プレス発表
制御機器の脆弱性に関する注意喚起
〜制御システムへの攻撃ルートの分析とセキュリティ対策の検討を！〜
2012年2月29日
独立行政法人情報処理推進機構
>> ENGLISH
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、複数の制御機器の脆弱（ぜいじゃく）性情報の公表を受け、制御システム運用者に注意を呼びかけるため、注意喚起を発することとしました。
従来、制御システムは外部ネットワークに接続されていないため、比較的安全と考えられていました。しかし、制御システムはオープン化やネットワーク利用が進みつつあり、また制御機器自体の脆弱性も発見されるようになり、制御システムへのサイバー攻撃も現実のものになりつつあります。
2012年1月には、工場の生産ライン、電力や化学プラント、重要インフラ等で使用される複数社の制御機器PLC（Programmable Logic Controller）において、複数の脆弱性（バックドア、暗号や認証不足、弱いパスワード等）が公開されました。
URL： http://www.us-cert.gov/control_systems/pdf/ICS-ALERT-12-020-01.pdf
また、これらの脆弱性においては、実際の攻撃に悪用可能な実証コード(*1)も公開されています。
これらの脆弱性を狙われて攻撃されてしまうと、制御機器を外部から不正操作されてしまう可能性があります。また、公開された実証コードとの関連は不明ですが、海外では脆弱性が発見された機器において動作不良や異常動作と思われる事象も報道されています。
制御システムを利用している企業等では、既知の脆弱性によって攻撃されることの無いよう、下記の項目について確認するとともに、機器の開発ベンダーの情報を注視し、適切な対応を検討・実施してください。
制御システムにおけるセキュリティ対策のための確認
1. 悪用可能な実証コードが発表された脆弱性の制御機器の有無の確認
米国ICS-CERT(*2)の注意喚起によれば、日本および欧米のメーカーの5社、6製品について攻撃に悪用可能な実証コードが公開されています。該当製品の利用有無を確認してください。
2. 外部からの接続ルートの存在と分析 （特に1．に示した制御機器が有る場合）
対策パッチの適用が難しい場合、制御機器に外部から攻撃できるようなルートが無いか、ネットワーク環境について確認してください。
- 制御機器の管理のために、インターネットからの接続が可能になっていないか。
- 制御機器に対して、組織内のPCからの接続が可能になっていないか。
- 従業員が持ち込んだルーターやハブ等のネットワーク機器が使用されていないか。
- 組織内で使用する無線LAN等が外部から接続できる状態になっていないか。
- USBメモリー等の外部記憶媒体の利用が可能となっていないか。
（利用する場合のポリシーは整備されているか）
3．（2．が存在した場合）対策の検討・実施
業務上、2.で挙げた項目が必要な場合、ベンダー等と相談をし、下記のような対策を実施してください。
- 通信経路における不正なアクセスの遮断（ファイアウォール、IDS/IPSの適用等）
- 通信経路上におけるデータの暗号化とアクセス元の制限、認証
- 情報システム（サーバーやPC）へのタイムリーな脆弱性対策パッチ適用
- 制御機器ベンダーから脆弱性対策パッチが提供された場合は、その適用の検討
- 情報システムと制御システム双方のトータルな対策の検討
脚注
プレスリリースのダウンロード
本件に関するお問い合わせ先
IPA 技術本部 セキュリティセンター 小林／金野／相馬
Tel: 03-5978-7527 Fax: 03-5978-7518 E-mail:
報道関係からのお問い合わせ先
IPA 戦略企画部 広報グループ 横山／大海
Tel: 03-5978-7503 Fax: 03-5978-7510 E-mail: 