NECソリューションイノベータ株式会社　藤本万里子です。
本稿は、計装2023年7月号「データ連携とグローバル化」に掲載した原稿を加筆・修正したものです。
制御システム(Industrial Control System 以下、ICS)のオープン化や他システムとの相互接続等に伴い、ICSに対するサイバーセキュリティリスクが高まっています。しかし、ICSにおいては、机上でのリスク分析やセキュリティ対策の導入にあたる評価が難しい場合があります。
机上分析は、比較的低コストで対象全体に対する分析が可能であり、想定リスクを網羅的に評価できるメリットがある一方、サイバー攻撃を受けた際に物理世界にどのような影響があるのかを正確に予測することは難しいです。シミュレータを使う方法もありますが、全てのハードウェアの挙動を正しくシミュレートできるとは限りません。
そこで有効なのが、物理世界への影響をクリアにする模擬攻撃 (ペネトレーションテスト)です。IEC62443等ICSのセキュリティ規定でも、ペネトレーションテストの必要性が述べられています。本稿では、ICSに対するペネトレーションテストのポイントや活用方法について記述します。

本コラムでご紹介している内容のまとめ

ペネトレーションテストとは

ペネトレーションテストは、セキュリティテストの1つであり、脆弱性やセキュリティ不備を悪用して機器やシステムに侵入し、悪意ある操作を実施できるかを確認するテストです。表1は代表的なセキュリティテストの例です。
脆弱性診断は、対象にどのような脆弱性が存在するかを知ることができますが、それらを悪用する攻撃を受けた場合の具体的影響を知ることは難しいです。ファジングテストは、問題が起きそうなデータを多数パターン入力する試験で、バグの一種として脆弱性が見つかる場合もありますが、セキュリティに特化したテストではなく、異常系試験の効率化が主目的です。
一方、ペネトレーションテストは、攻撃が行われた場合に機器やシステムにどのような影響があるかを明らかにし、適切な対策を検討することを目的としています。どれが優れている、どれかを実施すれば良いというものではなく、目的と効果が異なるため、組み合わせることでセキュリティを向上させることが可能です。

表1：代表的なセキュリティテストの特徴

関連する規格・ガイドライン

ICSセキュリティに関するガイドラインやフレームワークが普及しつつあります。本章ではペネトレーションテストと関係性が深いICSセキュリティに関するガイドラインや規約の例を紹介します。

IEC62443

IEC62443はICSセキュリティの国際規格です。対象によって複数の規格が存在し、4-1の規格では、製品を安全に開発するためのライフサイクルの要求事項を定めています。その中で、セキュリティテストの要求事項も述べられており、セキュリティ機能のテスト、脅威に対する緩和策のテスト、脆弱性診断、ペネトレーションテストなどを実施することが要求されています。それらテストの中で、ペネトレーションテストについては、製品開発者とは独立した部門または組織による実施が要求されています。

ICS Cyber Kill Chain

サイバーキルチェーンは攻撃の段階を把握し、適切な対策を検討するためのモデルであり、ペネトレーションテストにおける攻撃フローの検討に有効です。SANS InstituteはICSに対するサイバーキルチェーン「The Industrial Control System Cyber Kill Chain」を定義しており、ITネットワークを起点としてICSネットワークが侵害されるステップを定義しています(図1・表2)。

表2：ICS Cyber Kill Chainのステップ

ATT&CK for ICS

ATT&CK はMITRE によって定義された攻撃者の戦術とテクニックの知識ベースであり、攻撃戦術や手法の検討に有効です。そのICS版であるATT&CK for Industrial Control Systems (以下ATT&CK for ICS)には、ICSに対する攻撃戦術、攻撃手法、利用できるツール、対応する対策が挙げられており、手法の検討の他、対応する対策の検討などに広く役立ちます。

ペネトレーションテストのポイント

ICSに対するペネトレーションテストのユースケースは幾つかあります。まず、自社開発製品に対して開発工程終盤でペネトレーションテストを実施することで、出荷までに優先的に実施すべき対策を洗い出すことができます。また、工場の増設やネットワークの構成変更を行う際に、工場ネットワークに対してペネトレーションテストを実施することで、侵入経路や感染経路を特定できます。また、ペネトレーションテストで記録される具体的な攻撃の痕跡を調査することで、監視やインデント対応にも活用できます。本章では、ICSに対するペネトレーションテストのポイントを述べます。

ITのペネトレーションテストとの違い

一般的なITシステムとICSに対するペネトレーションテストでは、共通点もある一方で異なる点もあり、注意が必要です。

実施の流れ

ペネトレーションテスト実施の流れを図2に示します。

テストシナリオ検討のポイント

前提条件、ゴールに基づいて、テストシナリオ（攻撃ステップ）、手法、使用ツールなどを検討します。
図3は、ATT&CK for ICSに基づく攻撃シナリオの検討例です。事業システムネットワークにあるPCがマルウエアに感染し、そのPCを起点に侵害範囲が拡大、ゴールは、コントローラと接続されているアクチュエータの不正操作および監視の妨害とします。

表3は、ICSで見られる一般的な脆弱性と対応する攻撃手法の例です。

表3：脆弱性と攻撃手法の例

テストで活用できる無償ツール

参考として、ICSのペネトレーションテストで活用できるOSSまたは無償のツール例を紹介します。

表4：テストで活用できる無償ツール例

テスト結果の整理と対策の検討

テスト結果の整理方法と、対策検討のポイントについて記述します。

表5：リスクレベルの定義例

表6はテスト結果の整理例です。

表6：テスト結果の整理例

終わりに～当社が提供できるもの

ICSに対するペネトレーションテストは、攻撃手法等に関する知識等の他にICSプロトコルの知識等、高度な技術が必要となります。当社では「NEC 制御システムペネトレーションテスト」を提供しており、テストに加えて、脅威分析や検出されたリスクに対するセキュリティ対策のご支援など、お客様に寄り添ったソリューションを幅広く提供しています。本サービスにご関心のある方は、当社までお気軽にお問い合わせください。

計装2023年7月号に関連記事掲載
掲載日：2023年6月28日