1 of 33

大阪急性期・総合医療センターのランサムウェア攻撃におけるSTAMP/CASTとSTAMP/STPAを用いた分析事例の紹介

創価大学理工学部情報システム工学科

金子研究室

金子朋子教授

末竹隆広、奥田愛矢、新宮真喜、花本拓馬、山本貴志

第6回AI/IoT安全性シンポジウム 2日目 (2024年12月5日)

[ASW22-02]

2 of 33

目次

①研究背景

②大阪急性期・総合医療センターのランサムウェア攻撃事例

③CAST分析

④ゼロトラストについて

⑤事故時のCS図とゼロトラストのCS図を比較

⑥STPA分析

⑦まとめ

Copyright, Soka University, All Rights Reserved.

2

3 of 33

研究背景

  • IPAが発表している「情報セキュリティ10大脅威」の組織部門において、「ランサムウェアによる被害」は2021年から4年連続で1位になっている

​

  • 警察庁サイバー警察局によるデータからもランサムウェアによる被害は高止まりしていることが分かる

​

​

​

  • STAMPをランサムウェア事例にも適用し、リスクを洗い出すことで、被害減少に貢献できるのでは

3

出典：警察庁サイバー警察局

4 of 33

研究背景

​

​

​

​

4

CAST

・システムの理解

・事故原因の特定

・対策案の提案

STPA

・対策を導入した

システムの可視化

・リスクの特定

・対策案の提案

5 of 33

大阪急性期・総合医療センターのランサムウェア攻撃事例

調査報告書（2023年3月公表）によると

  • 2022年10月31日に電子カルテの障害発生
  • 電子カルテを含む基幹システムが43日後に復旧し、全体の診療システムは73日後に復旧した
  • 病院の大部分のサーバーが暗号化されたが、情報漏洩の可能性は極めて低い
  • 外来診療や予定手術の中止などの影響が出たが、死者は一人も出なかった

5

6 of 33

CAST分析のCS図（全体）

6

インターネット（外部）

イントラネット（給食センター）

イントラネット

（病院）

7 of 33

CAST分析のCS図（一部）

7

攻撃者がVPNの脆弱性を利用し入手したID・PWでFWを突破

​

　　　　　　↓

​

辞書攻撃により、給食センターのサーバーのID・PWを割り出し、侵入

​

上半分

インターネット

（外部）

イントラネット（給食センター）

イントラネット（病院）

8 of 33

CAST分析のCS図（一部）

8

給食サーバーと病院のサーバーのID・PWを使い回していたため、病院全体にも侵入

​

　　　　↓

​

ランサムウェア感染、暗号化

下半分

イントラネット（病院）

9 of 33

アクシデント特定

9

10 of 33

CAST分析のCS図（一部）

10

給食サーバーと病院のサーバーのID・PWを使い回していたため、病院全体にも侵入

​

　　　　↓

​

ランサムウェア感染、暗号化

下半分

イントラネット（病院）

11 of 33

CASTの具体的コンポーネントレベルでの分析（抜粋）

11

12 of 33

CASTの抽象的コンポーネントレベルでの分析（抜粋）

12

13 of 33

CASTから見えたシステム全体の弱点

システム面

  • VPNの脆弱性をそのままにしていたこと
  • サーバーにロックアウト設定が未設定だったので、辞書攻撃による侵入が可能になったこと
  • サーバーにウイルス対策ソフトが未設定だった
  • 病院のいくつかのサーバーはパスワードが共通であったこと

　　　　一度侵入されたら弱い

​

人的側面

  • ITガバナンスやセキュリティ知識の欠如

　　　　セキュリティ教育の必要性

13

セキュリティ知識や意識は

各個人によって差異があり、

一律に高めることは難しい

↓

ネットワークシステムの構成で改善できる箇所はないか？

14 of 33

ゼロトラスト

コロナ禍にテレワークが推進され、ゼロトラストセキュリティの概念は注目を集めてきた

​

NIST（米国国立標準技術研究所）によると、

ゼロトラスト（ZT）とは、

「ネットワークが侵害されている場合であっても、情報システムやサービスにおいて、各リクエストを正確かつ最小の権限となるようにアクセス判断する際の不確実性を最小化するために設計された概念とアイデアの集合体のこと」

と定義されている

​

大阪急性期・総合医療センターにゼロトラストを導入した場合を想定し、STPA分析を行う

14

15 of 33

ゼロトラストを導入した場合のCS図（全体）

​

15

16 of 33

ゼロトラストを導入した場合のCS図（全体）

​

16

  • 病院と給食ベンダーの間で必要のなかったサーバーの接続を無くす
  • データの通り道(水色)と認証を判断する通り道(緑)を区別する
  • 各コンポーネント毎に誰がログオンしたのか分かるようにする

17 of 33

ゼロトラストを導入した場合のCS図（全体）

​

17

18 of 33

ゼロトラストを導入した場合のCS図（全体）

​

18

19 of 33

CS図の比較（拡大）

　　　障害発生時(左)｜新システム(右)

19

※ゼロトラストで多要素認証が推奨されており、ここで取り入れることができる

ファイアウォール

20 of 33

CS図の比較（拡大）

  • ポリシー実施ポイント(PEP)：

ユーザーと病院リソース間の接続を有効にし、監視し、最終的に接続を終了する

  • ポリシーアドミニストレーター(PA)：通信経路の確立・遮断、セッション固有の認証トークンやクレデンシャルを生成
  • ポリシーエンジン(PE)：ユーザーの認証について最終的に判断し、ログに記録する. 管理者はトラストアルゴリズムを作成し、認証基準を定義する.

20

ファイアウォール

21 of 33

CS図の比較（拡大）

　　　　　　　左：障害発生時、右：新システム

21

22 of 33

CS図の比較（拡大）

　　　　　　　左：障害発生時、右：新システム

22

23 of 33

STPA分析

23

24 of 33

STPA分析

24

25 of 33

STPA分析

25

26 of 33

STPA分析

26

27 of 33

STPA分析

27

28 of 33

STPA分析

28

29 of 33

STPA分析

対策表

29

・

・

・

30 of 33

STPA分析

対策表

30

・

・

・

31 of 33

まとめ

今回の結果より

CAST分析を行ってからSTPA分析を行うことで事故原因から適切なシステムを仮定し、新たなシステムのリスクまで見つけることができた。

​

ゼロトラストを導入した新しいシステムでもアルゴリズムの設定など人間が関与する部分は存在し、引き続き管理体制やセキュリティへの意識を高めることが大切である。

​

改善点

セキュリティ強度とコストはトレードオフの関係にあるので、どれだけ理想のシステムを提示しても病院の意思決定責任者のセキュリティ意識が低ければ弱いシステムのままである

31

32 of 33

参考文献

調査報告書 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会.

https://www.gh.opho.jp/pdf/report_v01.pdf

​

独立行政法人情報処理推進機構 (IPA). 情報セキュリティ10大脅威.

https://www.ipa.go.jp/security/10threats/index.html

​

警察庁サイバー警察局. 令和6年上半期におけるサイバー空間をめぐる脅威の情報等について.

https://www.npa.go.jp/publications/statistics/cybersecurity/data/R6kami/R06_kami_cyber_jousei.pdf

​

NIST Special Publication 800 - 207. ゼロトラスト・アーキテクチャ. PwCコンサルティング合同会社邦訳.

https://www.pwc.com/jp/ja/knowledge/column/awareness-cyber-security/assets/pdf/zero-trust-architecture-jp.pdf

​

ネットワンシステムズ. サイバー攻撃の被害を繰り返さない ネットワーク監視と運用監視サービスで攻撃者に侵入されても不審な行動をすぐに検知

https://www.netone.co.jp/knowledge-center/files/jirei_20231122.pdf

32

33 of 33