安全な工場運用のためのOTセキュリティ / OT security for safe factory operations

Slide 1

Slide 1 text

Slide 2

Slide 2 text

© NTT Communications Corporation All Rights Reserved. 2 自己紹介加島伸悟（かしましんご） ◼ 所属 NTTコミュニケーションズ株式会社（以下、NTT Com） • イノベーションセンター • テクノロジー部門セキュリティグループ責任者 • セキュリティオペレーション実施責任者 • マネージド＆セキュリティサービス部 • 国産OT-IDS「OsecT」のプロダクトオーナー一般社団法人セキュリティ・キャンプ協議会理事 ◼ 略歴 • 広域イーサネットサービスの技術＆商用開発 • フロー監視（xFlow）の技術開発＆国際標準化 • IETF RFC 7133 Author • NTTグループ全体のセキュリティガバナンス • 東京オリパラに向けた事業インパクトベースのリスクアセスメント • 制御システムセキュリティの技術開発・サービス開発

Slide 3

Slide 3 text

Slide 4

Slide 4 text

© NTT Communications Corporation All Rights Reserved. 4 OTネットワーク ⚫ 教科書ではPurdue Model（Level0~5）で定義することが多い ⚫ 現場のネットワークは複数ベンダのシステムが混在しており、必ずしも綺麗にレベル定義できない DMZ Level 0: Process Level 1: Control Level 2: Supervisory Control Level 3: Operation & Control EWS HMI SCADA PLC/ RTU Historian PLC/ RTU PLC/ RTU FW SW FW Sensor/ Actuator Sensor/ Actuator Sensor/ Actuator Application Server Patch Management Server Historian mirror Remote access Server Sensor/ Actuator Level 4/5: Enterprise WS PC DNS Server Mail Server Web Server WiFi FW 事務所（IT）生産現場（OT） Purdue Model

Slide 5

Slide 5 text

Slide 6

Slide 6 text

© NTT Communications Corporation All Rights Reserved. 6 工場制御システムを取り巻く環境 IoT OT IT リモート保守サプライチェーンクラウド工場制御システム(OT)は、IoT、情報システム(IT)、クラウド、サプライチェーン等、外部との接続が急増外部との接続の拡大により、制御システムネットワークはサイバーセキュリティのリスクも増加サイバーセキュリティの問題は、製造システム、 PLC、センサーのダウンタイムまたは不適切な動作を引き起こす可能性が増加

Slide 7

Slide 7 text

© NTT Communications Corporation All Rights Reserved. 7 制御システムに影響を与えるサイバー攻撃の現状 ⚫ 制御システムへのサイバー攻撃で特徴的なパターンとして以下が挙げられる ✓犯罪グループによる金銭獲得ランサムウェア（RaaS） ✓軍事的戦略に基づくインフラ破壊標的型攻撃 (APT) ✓自らの主張と本気度を広範囲にアピールハクティビストランサムウェア（RaaS）ハクティビスト標的型攻撃 (APT) ※分類上複数に所属することも

Slide 8

Slide 8 text

© NTT Communications Corporation All Rights Reserved. 8 製造業への攻撃事例 | ランサムウェア感染 ⚫ 制御システムのネットワーク化・デジタル化に伴い、IT環境のみならずOT環境も被害に遭う時代に ⚫ 大手企業だけではなく、サプライチェーン全体が攻撃対象に自動車部品製造（従業員1500人）子会社が設置したリモート接続機器の脆弱性をつかれ感染。調査等のためにシステムを遮断したことにより、取引先の大手自動車生産工場（14工場28ライン）が停止（2022年@日本）自動車製造（グループ従業員20万人） EKANSまたSNAKEに感染した影響で、自動車工場2拠点の出荷が一時停止。海外にも感染が波及し、海外9拠点の生産が1~3日間停止。（2020年@日本）金属製品メーカ（従業員100人） PCとサーバの合計25台がAvaddon に感染。データ復旧作業や感染経路の調査のため、業務の完全正常化まで1ヶ月以上を要した。（2021年@日本）アルミニウム製造（従業員2万人） LockerGogaに感染し、一部生産、オフィス業務に影響。プラントは影響拡散防止のためシステムから分離。被害は最初の1週間で3億円以上と推定（2019年@ノルウェー）

Slide 9

Slide 9 text

© NTT Communications Corporation All Rights Reserved. 9 制御システムへの攻撃事例 | マルウェア ⚫ OT特化型のマルウェアも存在 2010 Stuxnet 2017 Time discovered 2016 2011 2014 2015 Triton/Trisis/HatMan Industroyer / CrashOverRide Havex BlackEnergy2,3 Irongate PLC-Blaster VPNFilter Shneider Electric製安全計装システム Triconex 産業用プロトコル Modbus 産業用プロトコル（電力等） IEC 60870-5-101/104 IEC 61850, OPC DA OPC Classic 産業用プロトコル EtherNet/IP等 GE製 CIMPLICITY等 Siemens製 SIMATIC WinCC/PC7, STEP 7 2020 Snake ransomware / Ekans Honeywell製 HMI Webアプリ等 2018 2022 Industroyer2 INCONTROLLER/ PIPEDREAM OPC UAサーバ Schneider PLC (Modbus/Codesys) Omron PLC (HTTP/FINS) 2023 COSMICENERGY 産業用プロトコル IEC 60870-5-104 Siemens? S7 PLC 産業用プロトコル IEC 60870-5-104

Slide 10

Slide 10 text

Slide 11

Slide 11 text

© NTT Communications Corporation All Rights Reserved. 11 制御システムと情報システムにおける要件のギャップ項目制御システム（OT）情報システム（IT）セキュリティの優先順位追加要件保護対象システム更新サイクル通信 1. 可用性（Availability） 2. 完全性（Integrity） 3. 機密性（Confidentiality） 1. 機密性（Confidentiality） 2. 完全性（Integrity） 3. 可用性（Availability） • 健康（Health） • 安全（Safety） • 環境（Environment） • モノ（設備、製品）、サービス（操業） • 10～20年+ • 3～５年 • 標準通信プロトコル＋独自通信プロトコル • 平文通信・パスワード等の簡易な認証 • 標準通信プロトコル • 暗号通信・暗号技術による認証有りｰ • データ（個人情報等） OS更新・パッチ適用 • 一般的でない • オンラインでの定期・随時更新ウイルス対策 • 一般的でない • 端末へのアンチウイルス、EDRの導入

Slide 12

Slide 12 text

© NTT Communications Corporation All Rights Reserved. 12 制御システムのセキュリティ課題安定稼働最優先セキュリティ対策の導入によりシステムへの影響があってはいけない既存端末へのランサムウェア対策のソフトウェア（アンチウィルスソフト、 EDR等）の導入が難しい最新の脅威への対応脅威情報が公開されないためパターンマッチ型の脅威検知が適合しにくい資産管理機器・端末の状態を把握していない

Slide 13

Slide 13 text

© NTT Communications Corporation All Rights Reserved. 13 制御システム向けセキュリティ製品 OT向けIDS 安定稼働最優先 ✓ ネットワーク型（端末導入型ではない） ✓ パッシブ型（インライン型ではない） ✓ 検知まで（遮断まではしない）最新の脅威への対応 ✓ 学習ベースの脅威検知資産管理 ✓ 充実した可視化機能 IDS (Intrusion Detection System) 不正侵入検知システム → パッシブ型・・・OTへの適用事例が多い IPS (Intrusion Prevention System) 不正侵入防止システム → インライン型・・・ITへの適用事例が多いミラーリング

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

© NTT Communications Corporation All Rights Reserved. 18 OT向けIDSの課題 ① IDS製品が高額 ② 工場にセキュリティ監視できる人がいない ③ セキュリティ監視のためのセキュアなネットワーク設計が難しい（例: ITからの接続、VPN装置） ④ 1つのネットワークを複数組織で共同利用・運用しており、監視対象を分担したい ⑤ 数字の羅列を（IPアドレス/MACアドレス）を通知されても問題端末の特定に時間を要する ⑥ IDS製品のセキュリティが心配

Slide 19

Slide 19 text

© NTT Communications Corporation All Rights Reserved. 19 OT向けIDSの課題 ① IDS製品が高額 ② 工場にセキュリティ監視できる人がいない ③ セキュリティ監視のためのセキュアなネットワーク設計が難しい（例: ITからの接続、VPN装置） ④ 1つのネットワークを複数組織で共同利用・運用しており、監視対象を分担したい ⑤ 数字の羅列を（IPアドレス/MACアドレス）を通知されても問題端末の特定に時間を要する ⑥ IDS製品のセキュリティが心配

Slide 20

Slide 20 text

© NTT Communications Corporation All Rights Reserved. 20 特徴① OT向けIDSとしては廉価 ⚫ 初期導入費用は海外製品の数分の一（同一台数の場合） ⚫ 小規模ネットワーク構成でも導入し易い価格設定です。初年度：¥1,330,000（初期：¥250,000 月額：\90,000）次年度：\1,080,000 ※1セットの税別価格費用に含むもの・初期：センサーHW、LTE用USB端末、SIMカード・月額：Webポータルご利用、通信費用費用に含まないもの・導入支援、セキュリティ運用/対応支援等

Slide 21

Slide 21 text

© NTT Communications Corporation All Rights Reserved. 21 OT向けIDSの課題 ① IDS製品が高額 ② 工場にセキュリティ監視できる人がいない ③ セキュリティ監視のためのセキュアなネットワーク設計が難しい（例: ITからの接続、VPN装置） ④ 1つのネットワークを複数組織で共同利用・運用しており、監視対象を分担したい ⑤ 数字の羅列を（IPアドレス/MACアドレス）を通知されても問題端末の特定に時間を要する ⑥ IDS製品のセキュリティが心配

Slide 22

Slide 22 text

© NTT Communications Corporation All Rights Reserved. 22 特徴② SaaS型サービス ⚫ セキュリティ監視状況はOsecT SaaS環境のWebポータルで確認可能 ⚫ 遠隔地のセキュリティ担当者が各工場を監視することもできます A工場 LTE OsecT SaaS環境セキュリティ監視 B工場 LTE C工場 LTE 本社セキュリティ担当者 Webポータル

Slide 23

Slide 23 text

© NTT Communications Corporation All Rights Reserved. 23 OT向けIDSの課題 ① IDS製品が高額 ② 工場にセキュリティ監視できる人がいない ③ セキュリティ監視のためのセキュアなネットワーク設計が難しい（例: ITからの接続、VPN装置） ④ 1つのネットワークを複数組織で共同利用・運用しており、監視対象を分担したい ⑤ 数字の羅列を（IPアドレス/MACアドレス）を通知されても問題端末の特定に時間を要する ⑥ IDS製品のセキュリティが心配

Slide 24

Slide 24 text

© NTT Communications Corporation All Rights Reserved. 24 特徴③ クラウドへのLTE直接閉域接続 ⚫ 監視データはLTEでSaaS環境にアップロードするため工場ネットワークの改修が不要ミラーポート用スイッチを新設する場合を除く ⚫ WebポータルはSaaSに一元化センサーからSaaSへの通信は当社閉域網を利用するため、 ASM（Attack Surface Management, 外部から攻撃を受ける可能性のある対象領域の管理）不要お客様環境スイッチ工場（OT環境） OsecT センサー LTE OsecT SaaS環境セキュリティ監視 Webポータル直接閉域接続

Slide 25

Slide 25 text

© NTT Communications Corporation All Rights Reserved. 25 OT向けIDSの課題 ① IDS製品が高額 ② 工場にセキュリティ監視できる人がいない ③ セキュリティ監視のためのセキュアなネットワーク設計が難しい（例: ITからの接続、VPN装置） ④ 1つのネットワークを複数組織で共同利用・運用しており、監視対象を分担したい ⑤ 数字の羅列を（IPアドレス/MACアドレス）を通知されても問題端末の特定に時間を要する ⑥ IDS製品のセキュリティが心配

Slide 26

Slide 26 text

Slide 27

Slide 27 text

© NTT Communications Corporation All Rights Reserved. 27 OT向けIDSの課題 ① IDS製品が高額 ② 工場にセキュリティ監視できる人がいない ③ セキュリティ監視のためのセキュアなネットワーク設計が難しい（例: ITからの接続、VPN装置） ④ 1つのネットワークを複数組織で共同利用・運用しており、監視対象を分担したい ⑤ 数字の羅列を（IPアドレス/MACアドレス）だけ通知されても問題端末の特定に時間を要する ⑥ IDS製品のセキュリティが心配

Slide 28

Slide 28 text

Slide 29

Slide 29 text

© NTT Communications Corporation All Rights Reserved. 29 OT向けIDSの課題 ① IDS製品が高額 ② 工場にセキュリティ監視できる人がいない ③ セキュリティ監視のためのセキュアなネットワーク設計が難しい（例: ITからの接続、VPN装置） ④ 1つのネットワークを複数組織で共同利用・運用しており、監視対象を分担したい ⑤ 数字の羅列を（IPアドレス/MACアドレス）を通知されても問題端末の特定に時間を要する ⑥ IDS製品のセキュリティが心配

Slide 30

Slide 30 text

© NTT Communications Corporation All Rights Reserved. 30 特徴⑥ 安心してご利用いただくための取組み SaaSソフトウェアのSBOM※1 ファイル提供（予定） ※1 Software Bill of Materials, ソフトウェア部品表センサーソフトウェアのソースコード公開 https://github.com/nttcom/OsecT/ 内包するサードパーティ製ソフトウェアの公開脆弱性の監視リリース前/定期的な自動化ツールによるコード全体のスキャンリリース前/定期的なサードパーティによる脆弱性診断 ISO/IEC 27001:2022に準拠した開発・運用

Slide 31

Slide 31 text

Slide 32

Slide 32 text

© NTT Communications Corporation All Rights Reserved. 32 OsecT 導入事例お客さま業界製造業（電気機器）従業員数（グループ全体） 30,000人背景・課題 • OTのセキュリティ対策が各工場任せになっており、グループ統一で対策を進めたい • 工場のOT環境の見える化からはじめ、脅威の常時監視を展開していきたい • 自社工場のセキュリティ運用のノウハウ活用したを外販ビジネスを開始したい • 見える化・常時監視に使用するOT-IDSはどの製品も高額で中堅・中小企業には展開しずらい導入規模 200 端末/ﾈｯﾄﾜｰｸ

Slide 33

Slide 33 text

© NTT Communications Corporation All Rights Reserved. 33 OsecT 導入効果・ポイント現場判断で設置されたNW機器やリスクのあるサービスの利用を発見当初検討していた海外製OT-IDSを大きく下回るコストで、自社の複数工場の見える化を実現社内にOTセキュリティの専門家が少ない中、SaaSで複数拠点を一元管理、見える化レポートを作成導入による効果自社利用のみならず中堅・中小企業向けの再販ビジネスに機能面・コスト面で最適なソリューション NTT内製開発の国産製品であり、要望機能への柔軟な対応や高セキュリティを期待できること OsecT を選択されたポイント ❶ ❷ ❸ ❶ ❷

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Slide 36

Slide 36 text

© NTT Communications Corporation All Rights Reserved. 36 OsecT検知とアライドテレシス製品による自動遮断連携 OsecTで検知した不正/感染リスクのあるデバイスを、AMF-SECに通知し、エッジスイッチにて自動的に隔離/遮断することで、被害の拡大をいち早く防止するソリューションを提供（2024年12月開始予定） OsecT WebポータルからAMF-SECとの遮断連携を設定 OsecTの検知アラートを契機に、AMF-SECで通信遮断不正/感染リスクのあるデバイス検知→遮断の流れ ※本システム連携にはアライドテレシス社の特許技術を使用

Slide 37

Slide 37 text

Slide 38

Slide 38 text

© NTT Communications Corporation All Rights Reserved. 38 まとめ ⚫ 制御システムのネットワーク化・デジタル化に伴い、IT環境のみならずOT環境も被害に遭う時代に ⚫ 大手企業だけではなく、サプライチェーン全体が攻撃対象に ⚫ OT環境のセキュリティ対策として、可視化と検知を行うOT向けIDSが有効だが、課題も多い ⚫ NTT Comはお客様/パートナー様からの要望を取り入れながら、 OT向けIDS「OsecT」を開発、安価に提供