可視化なくして防御なし：OT-IDSで始める制御ネットワークのセキュリティ対策 / No Defense Without Visualization! Let's Start Security Measures for Control System Network with OT-IDS

Slide 1

Slide 1 text

Slide 2

Slide 2 text

© NTT Communications Corporation All Rights Reserved. 3 自己紹介加島伸悟（かしましんご）所属・役職 NTTコミュニケーションズ株式会社 • イノベーションセンターテクノロジー部門担当部長 • マネージド＆セキュリティサービス部セキュリティサービス部門セキュリティ・キャンプ協議会理事略歴 • 広域イーサネットサービスの技術＆商用開発 • フロー監視（xFlow）の技術開発＆国際標準化 • NTTグループ全体のセキュリティガバナンス • 制御システムセキュリティの技術開発・サービス開発 • OsecTシリーズのプロダクトオーナー

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

© NTT Communications Corporation All Rights Reserved. 11 OTシステムへの攻撃事例 | ランサムウェア感染 ⚫ 制御システムのネットワーク化・デジタル化に伴い、IT環境のみならずOT環境も被害に遭う時代に ⚫ 大手企業だけではなく、サプライチェーン全体が攻撃対象に港湾システムランサムウエアに感染した影響で、 2日半にわたりコンテナ搬出入が停止。物流が止まったことに伴い、自動車会社が一部ラインを停止。（2023年@日本）自動車製造（グループ従業員20万人） EKANSまたSNAKEに感染した影響で、自動車工場2拠点の出荷が一時停止。海外にも感染が波及し、海外 9拠点の生産が1~3日間停止。（2020年@日本）金属製品メーカ（従業員100人） PCとサーバの合計25台がAvaddon に感染。データ復旧作業や感染経路の調査のため、業務の完全正常化まで1ヶ月以上を要した。（2021年@日本）アルミニウム製造（従業員2万人） LockerGogaに感染し、一部生産、オフィス業務に影響。プラントは影響拡散防止のためシステムから分離。被害は最初の1週間で3億円以上と推定（2019年@ノルウェー）

Slide 8

Slide 8 text

© NTT Communications Corporation All Rights Reserved. 12 OTシステムへの攻撃事例 | OT特化型マルウェア Time discovered Stuxnet Triton/Trisis /HatMan Industroyer / CrashOverRide Havex BlackEnergy2,3 Irongate PLC-Blaster VPNFilter Shneider Electric製安全計装システム Triconex 産業用プロトコル Modbus 産業用プロトコル（電力等） IEC 60870-5-101/104 IEC 61850, OPC DA OPC Classic 産業用プロトコル EtherNet/IP等 GE製 CIMPLICITY等 Siemens製 SIMATIC WinCC/PC7, STEP 7 Snake ransomware / Ekans Honeywell製 HMI Webアプリ等 Industroyer2 INCONTROLLER/ PIPEDREAM OPC UAサーバ Schneider PLC (Modbus/Codesys) Omron PLC (HTTP/FINS) COSMICENERGY 産業用プロトコル IEC 60870-5-104 S7 Simulator S7 PLC 産業用プロトコル IEC 60870-5-104 2010 2011 2014 2015 2016 2017 2018 2019 2020 2021 2022 2023 2024 FrostyGoop Fuxnet 産業用プロトコル Modbus 遠隔検針用プロトコル Meter-Bus ：悪用を確認：研究用途の可能性

Slide 9

Slide 9 text

© NTT Communications Corporation All Rights Reserved. 15 OTシステムのサイバーリスク情報系ネットワーク制御情報ネットワーク制御ネットワークフィールドネットワーク外部からの不正アクセスマルウェア感染情報系ネットワーク経由の不正アクセス・マルウェア感染リモートメンテナンス等によるマルウェア感染従業員のセキュリティ意識管理されていないIT機器セキュリティポリシーの不備可搬媒体からのマルウェア感染ランサムウェアによる事業継続リスクセキュリティインシデント時の対応 VPNの脆弱性による不正アクセス、マルウェア感染 VPN マルウェアの内部拡散 DCS PLC DCS PLC 工場等マルウエア対策のないクローズド環境の端末管理されていないインターネット・リモートアクセスポイント

Slide 10

Slide 10 text

© NTT Communications Corporation All Rights Reserved. 16 OTシステムのサイバーリスク・対策情報系ネットワーク制御情報ネットワーク制御ネットワークフィールドネットワーク外部からの不正アクセスマルウェア感染情報系ネットワーク経由の不正アクセス・マルウェア感染リモートメンテナンス等によるマルウェア感染従業員のセキュリティ意識管理されていないIT機器セキュリティポリシーの不備可搬媒体からのマルウェア感染ランサムウェアによる事業継続リスクセキュリティインシデント時の対応 VPNの脆弱性による不正アクセス、マルウェア感染 VPN マルウェアの内部拡散 DCS PLC DCS PLC 工場等コンサルティング凡例製品・サービス教育・訓練セキュリティポリシー策定支援 OTネットワーク可視化 OTシステム向けIDS セキュアネットワーク構築セキュアリモートアクセスセキュアリモートアクセス可搬型記憶媒体のマルウエア検査リスクアセスメント OTネットワーク可視化セキュリティ監視 OTセキュリティ教育セキュアデータバックアップ OTセキュリティ教育セキュリティ体制構築支援インシデント対応訓練セキュリティ監視セキュアネットワーク構築マルウエア対策のないスタンドアローン端末オフラインでのマルウエア検査 OT向けセキュリティ監視

Slide 11

Slide 11 text

© NTT Communications Corporation All Rights Reserved. 17 リスクへの効果的なアプローチ OTネットワーク可視化 OT-IDS（OTシステム向けIDS）等を用いて、OTネットワークの資産や通信を可視化し、不正アクセスやマルウェア感染等につながるリスクを把握セキュアネットワーク構築不要な資産を取り除き、資産管理体制を整備した上で、ファイヤウォール、UTM等でネットワーク分離、アクセス制御を行い、侵入や拡散を防ぐ OT向けセキュリティ監視 OT-IDS（OTシステム向けIDS）を用いて、OTネットワークの内部通信を監視し、不正アクセスやマルウェア感染やそれらにつながる事象を早期に検知同時に、資産や通信状況を確認し、ファイアウォールの設定を見直し

Slide 12

Slide 12 text

Slide 13

Slide 13 text

© NTT Communications Corporation All Rights Reserved. 21 OTシステムとITシステムにおける要件のギャップ項目制御システム（OT）情報システム（IT）セキュリティの優先順位追加要件保護対象システム更新サイクル通信 1. 可用性（Availability） 2. 完全性（Integrity） 3. 機密性（Confidentiality） 1. 機密性（Confidentiality） 2. 完全性（Integrity） 3. 可用性（Availability） • 健康（Health） • 安全（Safety） • 環境（Environment） • モノ（設備、製品）、サービス（操業） • 10～20年+ • 3～５年 • 標準通信プロトコル＋独自通信プロトコル • 平文通信・パスワード等の簡易な認証 • 標準通信プロトコル • 暗号通信・暗号技術による認証有りｰ • データ（個人情報等） OS更新・パッチ適用 • 一般的でない • オンラインでの定期・随時更新ウイルス対策 • 一般的でない • 端末へのアンチウイルス、EDRの導入

Slide 14

Slide 14 text

© NTT Communications Corporation All Rights Reserved. 22 制御システム向けセキュリティ製品の要件セキュリティ対策の導入によりシステムへの影響があってはいけない既存端末へのランサムウェア対策のソフトウェア（アンチウィルスソフト、 EDR等）の導入が難しい脅威情報が公開されないためパターンマッチ型の脅威検知が適合しにくい機器・端末の状態を把握していない安定稼働最優先最新の脅威への対応資産管理

Slide 15

Slide 15 text

© NTT Communications Corporation All Rights Reserved. 23 制御システム向けセキュリティ製品 OT-IDS 安定稼働最優先 ✓ ネットワーク型（端末導入型ではない） ✓ パッシブ型（インライン型ではない） ✓ 検知まで（遮断まではしない）最新の脅威への対応 ✓ 学習ベースの脅威検知（システムや業務への理解無しに正常/異常通信の区別が困難という別の課題あり）資産管理 ✓ 充実した可視化機能 IDS (Intrusion Detection System) 不正侵入検知システム → パッシブ型・・・OTへの適用事例が多い IPS (Intrusion Prevention System) 不正侵入防止システム → インライン型・・・ITへの適用事例が多いミラーリング

Slide 16

Slide 16 text

Slide 17

Slide 17 text

© NTT Communications Corporation All Rights Reserved. 28 国産 OT-IDS 「OsecT」 OsecT（オーセクト）は、ISP/Tier1大規模ネットワークにおけるDDoS対策で培った通信フロー解析技術や東京2020オリンピック・パラリンピック競技大会を支えた通信インフラ向けのリスク可視化技術など、NTT 研究所の技術を基にNTTコミュニケーションズが製品化したOTシステム向けIDSです。 OTネットワーク可視化サイバー脅威の早期検知さまざまな角度から分析した接続端末や通信をOsecT SaaS 環境のポータル画面で確認できます。不審な端末や未知の通信などのサイバー脅威を早期に発見し、アラートを通知します。

Slide 18

Slide 18 text

© NTT Communications Corporation All Rights Reserved. 29 OsecTの構成お客様環境スイッチ工場（OT環境） OsecT センサー LTE スイッチ工場（OT環境） OsecT センサー LTE OsecT SaaS環境セキュリティ監視 Webポータルセンサー LTE用USB端末 SIMカード OsecT3点セット [NEW] 国産PC Type N※1 （NEC-PF製） Type D （DELL製）

Slide 19

Slide 19 text

© NTT Communications Corporation All Rights Reserved. 30 国産 OT-IDS 「OsecT」の特徴低価格な月額料金でご利用いただけます。 ※月額料金には無線通信回線やポータルの利用料も含まれています。お客様環境スイッチ工場A（OT環境） OsecT センサー LTE スイッチ工場B（OT環境） OsecT センサー LTE セキュリティ担当者データ可視化分析 OsecT SaaS環境アラート通知現状の把握セキュア回線でデータアップロード ① 低価格 ② 簡単導入 OsecTセンサーを工場内のスイッチのミラーポートに接続するだけで準備完了。 OsecTセンサーからOsecT SaaS環境へのデータアップロード用の無線通信回線が付属しているため、新たなネットワーク工事は不要です。センサーからSaaSへの通信は当社閉域網を利用するため、 ASM (Attack Surface Management：外部から攻撃を受ける可能性のある対象領域の管理)不要です。セキュリティ監視状況はOsecT SaaS環境のWebポータルで確認できます。遠隔地のセキュリティ担当者が各工場を一元監視することもできます。 ③ セキュリティ管理不要 ④ SaaSによる一元管理セキュリティ運用支援サービスの付帯が可能です。（2025年7月提供開始） ⑤ セキュリティ運用支援の付帯

Slide 20

Slide 20 text

© NTT Communications Corporation All Rights Reserved. 31 特徴① OTシステムIDSとしては廉価 ⚫ 初期導入費用は海外製品の数分の一（同一台数の場合） ⚫ 小規模ネットワーク構成でも導入し易い価格設定です。初年度（Type N） ¥1,430,000（初期：¥350,000 月額：\90,000） ※1 初年度（Type D） ¥1,330,000（初期：¥250,000 月額：\90,000）次年度 \1,080,000 ※1セットの税別価格費用に含むもの・初期：センサーHW、LTE用USB端末、SIMカード・月額：Webポータルご利用、通信費用費用に含まないもの・導入支援、セキュリティ運用支援※2 等 ※2: オプションサービスとして、セキュリティ運用支援をご提供可能です ※1 センサーHWのライナップ追加に伴い初期費用を改訂予定（2025年7月1日）

Slide 21

Slide 21 text

© NTT Communications Corporation All Rights Reserved. 32 特徴② 簡単導入 ⚫ センサー機器をスイッチ等のミラーポートに接続するだけ ⚫ OsecTセンサーで取得した情報のアップロードにはNTT閉域モバイル通信を用いるため、ネットワークの設計やVPN機器の設置は不要お申し込み OsecT3点セットのお受取り・開封 3点セットの接続・設置スイッチの設定・3点セットの接続（NTT Comにて機器の設置を確認後、開通工事を行います。）設定完了の確認 3点セット（センサー端末＋LTE用USB端末＋専用SIMカード）がご指定の住所に届きます 1 5 4 3 2 シンプルなお申込書マニュアル・お客様サポート窓口完備！マニュアル・お客さまサポート窓口完備！ Webポータルにログインセンサー LTE用USB端末 SIMカード OsecT3点セット [NEW] 国産PC Type N※1 （NEC-PF製） Type D （DELL製） ※1 センサーHWのライナップ追加予定（2025年7月1日）

Slide 22

Slide 22 text

© NTT Communications Corporation All Rights Reserved. 33 特徴③ セキュリティ管理不要 ⚫ WebポータルはSaaSに一元化センサーからSaaSへの通信は当社閉域網を利用するため、 ASM（Attack Surface Management, 外部から攻撃を受ける可能性のある対象領域の管理）不要お客様環境スイッチ工場（OT環境） OsecT センサー LTE OsecT SaaS環境セキュリティ監視 Webポータル直接閉域接続

Slide 23

Slide 23 text

© NTT Communications Corporation All Rights Reserved. 34 特徴④ SaaSによる一元管理 ⚫ セキュリティ監視状況はOsecT SaaS環境のWebポータルで確認可能 ⚫ 遠隔地のセキュリティ担当者が各工場を監視することもできます A工場 LTE OsecT SaaS環境セキュリティ監視 B工場 LTE C工場 LTE 本社セキュリティ担当者 Webポータル

Slide 24

Slide 24 text

© NTT Communications Corporation All Rights Reserved. 35 特徴⑤ セキュリティ運用支援の付帯 ⚫ 重要なアラートをわかりやすくメール通知 ⚫ アラートについてのお問い合わせをWEBポータルにて回答 ⚫ OsecTのレポートをお客様に代わり毎月出力しメールで通知すると同時に、直近のセキュリティ時事情報や注目すべきニュースも合わせてお届け OsecT SaaS環境セキュリティ監視セキュリティ担当者 Webポータル ? ポータルで疑問点を問い合わせ

Slide 25

Slide 25 text

Slide 26

Slide 26 text

© NTT Communications Corporation All Rights Reserved. 37 可視化 -端末- 多角的な端末の可視化、ネットワークマップ、2つ期間のネットワークの構成差分の可視化によって、OT ネットワーク環境を視覚的に把握し、資産管理や新たに接続された端末の特定を行うことで、対策強化や有事の際の対応に役立てていただけます。 • 自動で端末情報を一覧化 • 端末一覧をCSVファイルで出力し、台帳として利用可能端末一覧 • 生存端末を16x16のマトリックス形式で可視化 • ベンダ/OS/役割に応じた色分けによって俯瞰した分析が可能端末マトリックス

Slide 27

Slide 27 text

© NTT Communications Corporation All Rights Reserved. 38 可視化 -端末・ネットワーク- 多角的な端末の可視化、ネットワークマップ、2つ期間のネットワークの構成差分の可視化によって、OT ネットワーク環境を視覚的に把握し、資産管理や新たに接続された端末の特定を行うことで、対策強化や有事の際の対応に役立てていただけます。 • 端末の通信接続関係をマップ形式で可視化 • 表示データは画像で出力可能ネットワークマップ • 2つの期間の端末・ネットワークの構成差分を可視化 • 新たに接続された端末の特定が可能差分分析端末属性の変化（例: 利用ポートの変化）消失端末新規接続端末 ◯消失端末 ◯新規接続端末左右を見比べて、端末の接続・消失、端末属性（OS、ベンダ、役割）の変化を確認

Slide 28

Slide 28 text

© NTT Communications Corporation All Rights Reserved. 39 可視化 -ネットワーク- 端末やサービスの利用トラフィック量、接続端末数などの傾向の可視化、ネットワークにおける影響度の高い端末を特定することで、対策強化や有事の際の対応に役立てていただけます。 • ネットワークの負荷（使用帯域）を可視化 • ループ等による帯域圧迫を発見トラフィック • 接続端末数/トラフィック量が多い端末/サービスを可視化 • OTネットワークの傾向を把握可能ランキング

Slide 29

Slide 29 text

© NTT Communications Corporation All Rights Reserved. 40 台帳連携 -端末管理やアラート対応の効率化- 既存の資産管理ソフトから台帳データを取り込むことで、OsecTの各種機能と連携し、端末管理や不審端末の検出時の業務の効率化に役立てていただけます。端末情報を端末一覧やネットワークマップと連携端末設置場所や設置時期などの情報も併せて表示台帳情報を新規端末検知機能と連携アラート画面に台帳有無を表示端末情報に基づくメール通知の発出条件を設定可能端末一覧/ネットワークマップ機能との連携新規端末検知機能との連携

Slide 30

Slide 30 text

© NTT Communications Corporation All Rights Reserved. 41 アセスメントボタン一つでネットワークに接続されている資産やリスクの可視化レポートを出力、ポイントを絞ったレポートにより、対策強化や改善の優先順位付けや有事の際の対応に役立てていただけます。ボタン一つでレポート出力端末資産やサポート切れのOS端末を一覧化編集可能なパワーポイント形式で出力トラフィック量や平文通信、RDP通信なども可視化アセスメント機能アセスメントレポートファイル

Slide 31

Slide 31 text

Slide 32

Slide 32 text

© NTT Communications Corporation All Rights Reserved. 43 導入事例 ⚫ 月額サブスク型の特徴を活かしたワンショットや定期診断用途での導入が先行 ⚫ 近年は製造業や物流等におけるグループ企業の常時監視用途での導入が進むデータセンター • 親会社のガイドラインに従って物理セキュリティを中心に対策していたが、ネットワークのセキュリティは未着手だった • OsecTを使った現状把握と常時監視を実施工場（電気機器, 従業員1万人） • セキュリティ対策が各工場任せだったところをグループで統一 • 統一施策の手始めとして、 OsecTを使った現状把握を実施 • 情シス子会社での外販ビジネスにも活用工場（電機, 従業員3万人） • 情シス部門により定期的な資産台帳情報提出が義務化 • 生産技術部門による資産台帳の作成業務の効率化のためOsecT を活用工場（化学, 従業員3万人） • 手付かずだった工場セキュリティをトップダウンで開始 • 施策の手始めとして、OsecTを使った現状把握を実施

Slide 33

Slide 33 text

Slide 34

Slide 34 text

© NTT Communications Corporation All Rights Reserved. 45 OTシステムのサイバーリスク・対策（再掲）情報系ネットワーク制御情報ネットワーク制御ネットワークフィールドネットワーク外部からの不正アクセスマルウェア感染情報系ネットワーク経由の不正アクセス・マルウェア感染リモートメンテナンス等によるマルウェア感染従業員のセキュリティ意識管理されていないIT機器セキュリティポリシーの不備可搬媒体からのマルウェア感染ランサムウェアによる事業継続リスクセキュリティインシデント時の対応 VPNの脆弱性による不正アクセス、マルウェア感染 VPN マルウェアの内部拡散 DCS PLC DCS PLC 工場等コンサルティング凡例製品・サービス教育・訓練セキュリティポリシー策定支援 OTネットワーク可視化 OTシステム向けIDS セキュアネットワーク構築セキュアリモートアクセスセキュアリモートアクセス可搬型記憶媒体のマルウエア検査リスクアセスメント OTネットワーク可視化セキュリティ監視 OTセキュリティ教育セキュアデータバックアップ OTセキュリティ教育セキュリティ体制構築支援インシデント対応訓練セキュリティ監視セキュアネットワーク構築マルウエア対策のないスタンドアローン端末オフラインでのマルウエア検査 OT向けセキュリティ監視

Slide 35

Slide 35 text

© NTT Communications Corporation All Rights Reserved. 46 OsecT SRA IIJ様との協業により、セキュアリモートアクセスとOT-IDSを一元提供（2025年9月提供開始予定） OTシステム Safous App Gateway / OsecT IDS OsecT IDS Remote Sensor 機器メンテナンス通信メンテナンス担当者セキュリティ担当者 Safous Global POP スイッチミラートラフィック IDS Sensor 通信 PLC/RTU 等 SRA: 安全なリモートアクセス SRAとOT-IDSの一元提供 • 可視化/脅威検知機能とリモートアクセス機能を1つのSaaSで利用可能 • SaaSでありながら、クラウドへのデータ蓄積なし • 予め許可されたアプリケーションに許可された権限でリモートアクセス • 細やかなアクセス権限の設定、共通パスワードの秘匿、アクセス承認管理、操作履歴の録画保存 • 国内通信事業者2社の協業により、海外製のSRAとOT-IDSを別々に導入するよりも安価なソリューションを実現 OT-IDS: OT可視化と脅威検知低価格 • 可視化/脅威検知機能とリモートアクセス機能を1つのSaaSで利用可能 • SaaSでありながら、クラウドへのデータ蓄積なし

Slide 36

Slide 36 text

Slide 37

Slide 37 text

© NTT Communications Corporation All Rights Reserved. 48 おわりに ⚫ 制御システムのネットワーク化・デジタル化に伴い、IT環境のみならずOT環境も被害に遭う時代に ⚫ 大手企業だけではなく、サプライチェーン全体が攻撃対象に ⚫ OT環境のセキュリティ対策として、可視化と検知を行うOT向けIDSが有効 ⚫ NTT Comはお客様/パートナー様からの要望を取り入れながら、 OT向けIDS「OsecT」を開発、安価に提供