論文「Enabling End-to-End APT Emulation in Industrial Environments: Design and Implementation of the SIMPLE-ICS Testbed」の技術的サマリー

本論文は、産業制御システム（ICS）環境における高度持続的脅威（APT）の攻撃シミュレーションと検知研究を可能にする、統合された仮想化テストベッド「SIMPLE-ICS」の設計、実装、および検証について報告しています。

以下に、問題定義、手法、主要な貢献、結果、および意義について詳細をまとめます。

1. 背景と問題定義

• 課題: 現代の重要インフラ（エネルギー、製造、水道など）は、IT（情報技術）、OT（運用技術）、IIoT（産業用 IoT）の融合によって高度に接続されています。しかし、これらに対する APT 攻撃は、単一のドメインに留まらず、IT 領域から OT 領域へ横移動し、物理プロセスへの影響まで及ぶ多段階的なキャンペーンとして行われます。
• 既存研究の限界:
  • 既存の産業サイバーセキュリティテストベッドの多くは、OT または IIoT のみに焦点を当てており、IT 基盤（Active Directory やメールサーバーなど）を含んでいません。
  • 単一の攻撃や単一ドメインの攻撃に限定されており、IT から OT への完全なエンドツーエンドの APT キャンペーンを再現するプラットフォームが不足しています。
  • 多様なデータソース（ネットワーク、ホスト、運用テレメトリ）を同期して収集できる高忠実度のデータセットが欠如しており、APT の検知アルゴリズム開発が困難です。
• 目的: 産業環境における IT/OT/IIoT の融合を現実的にモデル化し、多段階の APT キャンペーンを安全に再現・検証できる、再現性が高く、改変可能なテストベッドの構築。

2. 手法とアーキテクチャ

本研究は、システム工学のV モデルを適用し、要件定義から検証までを体系的に設計しました。

2.1 アーキテクチャ設計

• 標準準拠: Purdue 企業参照アーキテクチャ（PERA）、NIST SP 800-82、IEC 62443 のゾーニング原則に基づき設計されています。
• 6 つのネットワークセグメント:
  1. 外部ネットワーク: インターネットシミュレータと攻撃プラットフォーム（Kali Linux, Caldera）。
  2. IT DMZ: 外部アクセスが必要なサービス（AD、メール、Web）をホスト。
  3. IT LAN: 企業内ネットワーク（通常ユーザーと被害者ユーザーの VM）。
  4. 産業/OT DMZ: IT と OT の間の緩衝地帯（ジャンプホスト、データヒストリアン）。
  5. OT ネットワーク: SCADA、PLC、HMI などの制御システム。
  6. IIoT ネットワーク: 運用監視と効率化のための IoT デバイス。
• プロセスシミュレーション: 物理デバイスの代わりにデジタルツイン（Factory I/O）を使用し、OpenPLC（PLC シミュレータ）や FUXA（HMI/SCADA）を用いて金属蓋の生産ラインや重量別仕分けシステムを仮想化しました。これにより、物理的なリスクなしに高忠実度な攻撃実験が可能になっています。
• ユーザー行動シミュレーション: 「Ghosts NPC」ツールを用いて、通常業務やフィッシングメールへの反応など、人間らしい行動パターンを自動生成し、背景ノイズと異常検知のベースラインを確立しました。

2.2 APT 脅威モデルと実装

• シナリオ設計: ウクライナ電力網攻撃（Sandworm 集団）などの実例を分析し、IT 領域での spear-phishing（スピアフィッシング）から始まり、資格情報の窃取、OT 領域への横移動、最終的に物理プロセスへの操作（改変）に至る 7 段階の一般化された APT シナリオを定義しました。
• TTP マッピング: 攻撃ステップを MITRE ATT&CK for ICS の戦術・技術・手順（TTP）にマッピングしました。
• 攻撃実行: MITRE Caldera 敵対者エミュレーションプラットフォームを使用し、スクリプト化された攻撃（Ability）をオーケストレーションしました。Caldera で未対応の技術については手動攻撃を組み合わせて実装しました。

2.3 データ収集

• マルチモーダル収集: ネットワークトラフィック（PCAP）、ホストレベルのログ（Windows イベントログ、Sysmon）、運用テレメトリ（Modbus/TCP, MQTT, OPC UA 通信、プロセス履歴データ）をすべてのセグメントで同期して収集するフレームワークを構築しました。

3. 主要な貢献

1. 統合 IT-OT-IIoT テストベッドアーキテクチャ: 産業セクターに依存せず、Purdue モデルに準拠した IT、OT、IIoT の全領域を統合し、現実的な企業環境をモデル化したテストベッドを提案。
2. エンドツーエンド APT エミュレーションフレームワーク: 実世界の APT 集団（Sandworm など）の行動と MITRE ATT&CK に基づき、IT から OT/IIoT へ至る多段階攻撃キャンペーンを再現可能な手法を確立。
3. 包括的かつ同期されたデータ収集: ネットワーク、ホスト、プロセス層にわたるマルチモーダルデータの収集基盤を構築し、高度な APT 検知研究とデータセット生成のテンプレートを提供。
4. 体系的な開発手法: V モデルを採用することで、研究要件から実装、検証までのトレーサビリティと再現性を保証。

4. 結果と評価

• 性能評価: テストベッドは 1 日間の運用テストにおいて、ネットワーク遅延（IT 間 0.974ms、OT 間 1.29ms、セグメント間 3.605ms）や帯域幅（約 9 Gbps）において、産業制御システムが要求するサブミリ秒レベルの応答性を満たす性能を示しました。パケット損失は検出されませんでした。
• リソース使用: 51 台の仮想マシンを 48 コア/4TB メモリのホスト上で稼働させ、通常時 CPU 使用率 25%、攻撃シミュレーション時でもピーク 37.9% にとどまり、十分な余裕を持って動作しました。
• 攻撃シナリオの成功: 定義された 7 段階の APT シナリオ（フィッシング、資格情報窃取、横移動、OT 侵入、プロセス改変）を Caldera を用いて成功裏に実行し、各段階で意図したログとテレメトリが収集されていることを確認しました。
• 既存テストベッドとの比較: 既存の物理的・ハイブリッド・デジタルツインベースのテストベッドと比較し、SIMPLE-ICS は「IT/OT/IIoT の全カバレッジ」「APT キャンペーン全体のサポート」「システム・ネットワーク・運用ログの 3 種類の収集」という点で優位性を示しました。

5. 意義と将来展望

• 研究インフラの向上: 産業サイバーセキュリティ研究において、IT/OT 融合環境での APT 行動を研究するための再現性が高く、拡張可能な実験プラットフォームを提供します。
• データセットの生成: 多様なソースからの同期データを生成し、キャンペーンレベルの検知や相関分析、機械学習ベースの防御メカニズムの開発を可能にします。
• コミュニティへの貢献: 実装コード、設定ファイル、スクリプトはオープンソースで公開されており、研究者が容易に利用・拡張できます。
• 将来の方向性: ハードウェア・イン・ザ・ループ（HIL）の統合、新興 IIoT プロトコルの追加、AI/ML を活用した攻撃・防御シミュレーションの強化、およびさらに多様な APT シナリオとデータセットの追加を計画しています。

本論文は、産業制御システムのセキュリティを強化し、重要インフラの保護に寄与するための重要なステップとして、SIMPLE-ICS の実用性と有効性を示しています。