ヴィク・ホワン&ソル・ヤン【CODE BLUE SPEAKER インタビュー】
[Speaker interview, English follows]
工場で警報-0から100、OTの脅威エミュレーション
今回は「工場で警報-0から100、OTの脅威エミュレーション」の講演を予定されるヴィク・ホワン（Vic Huang、写真左）氏とソル・ヤン（Sol Yang、写真右）氏に話を伺いました。
https://codeblue.jp/2022/talks/?content=talks_14
お二方ともに台湾の研究者です。ヴィク・ホワン氏は、CODE BLUE 2020、2021に続き3度目の登壇です。以前の2回は、技術とプライバシーに関する講演でしたが、今回のテーマはICSのセキュリティです。
ご存じのとおりICSとはIndustrial Control Systemの略で、文字通りに訳せば産業用制御システムとなります。そして、タイトルにあるOTとはOperational Technologyのことであり、ICSを制御・運用するための技術です。
講演では、ICSマルウェアを｜MITRE《マイター》が定義したガイドラインを元に分析し、さらにCalderaなどのサイバーセキュリティ・フレームワークを使い、擬似的に攻撃を再現する試みが紹介されるといいます。
―― 発表されるテーマを始めたきっかけは何ですか？
ホワン氏&ヤン氏：私の経験では、工場の資産に対するペネトレーションテストでは、いくつかの繰り返しの作業があります。そのため、いくつかのステップを簡略化し、自動化することができればと考えたのです。ペネトレーションテストの質はペンテスターに依存します。しかし、ITとOTの両方の領域に精通した人はほとんどいません。
Metasploitのようなツールやスクリプトも存在しますが、それらは攻撃フロー全体の一部しかカバーしていません。ペンテスターは自分の知識に応じてさまざまなツールを選択しなければならないのです。
私たちはこの問題を解決し、包括的なソリューションを提供したいと考えています。一般的な攻撃フローを自動化し、ペンテスターに判断を委ねるだけでなく、ペンテスターがステップを切り替えたり、手動でコマンドを追加したりできるようにします。
―― この研究を行う上で、障害となったことは何ですか？
ホワン氏&ヤン氏：テストベンチについてですが、ICSの装置は高価です。各プロトコル、各ブランドのテスト装置を用意するのは困難です。シミュレーターにも限界があり、すべてのプロトコルにオープンソースのシミュレーターがあるわけではありません。また、ICSの中にはプライベートなプロトコルのものもあり、シミュレーターを探すのは大変でした。
自動化については、プロトコルのデザインパターンによって、特殊なもの、カスタマイズされたコンフィギュレーションを使用するものがあります。例えば、ブラインドアタッカーにとって、タグの値が何を表しているのかを理解するのは容易ではありません。そのため、完全な自動化ではなく、ユーザーが攻撃方法をカスタマイズできるような柔軟性を持たせる必要もありました。
―― この講演に参加しようと思っている人たちに一言お願いします。
ホワン氏&ヤン氏：私たちは、ICSセキュリティについて、より多くの人に紹介し、ICSプロトコル、ICSマルウェア、10年のトレンドについての知識を共有したいと思います。私たちは、より多くの人々が私たちに参加し、ICSセキュリティのより多くの興味深いものを見つけることができることを願っています。
“Red light in the factory - From 0 to 100 OT adversary emulation”
―― How did you get started in the topic that you are presenting?
In my experience in penetration testing on the factory assets , there is some repetitive work. I hope I can simplify some steps and automate them.
The quality of penetration testing depends on the pentester , but there are few pentesters that have knowledge on both IT and OT domains.
There are some tools or scripts like metasploit but it only covers parts of the whole attack flow. Pentesters still have to pick different tools according to their knowledge.
We want to solve this issue and provide a general solution. Automate the general attack flow and make decisions for the pentester, but also allow the pentester to switch steps or add manual commands.
―― What were some of the obstacles in doing this research?
About the test bench ,ICS devices are expensive. It is hard to have a test device on each protocol and each brand. Simulators have their limitations and not every protocol has open sourced simulators.
Also, some ICS devices are running private protocols , so it's difficult to find simulators.
About the automation depends on different types of protocol design pattern, some of them are special or using custom configuration. For example , for a blind attacker, it's not easy to figure out what the tags value are representing . We have to make it flexible for users to customize their attack flow at the same time instead of fully automating without any flexibility.
―― What would you say to the people thinking of attending this talk?
We would like to introduce ICS security to more people, share the knowledge about ICS protocols , ICS malwares and the trend in the decade. We hope more people can join us , Find more interesting things in ICS security.
世界トップクラスの専門家による情報セキュリティ国際会議「CODE BLUE（コードブルー）」
インタビュイー
ヴィク・ホワン - Vic Huang
UCCUハッカー / メンバー
Web/Mobile/Blockchainのセキュリティとプライバシーの問題に興味がある。
CODE BLUE、HITB、HITCON、Cybersecで何度か研究成果を発表している。
English Profile
ソル・ヤン - Sol Yang
アソシエイトエンジニアIII
彼はセキュリティエンジニアとして働いており、OTセキュリティ、暗号、マルウェアに関心がある。
以前、Cybersecに関する研究を紹介した経験あり。.
English Profile
インタビュワー
斉藤健一（さいとうけんいち）Kenichi Saito
元ハッカージャパン編集長。現在フリーライター。CODE BLUEをはじめ、セキュリティ業界を徘徊しています。日本ハッカー協会や企業のオウンドメディアなどでも活動。
Twitter : @hj_saito