VPNを使わないセキュアなIIoTの構築
スクエアFreeセミナー
March,22 2018

Ver.1.0

会社概要

社名

株式会社

ベルチャイルド

代表者

代表取締役

藤田 好邦

本社

東京オフィス

創業

資本金
従業員

〒530-0037
大阪府大阪市北区松ヶ枝町1-3
いちご南森町ビル3F〒101-0021
東京都千代田区外神田4-7-5
石川興産ビル8F

当社の強み

創業以来、金融/保険システムを中心としたシステム開発に携わって参りました。「堅牢なインフラ開発技術」「高度な運用ノウハウ」を強みとして、近年、物流システム、ＭＥＳシステム開発へＳＩ事業を展開し、M2M/IoT市場にもこの強みを活用してまいります。
VEC（Virtual Engineering Community）の事務局をしております。

平成11年4月1日
5,000万円
149名（一般財団法人製造科学技術センター内設置）

駐日カナダ大使、オンタリオ州首相立ち合いの基次世代クラウドの共同開発の覚書締結
2016年11月28日 於；カナダ大使館

Ver.1.03

Ver.1.04

IIoTに求められるクラウド

Ver.1.0

5

 安全性

 拡張性

 経済性

 柔軟性

 高速性

 先進性

IIoTが求めるクラウド 安全性・WEB技術を用いたデータ通信
・セキュリティポリシーに影響を与えない 経済性
・インターネットを安全に利用・短期間でのシステム導入と容易なシステム構築

 高速性

・高速で双方向なリアルタイムデータ通信

Ver.1.0

6

IIoTが求めるクラウド 拡張性
・PC１台から大規模システムへの拡張の容易性
・デバイス／フィールドバスへの対応

 柔軟性

・他クラウドサービス／オンプレ環境／閉域網（専用線）との連携・容易なHMIの構築 先進性

・OPC-UA 対応
・WebSocket 技術利用

Ver.1.0

7

IIoTクラウド

VPNを使わない
安全・高速・双方向可能なリアルタイムデータ通信

Ver.1.08

IIoTクラウド ファンクション

安全・高速・双方向通信
Secure Connection Point 1
アウトバウンド接続のみの安全設計
IT Network

OT Network◎

×××

Internet
WEBサイト×××◎

Firewall の内側⇒外側へWEB接続が許されるセキュリティポリシーであればFirewallのインバウンドポートをオープンする必要なくクラウド接続できます
アウトバウンド接続のみのアーキテクチャなので今よりセキュリティリスクが高まることはありません
Ver.1.09

IIoTクラウド ファンクション

安全・高速・双方向通信のひみつ
Secure Connection Point 2
WEB環境での従来型データ取得方式
クライアントサーバ

リクエスト発行（データを取りに行く）

リアルタイム性はポーリング間隔に依存
通信負荷が高い

ポーリング（繰り返す）

レスポンス

Ver.1.010

IIoTクラウド ファンクション

安全・高速・双方向通信のひみつ
Secure Connection Point 2
WEB環境での従来型データ取得方式
クライアントサーバ

リクエスト発行（取りに行く）ロングポーリング（繰り返す）

Time-lagVer.1.0

11

レスポンス

状況変化するまでレスポンスしない

変化
WAIT

ポーリングよりリアルタイム性向上

IIoTクラウド ファンクション

安全・高速・双方向通信のひみつ
Secure Connection Point 2Push技術で高速通信を実現 （RFC6455 — The WebSocket Protocol）
クライアントサーバ
WebSocket
リアルタイム送信
リアルタイム
送信変化

Ver.1.0

12

IIoTクラウド ファンクション

安全・高速・双方向通信のひみつ
Secure Connection Point 3
Push技術で双方向通信を実現 （RFC6455 — The WebSocket Protocol）
リアルタイムにデータ送信
リアルタイムにデータ受信

OT Network

ブロック

ブロック

アウトバウンド接続

13

Ver.1.0

リアルタイムにデータ受信
データ送信

アウトバウンド接続

PUSH技術（双方向通信）
ブロック

データ送信
リアルタイムにデータ受信

IT Network

閉域網

PUSH技術（双方向通信）

リアルタイムにデータ送信
リアルタイムにデータ受信

ブロック

DB

IIoTクラウド ファンクション

IIoTをクイックスタート！構築リードタイムを大幅短縮
Quick Start Point

1

VPNを使用せずWEB技術を用いてインターネット回線を利用

回線工事が必要なく “iBRESS Cloud サービス“はお申し込み後“数分”で利用可能
Ver.1.0

14

IIoTクラウド ファンクション

IIoTをクイックスタート！構築リードタイムを大幅短縮
Quick Start Point

2

iBRESS Cloud との接続は、PCにDataHubをインストールするだけで簡単につながります。
組み込み機器との接続は ETK （Ｃ言語ソース）をインプリメントする事で接続頂けます。

Ver.1.015

IIoTクラウド ファンクション

IIoTをクイックスタート！構築リードタイムを大幅短縮
Quick Start Point

3

Webブラウザでモニタリング画面作成

Ver.1.016

IIoTクラウド ファンクション

信頼のクラウドサービス！
目標停止時間システムによる監視

年間９時間
定期的なバックアップ
Ver.1.017

以下

IIoTクラウド ファンクション

信頼のクラウドサービス！

サービスリードタイム数分
以下

すぐに使える
Ver.01

18

稼働率目標

９９.９%

以上

安心して使える

IIoTクラウド ファンクション

信頼のクラウドサービス！

システムが停止する前に未然に問題を防止

Ver.01

19

エンドユーザーによるサービス品質の見える化

非常に Scalability の高いアーキテクチャ

Ver.0120

Scalability（拡張性）： Easy approach
iBRESS Cloud + DataHub で拠点の拡大を低コストかつ短期間で実現

規模透過性が高い!!
STEP2：
監視範囲拡大STEP1：
１工場で実験

Ver.01

21

STEP3：
更に監視範囲拡大

A工場

B工場

C工場

2017年導入

追加：2018年

追加：2019年

Scalability （拡張性）： Protocol conversion
異なるプロトコルをiBRESS Cloudは接続（相互変換）できます

異種透過性が高い!!
Ｃ工場

Ａ工場
ＤＭＺ

ＤＭＺ
Ｂ工場
ＤＭＺ
Modbus TCP/IP

OPC-DA Server

Ver.01

22

OPC-DA

Modbus TCP/IP

Scalability （拡張性）： Protocol conversion

NIST（アメリカ国立標準技術研究所）「コンピュータセキュリティ インシデント対応ガイド」
公にアクセス可能なサービスは、安全な非武装地帯(DMZ)ネットワークセグメントに置く。
こうすることで、外部ホストはDMZのホストだけにコネクションを確立でき、内部セグメントのホストにはコネクションを確立できないようにネットワーク境界を設定することができる。
内部ネットワークのすべてのホストでプライベートIPアドレスを使用する。
これにより、アタッカーによる内部ホストへの直接の接続確立が非常に制限される

Ver.0123

Scalability （拡張性）： Data logging
ディザスタリカバリ対応も低予算で実現 （異なるプラットホームを同じ使い勝手で利用）

位置透過性が高い!!

お客様オンプレミス環境

Ver.01

24

データ
同期の実
現Scalability（拡張性）： Custom
iBRESS Cloud + DataHub +ETKでAIと接続するなどが可能となります
DataHubで機能拡張が可能なため、初期導入リスクが軽減されます
オプションサービス

A工場

UAServerＭＴシステム（異常予兆）

UA
Client

お客様オンプレミス環境

AI
B工場
他社クラウド環境

IoT GW

Ver.0125

Security（安全性）

参考事例
ユーザー側ＰＣでサプライヤのＰＬＣを遠隔監視／制御したい
ユーザー

Network
サプライヤー

データ収集を毎秒 アナログ XXX点 デジタルXXX点 行う
Ver.0126

Security（安全性）

ユーザーの閉域網にサプライヤを接続する

サプライヤー

閉域網
社内LAN

ユーザー

ユーザー側のネットワーク管理者が絶対に許さない
Ver.0127

Security（安全性）

インターネットＶＰＮでサプライヤとユーザを接続◎internet◎ インターネットVPN ◎◎サプライヤー

閉域網
社内LAN
ユーザー

ＦｉｒｅＷａｌｌポートのオープンが必要

Ver.0128

Security（安全性）
TELNET
ＥｔｈｅｒnｅｔＩＰ

Modbus/TCP
ポート番号502

ＥｔｈｅｒnｅｔＩＰ
ポート番号44818

Telnet
ポート番号23

Modbus/TCP

ユーザー

VPN

OPC-DA

サプライヤー
リモートデスクトツプ

リモートデスクトツプ
ポート番号3389

OPC-DA
ポート番号135

ＦｉｒｅＷａｌｌが穴だらけ
Ver.0129

Security（安全性）
ウェルノウンポート
TCP/IPによる通信で利用されるTCPやUDPのポート番号のうち、著名なサービスやプロトコルが利用するために予約されている0番から1023番のポート番号 （一部抜粋）
ポート番号 TCP/UDP
サービス/プロトコル
TCP
FTP (File Transfer Protocol) (データ)20
TCPFTP (File Transfer Protocol) (制御)21
TCP/UDP ssh (secure shell)
22
TCP
Telnet23
TCP/UDP SMTP (Simple Mail Transfer Protocol)
25
TCP/UDP WINS (Windows Internet Name Service)
42
TCP
WHOIS
43
TCP/UDP DNS (Domain Name System)53
UDP
BOOTP (Bootstrap Protocol) (サーバ)67
UDP
BOOTP (Bootstrap Protocol) (クライアント)
68
UDP
TFTP (Trivial File Transfer Protocol)
69
TCP/UDP HTTP (Hypertext Transfer Protocol)
80
TCP/UDP Kerberos88

ポート番号 TCP/UDP
サービス/プロトコル
TCP
POP2 (Post Office Protocol version 2)
109
TCP
POP3 (Post Office Protocol version 3)
110
UDPIdent
113
TCPNNTP (Network News Transfer Protocol)
119
UDP
NTP (Network Time Protocol)
123
TCP
Microsoft RPC (Remote Procedure Call)
135
TCP/UDP NetBIOS (名前解決)
137
TCP/UDP NetBIOS (データ転送)138
TCP/UDP NetBIOS (セッション制御)
139
TCP/UDP IMAP2/4 (Internet Message Access Protocol version 2/4)
143
TCP/UDP SNMP (Simple Network Management Protocol)
161
TCP/UDP SNMP (Simple Network Management Protocol) (トラップ)
162
TCP/UDP HTTPS (HTTP over SSL/TLS)
443

登録済みポート番号 (1024–49151)
OPC-UA:4840,Modbus/TCP:502, Omron FINS:9600, Microsoft Terminal Server (RDP):3389 など
IANA（アイアナ）
インターネットに関連する番号を管理する組織。IPアドレス・ドメイン名・ポート番号等の標準化・割り当て・管理を行う
Ver.0130

Security（安全性）
IoT機器の多くは、組み込み型のLinuxで動作しており、Telnetが利用できるとうたわれていなくとも、実際には利用できる製品がほとんどを占めている。
認証を含むすべての通信を暗号化せずに平文で送信する仕様のため、セキュリティ面で問題がありTelnetでは、簡単なIDとパスワードで管理者権限でログインでき、機器を操作できてしまう。こうした機器にデフォルトで設定されているIDとパスワードのリストは、「Googleで検索すると簡単に入手できるので、スーパーハッカーでなくても誰でも（IoT機器に）侵入できてしまう」のが現状だ。
Ver.0131

Security（安全性）

Ver.0132

Security（安全性）

Ver.0133

Security（安全性）

Ver.0134

insecam(インセカム)
世界中に設置されたセキュリティの甘い監視カメラ
無料で見ることができるサイトです。

Security（安全性）

ユーザ側のＤＭＺの内側にサプライヤ接続用ゾーンを作る
サプライヤ接続ゾーン

ユーザー◎

internet◎ インターネットVPN ◎◎閉域網◎ 社内LAN×

サプライヤー

ユーザー側の閉域網は守られるがサプライヤ側は侵入可能な状態
Ver.0135

Security（安全性）

IP-VPNでサプライヤとユーザを接続
サプライヤ接続ゾーン

サプライヤー
サプライヤー閉域網◎ ◎◎ ユーザー◎
IP-VPN
閉域網
閉域網
×◎ ◎
◎ ◎
IP-VPN
社内LAN

両社ともにＦｉｒｅＷａｌｌポートのオープンが必要
ＩＰ-ＶＰＮはインターネットを使わず回線の秘匿性や帯域を回線業者が保証
構成的にはインターネットVPNと同様
Ver.01

36

閉域網
社内LAN

ユーザー

Security（安全性）

ユーザーとサプライヤだけが利用可能なPrivateCloud 空間を作る
PrivateCloud◎
サプライヤー◎

閉域網
IP-VPN

ユーザー

リモートデスクトツプ
SCADA

◎◎

閉域網
社内LAN

PrivateCloudからサプライヤへ接続
SCADAソフトをPrivaetCloudに導入する事でも可能
Ver.0137

Security（安全性）
サプライヤもユーザも、iBRESS Cloud と接続しアウトバウンド接続

ユーザー

internet
ＤＭＺ

サプライヤー

ＤＭＺ

閉域網
社内LAN
iBRESS Cloud を媒介してDatHub連携による2社間のアウトバウンド接続
ユーザーは自社内のDataHubに指示データ入力
サプライヤは自社内のDataHubの指示データを取り込んで処理
ユーザ、サプライヤ共にDataHubによってネットワークを分離

Ver.0138

パフォーマンス

検証環境
検証PC

https://fast.com/ja/
100ByteInternet
120Mbps
100Byteプロセッサ：Intel® Core™ i7-6800K @ 3.40GHz 3.40GHz
RAM：32.0GB
OS：Windows10 Education 64bit
OSバージョン：1709
OSビルド：16299.64

10,000 送受信の時間測定
100Byte受信
100Byte送信

Ver.0139

パフォーマンス

プロトコル
WebSockets

Ver.01

40

２回目

1回目

３回目

平均

計測時間

送受信 / 秒

計測時間

送受信 / 秒

計測時間

送受信 / 秒

計測時間

送受信/秒13.197

約757 /秒

13.091763 /秒

12.982約770 /秒

13.09

約763 /秒Summary

ネットワークを共有するのではなくデータを共有するセキュアな仕組みです
OT Network
DATA
DATA

ブロック

ブロック

DATA
DATA

アウトバウンド接続

DataHub

DATA
DATA
internet
ブロック

Embedded
Devices

お客様

Ver.0141

IT Network
WebView

アウトバウンド接続

閉域網

ブロック

PUSH通信PUSH通信

双方向データ通信

双方向データ通信

DataHub

DATA
DATA
DB

お客様ご清聴ありがとうございました。

CONNECT DIFFERENTLY
Ver.01 42