制御システムペネトレーションテスト

制御システムペネトレーションテストの概要

重要インフラにおける制御系システムは、クローズドのシステムでありセキュアな環境にあるとして、サイバー攻撃の影響を受けにくいと考えられてきました。しかし近年、汎用OSやソフトウェアの導入が進み、外部システム連携や遠隔地のIoT機器制御などオープン化が進んだことで既存のセキュリティ対策では有効性が疑問視されています。

サイバーディフェンス研究所には、高度な攻撃スキルと悪用センスを兼ね備えた一流のハッカーに加えて、制御システムの開発と運用に携わったメンバーも在籍しています。これにより、高度なサイバー攻撃を再現し脅威を顕在化させるだけでなく、長期的な運用も視野に入れた現実的な対策のご提案が可能です。

制御システムにおけるペネトレーションテストとは

制御システムにおけるペネトレーションテストの必要性

制御システムは攻撃にさらされる機会が少ないため、セキュリティ対策への投資効果を確認する機会はほとんどありません。しかし、高価な装置を導入したにも関わらず、不適切な設定や適用方法により、気付かぬうちに脆弱な状態で運用しているケースもあります。

セキュリティインシデントの発生をきっかけに現実を知るのは回避しなければなりません。システムの弱点を知り、改善につなげるためには適切なペネトレーションテストの実施が有効です。

制御システムペネトレーションテストの詳細

制御システムを知る最強のチーム

制御システムのペネトレーションテストでは、実施体制、特に、制御システムに精通したメンバの存在が重要です。弊社には、ネットワーク診断や組み込み機器診断のスペシャリストに加え、制御システムの豊富な開発経験を有するメンバーや、近年のインシデント事例を調査するメンバーなど様々な人材が揃っており、ハードウェアやネットワークから独自プロトコル解析まで、あらゆる観点のテストに対応可能です。

優れたチームは計画フェーズの時点で、主だった弱点や点検すべきポイントを指摘できるものです。セキュリティ対策検討の第一歩として、現状把握を目的にペネトレーションテストを実施するのもよいでしょう。

リアル感ある制御システムが無料で作れて勉強になった話
LANケーブルをニッパーで切断し５秒でネットワークへ侵入・盗聴できるか実験してみました

事業やシステムの理解にもとづく実施計画

多種多様な装置で構成される制御システムに対し、効果的なテストを行うには、事業やシステムの意義を理解し、どのような攻撃者が、どのような目的で、どのような脆弱性を狙い、どこから攻撃をしかけてくるか、考察する必要があります。当社では、パケット取得や膨大な量のドキュメント分析を事前に実施し、限られたテスト期間内に最大の成果をあげるための実施計画を策定します。

攻撃者は最も攻撃しやすい箇所を探して攻撃を仕掛けてきます。弊社は入念な事前準備と豊富な実績・経験にもとづき、あらゆる観点で適切な攻撃シナリオを検討します。

運用へ影響を与えない手法

制御システムはその役割上、運用へ影響を与えない「可用性重視」の手法が強く求められます。当社は、可用性の観点から最適な実施手法を検討し、実システムへのオンライン診断、模擬システムでの診断など、お客様のニーズや背景に応じて対応します。運用へ影響を与えがちな汎用ツールを避け、手作業を基本とし、さらに万一のトラブルに備えて作業記録を残しながらテストを進めます。

また、機密情報流出の対策として、入手情報へのアクセス制限から作業完了後の情報削除までシステム化し、取扱情報を厳格に管理しています。

制御システムの実状を理解したセキュリティ対策案の提示

制御システムのセキュリティにおいては、複数事業者の関係性や投資対効果の観点など、即座に適用できない対策も多いものです。当社は、個々の脆弱性への対処のみならず、攻撃シナリオに対する多層防御の観点を考慮した対策案など、将来の対策検討にも有用な報告書を提出します。

簡易的な検証も可能

制御システムペネトレーションテストは、間違いなくセキュリティ向上に有効です。しかし、実施経験がなく有効性を知らない方や、費用・システムへの影響など新たな取り組みへの不安が大きく実施に踏み切れない方も、多いのではないでしょうか？ そこで当社は、低コストかつ安全な手法により検証を行う「攻撃シミュレーション」を用意しています。

• システムへ影響を与えない試験
  既存ドキュメント分析、現地見学や通信キャプチャの取得など、対象システムへ影響を与えない Passive な手法で情報取得し、代表的なシナリオを元に攻撃成功の可能性を机上検討します。
• 現地対応は最短で 2 日
  最短の場合、現地対応は、見学 1 日、システムからの情報取得 1 日。たったの 2 日間。報告書作成は当社にて実施します。
• 実用性の高い報告
  問題の列挙にとどまらず、攻撃ルートや手順を考察し、報告します。また、制御システムの特性やセキュリティ対策状況に応じて、実行可能性を考慮した推奨事項を提示します。

制御システムペネトレーションテストの診断項目

制御システム固有の診断観点

独自プロトコルの解析

重要インフラに関わる制御システムは、規模が大きく、構成機器の多いシステムです。近年こそプロトコルの標準化が進んできていますが、昔は各メーカが独自に通信プロトコルを開発していました。１０年以上にわたり使用する装置も多く、導入済みの各機器との接続性の確保や、従来開発ノウハウの活用という理由から、現在も独自プロトコルが適用されている場面が多く見られます。

サイバーディフェンス研究所では、独自プロトコルを解析し中間者攻撃によるパケット改ざんを行う事で不正制御の脅威を明らかにします。

WiresharkのDissectorを使った独自プロトコル解析をやさしく解説してみました
（続）WiresharkのDissectorを使った独自プロトコル解析をやさしく解説してみました
続々　WiresharkのDissectorを使った独自プロトコル解析（TCP,UDP分割パケットの場合）

生体認証の試験

近年、世間ではパスワード認証がやぶられる事象が多発し、多要素認証が適用されたシステムが増えてきています。制御システムにおいても多要素認証として生体認証の導入が始まっています。

サイバーディフェンス研究所では、生体認証装置単体の診断に加え、生体認証装置のシステム適用における実装不備の検出までも見据えた「システムとして認証を突破されないか」という総合的な観点でのテストが可能です。

認証認可検証

制御システムは、個人で利用するものでないため、アカウント毎の権限管理が弱くなりやすいのが特徴です。ひとたび装置への侵入を許すと、装置単体のみならずシステム全体を操作される事態へ発展する場合もあります。弊社は、個々の装置をテストするだけでなく、システム運用上のリスク観点にもとづく脅威も明らかにします。

導入事例

東京五輪会場の制御システムに対するペネトレーションテスト

2021年に開催された東京オリンピック・パラリンピック競技大会において、内閣サイバーセキュリティセンター（NISC）が実施した大会会場の制御システムに対するペネトレーションテストを担当、制御システムの初期侵入から被害発生までの攻撃シナリオを検証し、潜在的な脆弱性やリスクを評価しました。
東京五輪会場の制御システムに対するペネトレーションテストから得られた知見を公開します

NEDO ハワイにおける日米共同世界最先端の離島型スマートグリッド実証事業

再生可能エネルギーを活用しながら電力の安定供給を実現する「離島型スマートグリッド」のモデル構築を目的とした実証実験にて、スマートグリッドシステムに対する脆弱性や潜在的な脅威を調査し、米国のサイバーセキュリティ基準を満たしているかを評価しました。
エネルギー消費効率化等技術・システム実証事業
NEDOによる事後評価分科会の資料（PDF）

NEDO 米国ニューメキシコ州における日米スマートグリッド実証

次世代のエネルギーマネジメント技術の開発と実用化を目指して実施された日米共同による実証実験にて、サイバーディフェンス研究所はスマートグリッド技術（電力需要の変動をリアルタイムで管理し、供給の安定化を図る技術）が、電力供給に対する攻撃を受けた場合にシステム全体に与える影響をシミュレーションしリスク評価を行うことで、スマートグリッドに関する国際的なセキュリティ基準の策定に貢献しました。
明電舎による実証事業の詳細解説（PDF）

サービスの流れ

Step1. 事前調査

まずはヒアリングシートをご記入いただきます。診断対象となるシステムをお伺いしたうえでNDAを締結し、お客様のご要望を考慮した診断方針の策定についての協議を行います。 その後に費用のお見積もりと診断内容をご提案いたします。

Step2. 契約手続き

お見積もりと診断内容をご確認のうえ、問題がなければ診断実施のスケジュールを決定し、ご契約手続きを行います。

Step3. 対象システム情報の把握

システムを構成する各要素に関する機能仕様書や運用設計書などの把握のほか、関連技術や規格を調査し、診断対象となるシステム全体の構成を把握します。

Step4. 想定脅威の把握と攻撃手法の検討

想定される攻撃者像の構築と攻撃手法を洗い出し、適切な攻撃手法を検討します。

Step5. 試験実施計画の策定

これまでの調査結果と対象となるシステム固有の環境や特性を踏まえたうえで、入念な試験実施計画を策定します。

Step6. 攻撃ツールの準備・開発

必要に応じてハードウェア解析機器や対象のシステムで利用される通信方式に応じた攻撃用モジュールの準備、開発を行います。

Step7. テストの実施

試験実施計画に基づき、対象の制御システムに対してエンジニアが攻撃者の視点で擬似的な攻撃を行います。

Step8. 報告書の作成

ペネトレーションテストの結果を記載した報告書を作成いたします。結果を総括した総合評価となる「エグゼクティブサマリ」と発見された脆弱性の危険度、脆弱性を利用して成功した攻撃の分析レポート、推奨対策などを記載したわかりやすい報告書を納品いたします。

Step9. 報告会の実施

ご希望に応じて報告会を実施いたします。

Step10. 再試験の実施

ご希望に応じて再試験を行います。（別途費用がかかる場合もございますのでご相談ください。）

よくある質問

制御システムペネトレーションテストの費用

対象となるシステムの仕様、構成、規模などを伺った上で最適なお見積りをご提案致します。下記お問い合わせよりお気軽にご相談ください。