengers-of-polish-airline-lot-grounded.html

被害企業：フランス TV5Monde社

攻撃の形態:7つの侵入口から同時に攻撃

被害：

• 2015年4月、10時間にわたり12のテレビチャンネルが放送されなくなった。同時にWebサイトやソーシャルメディアも乗っ取りの被害に遭った。復旧に450万ユーロかかった。

原因：

• パスワード盗用、インターネットに開いていた

リモート接続口から初期パスワードで侵入、

遠隔カメラなどから侵入し、長期間にわたり

調査し、攻撃されたと言われている。

6. サイバー攻撃事例（15）放送：放送中止

【出典】 https://www.bbc.com/news/technology-37590375

対策を検討するうえでの制約事項• 構成変更が困難

• 機器の随時停止が困難

• OSのサポート終了

• ハードウエアの老朽化

現実的な対策• 外部から持ち込み、接続する機器・媒体の管理・

対策の徹底

• 自社環境にも導入可能な、攻撃を早期に検知する

仕組みの検討

• セキュリティ・バイ・デザイン

7. 制御システムのセキュリティ対策

侵入

ここで 止める

ここで 止める

侵入

8. IPAの取り組み

制御システムのセキュリティリスクを知る

重大な経営課題となる制御システムのセキュリティリスク 第3版

事業被害に至るサイバー攻撃を止める

制御システムのセキュリティリスク分析ガイド 第2版

受付現在位置

展示エリア

展示ブースにもお立ち寄りください。

配布資料

• 「重大な経営課題となる制御システムのセキュリティリスク」 小冊子

• 「制御システムのセキュリティリスク分析ガイド早わかり活用の手引き」 小冊子

• 「制御システムのセキュリティリスク分析ガイド」パンフレット