別紙「IoTセキュリティ基盤を活⽤した安⼼安全な社会の実現に向けた実証実験」の結果の公表

総務省
情 報 流 通 ⾏ 政 局
サイバーセキュリティ課
平成30年６⽉

実証実験の背景と検討事項

1○ 近年、IoT機器が急速に普及し、各種サービスへの展開が期待される⼀⽅、IoT機器に対するサイバー攻撃も年々増加・巧妙化しており、IoT機器やIoTサービス特有の性質を踏まえたセキュリティ対策は急務。
○ IoT 機器単体では必要なセキュリティ対策の実現が困難な場合や、IoT 機器に精通していない利⽤者についてはセキュリティ対策が⼗分に講じられない場合が想定されることから、ネットワーク側で⼀元的にセキュリティ対策を講ずる仕組みの確⽴も必要。

○ IoT機器とインターネットの境界上にIoTセキュアゲートウェイを設置し、その有⽤性に関する実証実験を実施。
【検討事項】① IoT機器をネットワークに接続する際の認証や暗号化とIoT機器の管理② IoT機器から収集したデータの分析③ 問題が⽣じた場合の原因特定と対処（参考）「IoTセキュリティ総合対策」（平成29年10月サイバーセキュリティタスクフォース）（抜粋）
Ⅱ 具体的施策（１）脆弱性対策に係る体制の整備③ IoTセキュアゲートウェイ
機器の性格上セキュリティ対策を取ることが困難なものや海外製品など、流通している機器の中から、脆弱性を有する機器を完全に排除することは困難であることから、機器の設置(ネットワークへの接続)段階において、脆弱性を有する機器が存在することを前提として、セキュアなシステム構築を実現する仕組みが重要となる。また、IoT機器単体では必要なセキュリティ対策の実現が困難な場合やIoT機器に精通していない利用者についてはセキュリティ対策が十分講じられない場合が想定される。このため、IoTシステム・サービス全体としてセキュリティを確保する観点から、IoT機器とインターネットの境界上にセキュアゲートウェイを設置する取組について、総務省において実証を進めるとともに、セキュリティ評価や実際の導入を進める仕組みについて検討する必要がある。

IoTセキュアゲートウェイ実証実験の概要

2○ 実証実験では、様々なセキュリティ脅威に対して、認証、検知、対処といった⼀連のセキュリティ対策ができるかを試⾏。
 認証 （IoTサービスに接続しようとするIoT機器が正当なものであるかをIoTセキュアゲートウェイにおいて認証）
 検知 （データ受信頻度や通信量等を基に、異常な通信を検知）
 対処 （異常な通信を行うIoT機器の遮断や、脆弱性を有するIoT機器の自動ソフトウェアアップデート）

実証実験のイメージ
サービス提供者

実施主体：NTTコミュニケーションズ株式会社

カーモビリティ

スマートホーム

エデュケーション

インターネット

IoTセキュア
ゲートウェイ

認証機能

検知機能

対処機能
不正アクセスを検知し遮断

GW

不正なIoT機器からの通信を遮断

通信状況を記録して異常通信を検知

ソフトウェアのバージョンを管理し強制アップデート

通信回線（LTE, FTTH 等）
サービス利⽤者（IoT機器）

⾞載機器

タイムズコミュニケーション株式会社と連携

⼈感デバイス
インテリジェント
トイレ
TOTO株式会社と連携

情報端末

環境センサ

⼩⾦井市⽴前原⼩学校と連携

実証実験を実施した分野

3○ IoT機器を通じて得られるデータ・情報を⽤いたサービスの展開が進む、カーモビリティ分野、スマートホーム分野、エデュケーション分野の三つを選定し、実証実験を実施。
○ IoT機器を利⽤したサービスを提供する際のリスクとして、不正アクセス、なりすまし、乗っ取り、盗聴、盗難を想定し、各分野においてこれらのリスクに対処可能か検証。
展開が期待されるサービス
⾞両データの活⽤

カーモビリティ分野
ロードサービス提供者が、各⾞両のセンサを通じて正確な情報を把握することにより、故障・事故の緊急時等にも迅速・的確に対応が可能となる。

スマートホーム分野
住宅内に設置された複数のセンサからのデータを通じて、居住者の健康状態等を推定し、必要な医療・健康サービスの提供が可能となる。

救援要請

オペレータ

センサ情報
送信
現場出動

作業員 出動⼿配

センサ情報
送信
分析・レポー
ティング

センサ

利⽤者に合わせたサービスの提供
オペレータ

エデュケーション分野
教室等に設置されたセンサから得られる温度・湿度等のデータと、⽣徒の学習情報・個⼈情報を組み合わせて分析することにより、よりよい学習環境の実現が可能となる。

学習情報

センサ情報

送信

環境改善
指導⽅法開発学習環境
データの表⽰管理者

実証実験の結果

4○ 総じて通信の遅延やIoTセキュアゲートウェイを起因とするIoTサービスの停⽌等は発⽣せず、良好な運⽤が⾏えた。IoTセキュアゲートウェイは認証、検知、対処といった機能は⼗分提供できており、通信暗号化機能や秘匿性の⾼いデータ管理機能を有した堅牢なシステムであることも確認された。
○ ただし、IoTサービスの特性に基づく運⽤上の課題があり、機能が⼗分に発揮できないケースがあった。その課題を解決するために、異常な通信を検知する機能を向上させる必要がある。
検知機能の向上

運⽤上の課題の例
カーモビリティ分野において、⾞両にIoT機器を取り付けるという特性上、地下駐⾞場に⼊り、電波の届かない場所で通信が途絶えた場合に以下の誤検知が発⽣。
・IoTセキュアゲートウェイがIoT機器の状態を把握できず、盗難があったと誤検知
・IoTセキュアゲートウェイがIoT機器との通信を再開した際に⼀気に送信されたデータを受信してしまい、乗っ取りがあったと誤検知
電波が届かない

地下駐⾞場

GW

通信断発⽣

（１）機能改善

サービス提供者が利⽤シーンに応じて検知条件を設定することができるテンプレート（条件設定画⾯）を⽤意するといった機能改善が必要。
カーモビリティ
データ受信頻度(時間間隔)分に回

データ受信頻度(同⼀ユーザ)

改善

分に回

対処アクション
メール通知
認証停⽌
SIM停⽌

テンプレート無し（２）動的検知

テンプレート利⽤

サービス利⽤者の利⽤状況等の統計的なデータを収集・分析した結果に基づき、サービス利⽤者・IoT
機器ごとに脅威検知に関する適正値を⾃動的に設定することが必要（※） 。
※

AIを用いたデータ分析の活用も考えられる。

IoTセキュアゲートウェイの普及に向けて必要な取組

5○ 実証実験で得られた課題を解決した上で、IoTセキュアゲートウェイの普及に向けて、実⽤的なサービスモデルの提⽰の取組も必要となる。

（１）サービス提供者への詳細情報の提⽰

情報不⾜？

サービス提供者が迅速かつ適切な⾏動をとれるよう、サービス提供者に脅威検知のレベルや攻撃状況の詳細情報等を提⽰することが必要。

（２）多様なテンプレートの作成
IoTセキュアゲートウェイを利⽤しやすくなるよう、各種IoTサービスに応じた多様なテンプレートの作成を⾏うことが必要。

詳細情報！

GW

カーモビリティスマートホーム

エデュケーション

データ受信頻度(時間間隔)

データフォーマット異常

通信量異常分にサイズ回分に対処アクション

認証停⽌

認証停⽌
ソフトウェア
アップデート※ SOC：Security Operation Center

メール通知(管理者)メール通知(担当者)
認証停⽌

スマートホーム分野

監視の⼀元化

エデュケーション分野

SOCシステム

連携可能
既存サービス

時まで対処アクション

メール通知

SIM停⽌

SOC担当者時から対処アクション

メール通知

MB以上

異常接続時間以外の拡張⼦回（３）効率的なシステム運⽤環境の構築

通信量

MB以上

データフォーマット異常

データ受信頻度(同⼀ユーザ)

カーモビリティ分野

効率的なシステム運⽤が⾏えるよう、SOC （※） のシステムとIoTセキュアゲートウェイの連携等が必要。

GW

GW

IoTセキュア
ゲートウェイ

参考資料

実証実験におけるIoTセキュアゲートウェイの構成
ユーザクラウド業務アプリ
カーモビリティ

スマートホーム

エデュケーション

保守・運⽤者

フロントエンドシステム
システム間連携サブシステム
UI

SO/SC,運⽤,制御
保守コマンド

INTERNET

履歴管理 ⑦
サブシステムクラウド
コネクタフロントエンドシステム

DB

オペレーション
サブシステム ⑧
管理API

データのサンプリング、統計処理、基本データ検証
SIEMへの転送、EVENT発⽣、ログ等の処理を実施。

脅威検知サブシステム（独⽴処理）

並列③

脅威対処サブシステム ④

検知ロジック（独⽴ワーカー）
脅威検知サブシステム（データフロー処理）

ストリーム処理対処キュー③

検知ロジック
検知ロジック（データフロー）フィールド毎
処理ロジックデバイス管理サブシステム ⑥

受信キュー

デバイス更新管理サブシステム ⑤

DB

デバイス
コネクタ

デバイス認証デバイス/サービス状態管理

INTERNET

管理対象データ群

ユーザ認証

各サブシステムへアクセス

ログ保存

EGW

API

②

DB

IoTセキュアゲートウェイ

送信キュー

カーモビリティ

認証
システム

バックエンドシステム

データ流通①
サブシステム7

スマートホーム

エデュケーション

EGW

EGW

管理対象データ群

管理対象データ群

デバイス更新NW制御

デバイス
EGWへ 設定変更 等の処理

SIM-API

情報収集・チェック

定期的な構成情報
チェック、etcシステムをデータ受信/送信を⾏うフロントエンドシステム（①、②）と、コアのロジックやデータ管理を⾏うバックエンドシステム（③、④、⑤、⑥、⑦、⑧）に分け、それぞれの機能特性に合わせたクラウド環境を選択。
フロントエンドシステムとバックエンドシステムはVPNで接続し、通信内容の秘匿性を確保するとともに、適切な通信フィルタを設定することで、不要な通信の送受信を抑制する実装とした。

実証実験におけるIoTセキュアゲートウェイのサブシステム構成①No①

サブシステム名

データ流通サブシステム

機能

システム間連携
サブシステム

デバイス認証機能（トークン認証）

データ受信機能（デバイスコネクタ）

デバイスからのHTTPSリクエストによりデータを受信する。受信後は、脅威検知サブシステムに受信したデータを渡す。
・プロトコル：HTTPS
・データ形式：JSON形式

データ送信機能（クラウドコネクタ）

脅威検知サブシステムから脅威検知ロジック適⽤後のデータ受け取り、クラウドへ送信する。
・プロトコル：HTTPS
・データ形式：JSON形式③（独⽴処理、データフロー処理）

受信データのメタ情報を取得しデータベースに蓄積する。

管理者向けAPI・UIフィールドの管理者に対し、IoTセキュアゲートウェイの持つ情報（デバイス情報等）を管理するためのブラウザGUIとAPIを提供する。APIのインターフェースは以下のとおり。
・プロトコル：HTTPS
・データ形式：JSON形式

保守者向けAPI・UI

IoTセキュアゲートウェイの保守者に対し、システム全体の状態確認、コントロールを⾏うためのブラウザGUIとAPIを提供する。APIのインターフェースは以下のとおり。
・プロトコル：HTTPS
・データ形式：JSON形式

認証機能
脅威検知サブシステム

説明
デバイス管理サブシステムへ問い合わせ、初期⼜はトークン期限切れ時には共通認証ID、認証シークレット、ユニークIDの3要素認証でトークンとデバイス識別⼦の払い出しをする。実際のデー
タ受信時はトークンとデバイス識別⼦で認証をする。
・⽅式：トークン認証

データロギング機能②8

管理者・保守者が、API・UIを利⽤する際に、ID・PWにより認証する。

データフロー検知機能

データ流通サブシステムから受信データ受け取った受信データに対して、検知ロジック（スクリプトファイル）を適⽤し、脅威検知を⾏う。脅威か検知された場合、脅威対処サブシステムの対処キューに対処情報を登録する。

独⽴ワーカー検知機能

常駐的⼜は定期的に処理⾏い、必要なデータを収集し、検知ロジック（スクリプトファイル）を適⽤し、脅威検知を⾏う。脅威が検知された場合、脅威対処サブシステムの対処キューに対処情報を登録する。

実証実験におけるIoTセキュアゲートウェイのサブシステム構成②No

サブシステム名④

脅威対処サブシステム⑤

デバイス更新管理サブシステム⑥⑦⑧デバイス管理サ
ブシステム

履歴管理サブシ
ステム

オペレーション
サブシステム機能

9

説明

脅威対処機能対処キューより対処情報を取り出し、フィールドと脅威内容ごとの対処種別に紐付けられた対処ロジック（スクリプトファイル）を実⾏する。対処の内容は以下の三つである。
・IoTセキュアゲートウェイ内部での対処（デバイス管理サブシステムでのデバイスの認証無効化）
・NWの停⽌（デバイスのモバイルSIMの停⽌）・デバイスの更新（デバイス更新サブシステムの監査の結果に基づくデバイスの設定等の更新）

デバイス監査機能

定期的にデバイス管理サブシステムへ問合せを⾏い、監査対象デバイスを抽出し、フィールド・デバイスごとに⽤意された監査ロジック（スクリプトファイル）を実⾏する。監査の結果、異常と判断された場合は、脅威対処サブシステムの対処キューに対処情報を登録する。

認証機能

初期⼜はトークン期限切れ時には共通認証ID、認証シークレット、ユニークIDの3要素認証からトークンとデバイス識別⼦の払い出しをする。実際のデータ受信時はトークンとデバイス識別⼦で認証をする。
・⽅式：トークン認証

デバイス管理機能

デバイスを管理するAPIを持つ。IoTセキュアゲートウェイ内の他のサブシステムから参照される。
・プロトコル：HTTPS
・データ形式：JSON形式

履歴管理機能IoTセキュアゲートウェイを通る送信・受信データの履歴、登録デバイス状態履歴、脅威検知・対処履歴、定期監査履歴を管理する。IoTセキュアゲートウェイ内各サブシステムに対し、登録・検索APIの提供を⾏う。
・プロトコル：HTTPS
・データ形式：JSON形式

システム管理オペレーション機能

IoTセキュアゲートウェイを構成する各サブシステムの動作状況の確認やスケール変更などのシステムの保守者に対するオペレーションを⾏うためのAPIを持つ。
・プロトコル：HTTPS
・データ形式：JSON形式

実証実験で⽤いたIoT機器

10

実証実験では次の条件を満たすIoT機器を⽤いた。
 Wi-Fi、Bluetooth、LTE、3G等において、通信が可能であること。
 認証を⾏うための情報群を有していること。または、後からその仕組みを付与できること。
 時間単位、⽇単位等、様々な頻度で通信が可能であること。

エデュケーション分野

カーモビリティ分野【GX4xONC OBDⅡ】
識別情報

個体識別情報（IMEI番号）

通信形態

SIMによるインターネットへの通信（3G）

通信頻度

エンジン起動時は5分ごとにデータ送信
エンジン停⽌時は6時間ごとにデータ送信

スマートホーム分野
【試作機】
識別情報

センサー部

ゲートウェイ部【センサー部：温・湿・照度ノード（SW-4210-1204）】【ゲートウェイ部：Armadillo-IoTゲートウェイ G3】

ゲートウェイ部

識別情報

個体識別情報（ID）

通信形態

・センサ部から920MHｚ(独⾃プロトコル)の無線通信で、ゲートウェイ部にデータ送信
・ゲートウェイ部内蔵のSIMで通信（3G）

通信頻度

稼働状態において、5分ごとにデータ送信【Chromebook R11】
個体識別情報（MACアドレス・基盤シリアル）

通信形態

・SIMによるインターネットへの通信（LTE）
・Wi-Fiで無線LANアクセスポイントに接続
・アクセスポイントから光ファイバーによりインターネットへの通信

通信頻度

稼働状態において、利⽤の都度データ送信

【試作機】
識別情報

センサー部

個体識別情報（MACアドレス）

通信形態

・ セ ン サ 部 か ら BLE （ Bluetooth LowEnergy）により、宅内のゲートウェイ部にデータ送信
・ゲートウェイ部内蔵のSIMによるインターネットへの通信（3G）

通信頻度

稼働状態において、検知の都度データ送信

識別情報

個体識別情報（ユーザID）

通信形態

・Wi-Fiで無線LANアクセスポイントに接続
・アクセスポイントから光ファイバーによりインターネットへの通信

通信頻度

稼働状態において、不定間隔でデータ送信

実証実験の実施内容①
検証分類

検証名

実施概要・観点

個体識別情報、グルー 事前に登録されている情報を⽤いて認証要求を送信し、IoTセキュアゲートウェイが認証要求にプ属性情報、パスワー 対して認証が成功することを確認
ドを⽤いた認証⽅式の 事前に登録されていない情報を⽤いて認証要求を送信し、IoTセキュアゲートウェイが認証要求
検証に対して認証が失敗することを確認
IoT デ バ イ ス 認証されたIoTデバイの認証
スに対する通信許可⽅ 認証済みのデバイスのアクセスが許可されることを確認
式の検証
認証されないデバイスに対する通信遮断⽅式 認証を得ていないデバイスのアクセスを拒否することを確認の検証
IoT デ バ イ ス
通信電⽂の暗号化⽅式 デバイスの通信を盗聴（デバイス上でパケットをキャプチャ）し、通信が暗号化されていることからの通信にに関する検証を確認
関する暗号化
IoTセキュアゲートウェイの管理機能から新規デバイスの登録、既存デバイスの削除ができるこ
デバイス個体情報の管 とを確認
理に関する検証
事前に登録されていない情報を⽤いて認証要求を送信し、IoTセキュアゲートウェイが認証要求に対して認証が失敗することを確認
IoT デ バ イ ス
に関する情報 デバイスより収集した IoTセキュアゲートウェイで受信したデータがSSLにより暗号化されていることを確認
情報の管理に関する検管理
HTTPのリクエストを拒否することを確認
証
デバイス通信ログの管 データベースのデータファイルから関連情報が読めないことを確認
理に関する検証
コピーデータベースでクエリを⾏ってもエラーになることを確認
エンジン停⽌時の通常通信（６時間に１回）より多い頻度（６時間に1回より多くの頻度)で通信が⾏われた場合、異常を検知することを確認
エンジン起動時の通常通信（５分に１回）より多い頻度（５分に１回より多くの頻度）で通信が⾏われた場合、異常を検知することを確認
デバイスからの通信がない場合（６時間通信がない場合）、異常を検知することを確認（IoTセ
データ受信頻度によるキュアゲートウェイに登録済みのデバイスを⾞両から取り外すことにより実施する。）
IoT デ バ イ ス 異常検知の検証
デバイスを外部に持ち出しセンサ情報が送信されなくなった場合に、異常を検知することを確認の状態や挙動（盗難の可能性の注意喚起として、通常（５分に１回）よりも少ない頻度の送信になったこともに関する分析検知)
同⼀ユーザで異常な頻度（１分以内に10回以上）の認証要求を⾏い、異常を検知することを確認
異常な時間（22時〜翌６時）に認証が成功し、異常を検知することを確認
タイムスタンプによるタイムスタンプが異常なセンサ情報を送信し、異常を検知することを確認
異常検知の検証

11
カーモビリ
ティ

結果
スマート
ホーム

エデュケー
ション

○○○○○○○

○

○

○

○

○

○○

○

○○

○○

○

○

○○○○○○○△
※１△
※１△
※１○
○

○
○

想定リスク

不正アクセス

盗聴

不正アクセス
乗っ取り

乗っ取り
乗っ取り
盗難

○

○

盗難

○
○

不正アクセス
不正アクセス○乗っ取り※１ ⾞両に設置されたIoT機器の特性上、地下駐⾞場など電波の届かない場所において、送信されるべきデータが送信されず、通信を検知できないことがあった。また、その後通信状況が改善され、保存されていたデータが短い間隔で連続して送信されることにより、閾値を超えたデータ送信頻度となり、脅威として誤検知されることがあった。

実証実験の実施内容②
検証分類

検証名

実施概要・観点

カーモビリ
ティ
通信量による異常検知 SIMの通信量とデバイスからIoTセキュアゲートウェイへの通信量が⼤幅に異なっている場合、△の検証異常を検知することを確認※２
SIMのグローバルIPアドレスとは異なる送信元IPアドレスからセンサ情報を送信し、異常を検知○することを確認
データ送信元による異同⼀送信元IPアドレスから複数デバイスの情報を送信し、異常を検知することを確認○
常検知の検証IoT デ バ イ ス
実証実験のネットワーク以外のネットワークから接続をしてデバイス認証を⾏い、異常を検知すの状態や挙動ることを確認に関する分析
データサイズがあらかじめ定めたデータサイズの上限以上のデータを送信し、異常を検知するこ○
データフォーマットに とを確認
よる異常検知の検証
データが途中で⽋落した形（正しいJSONフォーマットでない）データを送信し、異常を検知することを確認
認証機能によるデバイ
デバイスの状態が異常なデバイスからのアクセスを認証機能により不許可となることを確認○
ス通信無効化の検証
SIMによるデバイス通異常が検知されたデバイスのSIMを停⽌できることを確認○
信無効化の検証
異常時におけソフトウェアの設定ファイルを改変することで、デバイスの管理情報が不⼀致になり、異常が検る原因の特定 デバイス内ソフトウェ 知されたデバイスについて、管理者へ通知する機能をIoTセキュアゲートウェイが提供できること対策
アの設定変更・更新の とを確認
検証
正常運⽤で使⽤しないプロセス（不正プロセス）を実⾏することで異常が検知され、管理者へ連絡できることを確認
デ バ イ ス 内 情 報 の 収 異常が検知されたデバイスについて、IoTセキュアゲートウェイが管理者に登録されている情報集・解析の検証（デバイス内情報など）を提供できることを確認
デバイス構成管理の検 ソフトウェアのバージョンを正常でないバージョンにダウングレードされた場合に異常が検知され、管理者へ連絡できることを確認
脅威の特定と 証対策
デバイス内ソフトウェ ソフトウェアの脆弱性が発⾒された場合などに、ハッシュ値を更新することで⼀括してソフトア更新の検証
ウェアの更新ができることを確認

12
結果
スマートホーム

エデュケー 想定リスク
ション
△
乗っ取り
※３

○○

○

△
※４

○

○

○

なりすましなりすまし
盗難
乗っ取り（カーモビリティのみ「なりすまし」）
乗っ取り

○

○

○

○

○

盗難、乗っ取り盗難、乗っ取り
乗っ取り

○△
※５

乗っ取り
乗っ取り

○

○

乗っ取り

○

○

乗っ取り

※２

データ送信失敗時にリトライを繰り返すため、リトライしたデータはSIMの通信量としてはカウントされるが、デバイスからIoTセキュアゲートウェイへの通信量としてはカウントされず、通信量の不⼀致が起き、脅威として誤検知されることがあった。

※３

デバイス-IoTセキュアゲートウェイ外の通信（インターネット側からデバイスへの予期しない通信）が発⽣したため、閾値を超える通信量となり、脅威として誤検知されることがあった。

※４

児童が指定されたデバイス以外を⽤いて実証実験のネットワーク（学校のWi-Fi環境）以外から接続した場合に、脅威として誤検知されることがあった。

※５

IoTセキュアゲートウェイに登録されている情報に基づいて不正なプロセスのチェックを⾏ったため、IoTセキュアゲートウェイに登録されていない正常なプロセスを起動した際に脅威として誤検知されることがあった。