<p><!-- metadata type: article topic: Security Vulnerability Assessment, CVSS v4.0, OT/ICS Security date: 2024-07-25 author: CSIRT-Engineer-Bot draft: true --> 本記事は<strong>Geminiの出力をプロンプト工学で整理した業務ドラフト（未検証）</strong>です。</p> <h1 class="wp-block-heading">CVSS v4.0が変えるOTセキュリティ評価：ICS環境における深刻度決定の再定義と実践</h1> <h2 class="wp-block-heading">【脅威の概要と背景】</h2> <p>2023年11月にNISTが公開したCVSS v4.0は、特にOT環境の安全性（Safety）と可用性（Availability）を正確に反映し、スコアリングの曖昧さを解消します。</p> <p>CVSS (Common Vulnerability Scoring System) の最新版であるv4.0は、従来のv3.1で課題となっていた「環境固有の影響度」と「時間の経過による脅威の変化」をスコアリングに組み込むことで、より実態に即したリスク評価を可能にしました。特に、産業制御システム（ICS）やOT環境では、脆弱性の悪用が人命に関わる安全性（Safety）の損失や、プロセス停止による重大な可用性（Availability）の低下に直結します。CVSS v4.0では、これらの影響を補助メトリクスとして明確に指定できるため、ICS/OT環境における脆弱性対応の優先順位付けとリソース配分が大幅に見直される必要があります。</p> <h2 class="wp-block-heading">【攻撃シナリオの可視化】</h2> <p>CVSS v4.0の評価が特に重要となる、OT環境のPLC（プログラマブルロジックコントローラ）を標的としたサイバー・フィジカル攻撃のキルチェーンをモデル化します。</p> <div class="wp-block-merpress-mermaidjs diagram-source-mermaid"><pre class="mermaid"> graph TD A["外部ネットワーク"] -->|リモートアクセス| B("OT/IT境界ルータの脆弱性悪用") B --> C{"OTネットワークへの侵入・横展開"} C --> D["HMI/SCADAサーバへの認証情報窃取"] D --> E["PLC/RTUへの不正コマンド挿入"] E --> F("(プロセスのSafety停止/物理的改ざん")) F --> G["重大な物理的被害: 装置損傷, 人員危険"] style G fill:#f99,stroke:#333,stroke-width:2px </pre></div> <p>解説：攻撃者は、境界防御の脆弱性（B）を突破し、OT内部の制御層（D, E）へ到達します。CVSS v4.0では、最終段階Eで引き起こされる影響（Safety Loss, Availability Loss）が、補助メトリクスによって明確に高い評価を受けるため、リスク対応の優先度が従来よりも高くなります。</p> <h2 class="wp-block-heading">【安全な実装と設定】</h2> <p>CVSS v4.0の高いリスク評価に耐えうるOT環境のセキュリティアーキテクチャは、最小権限と厳格なネットワーク分離に基づきます。以下に、CVSS v4.0評価で高リスクとなる資産へのアクセス制御の強化例を示します。</p> <p><strong>誤用（従来型の広すぎるアクセス許可設定）</strong> OTネットワークへのアクセス許可が広すぎると、高CVSSスコア（Safety Loss）の影響を許容しやすくなります。</p> <div class="codehilite"> <pre data-enlighter-language="generic"># 従来型：OTネットワークへのアクセス許可（例：全サブネットからのSCADAプロトコル通信許可） # CVSS v4.0評価では高リスクとなりやすい設定 # 192.168.10.0/24 への Modbus/TCP (502) 通信を許可 iptables -A FORWARD -i eth0 -o eth1 -s 192.168.0.0/16 -p tcp --dport 502 -j ACCEPT </pre> </div> <p><strong>安全な代替案（CVSS v4.0に基づく厳格な最小権限の施行）</strong> OT資産の重大度（Safety/Availability）に基づいてアクセス元を厳格に限定し、必要最小限の通信のみを許可します。</p> <div class="codehilite"> <pre data-enlighter-language="generic"># CVSS v4.0評価で高リスクアセットに対する厳格な制御 # 承認された特定のエンジニアリングワークステーション (EWS_IP) のみ、特定のプロトコルを許可 EWS_IP="192.168.10.50" OT_PROTOCOL_PORT="502" # Modbus/TCP # 1. デフォルトポリシーを拒否 iptables -P FORWARD DROP # 2. 特定のEWSからの対象プロトコルアクセスのみ許可 # 認証されたソースIP (192.168.10.50) のみがPLCへのModbus通信を許可 iptables -A FORWARD -s $EWS_IP -p tcp --dport $OT_PROTOCOL_PORT -j ACCEPT # 3. その他すべてのアクセスはログを残して拒否 iptables -A FORWARD -j LOG --log-prefix "OT_ACCESS_DENIED" </pre> </div> <p><strong>保護策：</strong> 脆弱性評価の結果、CVSS v4.0で高リスク（特にSafetyがHigh）と判断された資産に対し、ネットワークセグメンテーション（IEC 62443準拠）を適用し、通信を厳密にホワイトリスト化することが必須です。</p> <h2 class="wp-block-heading">【検出と緩和策】</h2> <p>CVSS v4.0の高いスコア（特にS: SafetyやA: AvailabilityがCritical）を持つ脆弱性を持つOTアセットへの攻撃を想定した検出と応急的な緩和策。</p> <figure class="wp-block-table"><table> <thead> <tr> <th style="text-align:left;">フェーズ</th> <th style="text-align:left;">検出ポイント（EDR/SIEM/NDR）</th> <th style="text-align:left;">緩和策（Workaround）</th> </tr> </thead> <tbody> <tr> <td style="text-align:left;"><strong>評価時</strong></td> <td style="text-align:left;">CVSS v3.1からv4.0へのスコア変化分析レポート</td> <td style="text-align:left;">V4.0の環境メトリクス（S, A）が著しく高い資産を特定し、パッチ管理の優先度を最大化</td> </tr> <tr> <td style="text-align:left;"><strong>内部活動</strong></td> <td style="text-align:left;">HMI/SCADAサーバ上での予期しない設定ファイル変更やシェル実行</td> <td style="text-align:left;">変更管理プロセスの厳格化。設定変更時の二重認証（MFA）適用</td> </tr> <tr> <td style="text-align:left;"><strong>最終攻撃</strong></td> <td style="text-align:left;">プロセス制御プロトコル（例: DNP3, EtherNet/IP）のペイロード異常、不正な制御コマンドの挿入</td> <td style="text-align:left;">ICS-DPI (Deep Packet Inspection) 機能を持つファイアウォールやIDS/IPSによる不正コマンドの即時ブロック（仮想パッチ）</td> </tr> </tbody> </table></figure> <h2 class="wp-block-heading">【実務上の落とし穴】</h2> <p>CVSS v4.0をOT環境に適用する際、技術的な精度と運用の制約を両立させることが重要です。</p> <p><strong>誤検知（False Positive）のリスク増大</strong> CVSS v4.0は詳細な補助メトリクスを持つため、評価者がS (Safety) や A (Availability) を過剰に高く設定した場合、実際には影響が限定的な脆弱性でもCriticalスコアが付与されやすくなります。これにより、対応リソースが分散し、「アラート疲れ」による真に重要な脆弱性の見逃しが発生する可能性があります。環境メトリクス設定時には、現場のシステムオーナーと連携し、影響度を客観的に検証する必要があります。</p> <p><strong>可用性（サービス継続）とのトレードオフ</strong> OT環境における最優先事項は、安全かつ継続的なシステムの稼働です。CVSS v4.0で高リスクと評価された場合でも、パッチ適用がシステムの不安定化や予期せぬシャットダウンを引き起こすリスクがある場合、即時適用は避けるべきです。緩和策（ネットワーク分離、仮想パッチ、アクセス制限）をまず適用し、パッチ適用は厳格な変更管理プロセスを経て、計画的なメンテナンス停止期間（Shutdown Window）に限定する判断が求められます。</p> <h2 class="wp-block-heading">【まとめ】</h2> <p>CVSS v4.0の登場は、特に人命や生産に直結するOT/ICS環境におけるリスク評価基準を根本的に見直す機会を提供します。組織として今すぐ確認・実施すべき3つの優先事項は以下の通りです。</p> <ol class="wp-block-list"> <li><p><strong>CVSS v4.0評価基準の採用と教育：</strong> 既存の脆弱性管理チームに加え、OT運用担当者を含めた評価チームを編成し、CVSS v4.0のSafety (S) および Availability (A) メトリクスをICS環境に合わせて正確に定義・適用するトレーニングを直ちに実施する。</p></li> <li><p><strong>OT資産の再リスク分類と優先順位付け：</strong> CVSS v4.0を適用し、特にS/Aメトリクスにより高スコア（Critical/High）となったICS資産（PLC, HMIなど）を特定し、脆弱性対応の優先度を緊急レベルに引き上げる。</p></li> <li><p><strong>防御の階層化とセグメンテーションの強化：</strong> 高リスク評価を受けたOT資産を保護するため、IT/OT境界およびOT内部での厳格なファイアウォールルールを適用し、IEC 62443に基づくゾーン・セグメント間の通信を最小化するマイクロセグメンテーション計画を策定・実行する。</p></li> </ol> <hr/> <h3 class="wp-block-heading">参考文献</h3> <ul class="wp-block-list"> <li><p><strong>NIST National Vulnerability Database (NVD):</strong> CVSS v4.0 <a href="https://nvd.nist.gov/vuln-metrics/cvss/v4-0">https://nvd.nist.gov/vuln-metrics/cvss/v4-0</a></p></li> <li><p><strong>FIRST (Forum of Incident Response and Security Teams):</strong> Common Vulnerability Scoring System v4.0 User Guide <a href="https://www.first.org/cvss/v4-0/user-guide">https://www.first.org/cvss/v4-0/user-guide</a></p></li> <li><p><strong>CISA:</strong> Security Recommendations for Industrial Control Systems (ICS) <a href="https://www.cisa.gov/topics/industrial-control-systems-ics">https://www.cisa.gov/topics/industrial-control-systems-ics</a></p></li> </ul>

graph TD
    A["外部ネットワーク"] -->|リモートアクセス| B("OT/IT境界ルータの脆弱性悪用")
    B --> C{"OTネットワークへの侵入・横展開"}
    C --> D["HMI/SCADAサーバへの認証情報窃取"]
    D --> E["PLC/RTUへの不正コマンド挿入"]
    E --> F("(プロセスのSafety停止/物理的改ざん"))
    F --> G["重大な物理的被害: 装置損傷, 人員危険"]
    style G fill:#f99,stroke:#333,stroke-width:2px

# 従来型：OTネットワークへのアクセス許可（例：全サブネットからのSCADAプロトコル通信許可）


# CVSS v4.0評価では高リスクとなりやすい設定


# 192.168.10.0/24 への Modbus/TCP (502) 通信を許可

iptables -A FORWARD -i eth0 -o eth1 -s 192.168.0.0/16 -p tcp --dport 502 -j ACCEPT

# CVSS v4.0評価で高リスクアセットに対する厳格な制御


# 承認された特定のエンジニアリングワークステーション (EWS_IP) のみ、特定のプロトコルを許可

EWS_IP="192.168.10.50"
OT_PROTOCOL_PORT="502" # Modbus/TCP

# 1. デフォルトポリシーを拒否

iptables -P FORWARD DROP

# 2. 特定のEWSからの対象プロトコルアクセスのみ許可


# 認証されたソースIP (192.168.10.50) のみがPLCへのModbus通信を許可

iptables -A FORWARD -s $EWS_IP -p tcp --dport $OT_PROTOCOL_PORT -j ACCEPT

# 3. その他すべてのアクセスはログを残して拒否

iptables -A FORWARD -j LOG --log-prefix "OT_ACCESS_DENIED"