無人航空機の第二種型式認証に資するセキュリティリスクアセスメント手法の考察
Security Risk Assessment Method for Class II UAS Type Certification〇 Yuichi Yaguchi (University of Aizu)

どのようにドローンのセキュリティリスクを評価し、安全性を担保するかの手法を研究しています。
本研究の目的サイバーセキュリティリスクアセスメント手法の提案

安全基準に沿ったサイバーセキュリティの適合性証明計画書および適合性証明完了報告書作成に関して、「航空局ガイドライン」で示されている方法の解説および補足を行うものである。「航空局ガイドライン」で提示されている適合性証明案は一通りの活動を規定しているが、その活動を行うための要求の詳細や、活動に必要な前提条件や変数などは提示されていない。
そのため、ReAMo PJ 無人航空機の認証に対応した証明手法の事例検討WG内 115サブWGサイ
バーセキュリティで議論された内容をもとに、安全基準に合致する適合性証明を実現するための「航空局ガイドライン」の解説と指針を提示することが目的である。

サイバーセキュリティの第二種型式認証プロセス●●●

リスクアセスメントの基本構成は ISO
27005 で 提 示 さ れ て い る 方 法 (RTCA
DO-326A等でも参照)と同等
具体化している部分としては、『どのタイミングで、何の活動をするのか』と、『出力が何になるのか』について注目

攻撃口特定: 要求④-活動5: アタックサーフェス
リストの作成出発地点: 要求①-活動1: システムブロック図
攻撃者特定: 要求①-活動3, 5: 攻撃者を含むシステムブ
ロック図の作成
Attacker

記述

LoT

A.オペレーター

標準オペレーター、内部者

1

A.安全・セキュリティ担当者

内部者、ユーザ側安全、セキュリティ担当

1

A.メーカー整備者

メーカー整備者、内部者

1

A.GPS衛星

GPS衛星、標準

1

A.地上局攻撃者

地上局への攻撃、内部者中心

２

A.WiFi攻撃者

外部からのWiFi侵入

3

A.FHSS攻撃者

外部からのFHSS信号侵入

3A.LTE/5G攻撃者

外部からのLTE/5G侵入

4

A.LoRa攻撃者

外部からのLoRa侵入

3

A.コンパニオンPC攻撃者

コンパニオンPCへの攻撃、内部者、外部侵入者

3

A.GPS攻撃者

GPS信号への攻撃

3

A.FC攻撃者

FCへの攻撃、内部者、外部侵入者

3

10のプロセス、7の要求、19の活動の必須/推奨をまとめた形で、適合性証明活動の対応表を作成した。

Access Point
AS.地上局PC.標
準入出力

記述

セキュリティ対策

地上局PC.標準入出力

脅威特定: 要求⑤-活動8: 脅威リストの作成

アクセスコントロール

Access by:O.地上局PC.IDパスワー
ドALLOWS

A.オペレーター
A.安全・セキュリティ担当者

O.地上局PC.IDパスワー
ドBLOCKSA.地上局攻撃者

AS.地上局
PC.GCSGCSアプリケーション

n/a

ALLOWS

T.地上局PC.マルウェア混入
T.地上局PC.GCS.マルウェア混入
AS.地上局PC.標準入出力

AS.地上局
PC.USB

地上局PCUSBポート

O.地上局PC.2者監視

ALLOWS

A.安全・セキュリティ担当者

O.地上局PC.2者監視BLOCKSA.オペレーター
A.地上局攻撃者

AS.地上局
PC,SDカード

地上局PCSDカード

O.地上局PC.2者監視

ALLOWS

A.安全・セキュリティ担当者

O.地上局PC.2者監視BLOCKS

A.オペレーター
A.地上局攻撃者

AS.地上局
PC.Web

地上局PCのWeb接続(地図情報等)

O.地上局PC.ファイヤー
ウォール

ALLOWS

A.SDSP(80番 In)

O.地上局PC.ファイヤー
ウォール

BLOCKS

A.地上局攻撃者

AS.地上局
PC.WiFi

地上局PCのWiFi接続経由

O.WiFi.WPA2ALLOWS

AS.コンパニオンPC.WiFi

O.WiFi.WPA2BLOCKS

A.WiFi攻撃者

AS.地上局
PC.LoRa

地上局PCのLoRa接続経由 (USB)n/aALLOWS

AS.コンパニオンPC.LoRa
A.LoRa攻撃者

AS.地上局
PC.LTE

地上局PCのLTE接続経由 (Webと同義かも)

O.LTE.SSL通信

ALLOWS

AS.コンパニオンPC.LTEO.LTE.SSL通信

BLOCKS

A.LTE/5G攻撃者

AS.プロ
ポ.FHSS

プロポのFHSS経由

O.FHSS.ホッピング

ALLOWS

A.オペレーター

O.FHSS.ホッピング

BLOCKS

A.FHSS攻撃者

AS.コンパニオン
PC

コンパニオンPCログ
イン

O.コンパニオンPC.USB
キー制限

ALLOWS

A.メーカー整備車

O.コンパニオンPC.USB
キー制限

BLOCKS

A.安全・セキュリティ担当者
A.オペレーター
A.コンパニオンPC攻撃者

プロセ
活動項目
ス
要求1: システム環境の明確な記述①
活動1: システムの範囲の決定と記述①①

活動2: ネットワークおよびデータフローの記述
活動3: 正常な運用におけるインターフェースとアクターの記述

M/R
M
R
M

手法および出力
システムブロック図
ネットワーク図
データフロー図ユースケース図
ステークホルダー表

要求2: サイバーセキュリティの範囲と脅威、攻撃者の定義②②④

活動4: 脅威状態と評価尺度の定義

活動5: 攻撃者と攻撃可能な干渉口の抽出④
活動6: セキュリティ環境におけるセキュリティ境界の定義
要求3: サイバーセキュリティリスクの特定④
活動7: 資産とリスク重大度の定義⑤⑤⑤

活動8: 具体的な脅威の抽出と脅威レベルの評価
活動9: 既存の緩和策の抽出と防御レベルの評価
活動10: 脅威源から脅威事象が引き起こされるシナリオの同定

M

MM
MMMM

脅威状態定義表
リスク評価尺度定義書
ミスユースケース図
攻撃者を含むシステムブロック図
攻撃者定義表
アタックサーフェスリスト
セキュリティ環境・境界指示図
資産-脅威リスト
脅威分析表
脅威-対処リスト
緩和策リスト
脆弱性クラスリスト
脅威木の構築カットセットリスト

資産特定: 要求④-活動7: ブロック図から想起される資産と脅威事象

活動11: 脅威シナリオ中に含まれる既存の緩和策を含めたリスクの評価

M

セキュリティリスク分析表

要求5: 評価に基づく緩和策の実施と記述⑦⑧⑦⑨

活動12: 評価されたリスクに対する緩和策の追加
活動13: 残存する脆弱性とセキュリティリスクの評価
活動14: 点検・整備・運用等で行われる緩和策についての記述

Ｒ

追加要求の設計
開発者ガイドライン（追加要求）Ｒ

ファジング・テスト結果報告書
ペネトレーション・テスト結果報告書

Mセクション205 ICAへの記述
セクション200 飛行規程への記述

活動15: セキュリティリスクアセスメントのバージョン管理

Ｒ

バージョン管理ツールの利用
要求管理ツールの利用

要求6: セクション115適合性証明計画書の矛盾のない記述③
活動16: リスクアセスメントで利用する証明方法についての記述
要求7: セクション115適合性証明完了報告書の矛盾のない記述

M

コンプライアンスマトリクスＲ

セキュリティリスクシナリオ解析書⑨⑩

活動17: 全てのセキュリティリスクシナリオについてのリストの作成⑩

活動18: 全てのセキュリティリスク緩和策についてのリストの作成

Ｒ

セキュリティ緩和策妥当性解析書⑩

活動19: 全てのセキュリティリスク緩和策についての適合性評価の結果の記述

M

コンプライアンスマトリクスへの追記

対処ポリシー

Access By:

T. 地 上 局 PC. ハ イ
ジャック

地上局PCがハイジャックされ、地上局PCの権限を奪われる

n/a

ALLOWS

A. オ ペ レ ー タ ー
A.安全・セキュリティ管理者
A. 整 備 担 当 者
AS. 地 上 局 PC.Web
AS.地上局PC.WiFi

地上局PCのID/ログイン情報が漏洩することで、不正侵入される

O. 地 上 局 PC. 定 期 パスワード更新

BLOCKS

A.地上局PC攻撃者

地 上 局 PC の ID/pass が 漏 出
し、外部から侵入可能となる

O. 地 上 局 PC. 定 期 パ
スワード更新ALLOWS

A. オ ペ レ ー タ ー
A.安全・セキュリティ担当者

BLOCKS

A.地上局PC攻撃者

T. 地 上 局 PC. マ ル
ウェア混入

地上局PCにマルウェアが混入され、地上局PCに対してDoSやサービスに対する攻撃が可能となる

O.地上局PC.エンドポ
イントセキュリティ

ALLOWS/BLOCKS

AS. 地 上 局 PC.USB
AS. 地 上 局 PC.SD カ ー ドAS.地上局PC.Web

T.地上局PC.ハングアップ攻撃

地上局PCに対して高負荷を掛けてハングアップさせるなどのDoS攻撃を仕掛ける

O.地上局PC.エンドポ
イントセキュリティBLOCKSAS. 地 上 局 PC.USBAS. 地 上 局 PC.SD カ ー ドAS.地上局PC.Web

T.地上局PC.バックドア

地上局PCに対してバックドアを仕掛ける

O.地上局PC.エンドポ
イントセキュリティBLOCKSAS. 地 上 局 PC.USB
AS. 地 上 局 PC.SD カ ー ドAS.地上局PC.Web

T.地上局PC.標準入出力.不正侵入

ID/ログイン情報の漏洩などによって不正に侵入される

O. 地 上 局 PC. 二 者 監
視ALLOWS

A. オ ペ レ ー タ ー
A.安全・セキュリティ管理者
A.整備担当者

BLOCKS

A.地上局PC攻撃者

T. 地 上 局 PC.GCS.
不正侵入

GCSに対して不正侵入を行う

n/a

ALLOWS

AS.地上局PC.標準入出力

T. 地 上 局 PC.GCS.
マルウェア混入GCSにマルウェアが混入され、GCSに不備をきたす

O.地上局PC.マルウェ
アチェック

BLOCKSAS. 地 上 局 PC.USB
AS. 地 上 局 PC.SD カ ー ドAS.地上局PC.Web

緩和策特定: 要求⑤-活動9: 緩和策リストの作成
セキュリティ緩和策

記述

脆弱性クラスまたは脅威事象

O.地上局PC.IDパスワード

IDとパスワードによる地上局PCのアクセス制限

T. 地 上 局 PC.ID パ ス ワ ー ド 漏 出
F.地上局PC.IDパスワード

O.地上局PC.2者監視地上局PCの利用で、2者監視で相互監視を行う

F.地上局PC.2者監視O. 地 上 局 PC. フ ァ イ ヤ ーウォール

ファイヤーウォール設定による外部からのPCアクセスの遮断

F.地上局PC.ファイヤーウォール

脆弱性クラス

記述

LoP

ICA

飛行規程

110

F.地上局PC.IDパスワード

弱いパスワード、IDの対2✓✓

F.地上局PC.2者監視

二者監視を怠った

1✓

F.地上局PC.ファイヤーウォール

ファイヤーウォールの設定ミス

2✓

O.WiFi.WPA2WPA2設定によるWiFiネットワークの堅牢化

F.WiFi.WPA2

F.WiFi.WPA2

WPA2の設定の脆弱性

3✓

O.LTE.SSL通信

SSL通信によるデータの暗号化

F.LTE.SSL通信

F.LTE.SSL通信

SSL通信設定の脆弱性

3✓O.FHSS.ホッピング

ホッピングパターンによるRC信号の隠蔽

T.FHSS.ホッピングパターン漏出

F.コンパニオンPC.2者監視

2者監視を怠った

1

入力制限設定ミス

2

USBキー制限を付けることによるコンパニオンPCアクセス制
限T.USBキー盗難

F.コンパニオンPC.LTE.入力制限

O.コンパニオンPC.USBキー
制限

F.FHSS.ペアリング

ペアリングの重複

3

O.コンパニオンPC.2者監視

コンパニオンPCの更新で、2者監視で相互監視を行う

F.コンパニオンPC.2者監視

F.FC.カードロック

カードロックが機能していない・設定ミス

3

O.コンパニオンPC.LTE.入力制限

コンパニオンPCに対するLTEからの入力制限（出力のみにする）

F.コンパニオンPC.LTE.入力制限

F.FC.USBロック

USBロックが機能していない・設定ミス

3

O.FHSS.ペアリング

FHSSペアリングによる機器接続制限

F.FHSS.ペアリング

F.地上局PC.マルウェアチェック

マルウェアチェックを怠る/すり抜け

2✓

CC経由でのSDカードのロック機構

F.FC.カードロック

F.地上局PC.定期パスワード更新

パスワード更新を怠る

1✓

O.FC.CC経由SDカードロッ
クF.地上局PC.WiFI.MAC接続制限

MAC接続制限を怠る

2

O.FC.メンテナンス 経由SD
カードロックメンテナンスポート経由でのSDカードのロック機構

F.FC.カードロック

O.FC.CC経由USBロック

CC経由でのUSBのロック機構

F.FC.USBロック

O.FC.メンテナンス経由USB
ロック

メンテナンスポート経由でのUSBのロック機構

F.FC.USBロック

O. 地 上 局 PC. マ ル ウ ェ ア
チェック

地上局PCでのマルウェアチェック

F.地上局PC.マルウェアチェック✓✓✓

脅威木解析: 各表の項目をルールに基づいて整理

Asset

記述

SE
VThreatFatal ThreatO.地上局PC.定期パスワード
更新

IDパスワード漏出対策としてのパスワード更新

F.地上局PC.定期パスワード更新

I.地上局PC

地上局PCの乗っ取り/サービス不能

5

T.地上局PC.ID/パスワード漏出
T.地上局PC.ハイジャック
T.地上局PC.バックドア侵入

T.機体.ハイジャッ
クO.地上局PC.WiFi.MAC接続制限

MAC接続制限によるWiFiアクセス制限

F. 地 上 局 PC.WiFI.MAC 接 続 制限

T.地上局PC.マルウェア混入
T.地上局PC.パラメータデータ書換
T.地上局PC.GCSパラメータデータ書換

T.機体.制御不能
T.機体.計画外飛行

アセスメント: カットセットで抽出したシナリオの点数評価
CUID

AttakerVulnerabilit
yThreat and Measure

BEID

[A]
LoT

[F]
LoP

Assets
SEV

LoP
sum

Res.
SEV

CU1

A. オ ペレーター

n/aO. 地 上 局 PC. 標 準 入 出 力 .ID/ パ ス ワ ー ド
O. 地 上 局 PC. 標 準 入 出 力 . 二 者 監 視
T. 地 上 局 PC. 標 準 入 出 力 . 不 正 侵 入
T. 地 上 局 PC. ハ イ ジ ャ ッ ク
T.機体.ハイジャック

BE11053-2

CU2

A. 安 全 ・セキュリティ担当者

n/aO. 地 上 局 PC. 標 準 入 出 力 .ID/ パ ス ワ ー ド
O. 地 上 局 PC. 標 準 入 出 力 . 二 者 監 視
T. 地 上 局 PC. 標 準 入 出 力 . 不 正 侵 入
T. 地 上 局 PC. ハ イ ジ ャ ッ ク
T.機体.ハイジャック

BE2

1

0

5

3-2

CU3

A.地上局
攻撃者

F. 地 上 局
PC.ID/ パ ス
ワード漏出O. 地 上 局 PC. 定 期 パ ス ワ ー ド 変 更T. 地 上 局 PC.ID/ パ ス ワ ー ド 漏 出
O. 地 上 局 PC. 標 準 入 出 力 .ID/ パ ス ワ ー ド
O. 地 上 局 PC. 標 準 入 出 力 . 二 者 監 視
T. 地 上 局 PC. 標 準 入 出 力 . 不 正 侵 入
T. 地 上 局 PC. ハ イ ジ ャ ッ ク
T.機体.ハイジャック

BE
3

2

1

5

3

-2

CU4

A.Web
攻撃者

F. 地 上 局
PC.Web. フ ァ
イヤーウォール
設 定 ミ スF. 地 上 局 PC.
メディア事前スキャンミスO. 地 上 局 PC. メ デ ィ ア 事 前 ス キ ャ ン
O. 地 上 局 PC. メ デ ィ ア . 二 者 監 視
T.地上局PC.メディア.挿入時マルウェア感染
O. 地 上 局 PC. エ ン ド ポ イ ン ト セ キ ュ リ テ ィ
T. 地 上 局 PC. マ ル ウ ェ ア 混 入
O. 地 上 局 PC.Web. フ ァ イ ヤ ー ウ ォ ー ル
T. 地 上 局 PC.Web. 不 正 侵 入
T. 地 上 局 PC. ハ イ ジ ャ ッ ク
T.機体.ハイジャック

BE442,252-2

CU5A.Web攻撃者

F. 地 上 局
PC.Web. フ ァ
イヤーウォール
設 定 ミ スF. 地 上 局
PC.Web.ホワ
イトリスト運用。 . 地 上 局 PC. ホ ワ イ ト リ ス ト 運 用
T. 地 上 局 FC.Web. ブ ラ ウ ザ か ら の 攻 撃
O. 地 上 局 PC. エ ン ド ポ イ ン ト セ キ ュ リ テ ィ
T. 地 上 局 PC. マ ル ウ ェ ア 混 入
O. 地 上 局 PC.Web. フ ァ イ ヤ ー ウ ォ ー ル
T. 地 上 局 PC.Web. 不 正 侵 入
T. 地 上 局 PC. ハ イ ジ ャ ッ ク
T.機体.ハイジャック

BE542,152-1

CU6

A.WiFi攻撃者

F.WiFi.SSID
隠 蔽 ミ スF.WiFI.WPA
2エンタープラ
イズキー漏出AS, 地 上 局
PC.マルウェア
ログイン

O.WiFI.SSID
隠蔽
O.WiFi.WPA2 エ ン タ ー プ ラ イ ズ
T.WiFi.ARP_Spoofing
O. 地 上 局 PC.WiFi フ ァ イ ヤ ー ウ ォ ー ル
T. 地 上 局 PC. バ ッ ク ド ア
T. 地 上 局 PC. マ ル ウ ェ ア 混 入T. 地 上 局 PC.WiFi 不 正 侵 入
T. 地 上 局 PC. ハ イ ジ ャ ッ ク
T.機体.ハイジャック

BE
6

3

2,2,2

52-5

I.地上局
PC.GCS

地上局PCのGCS
機能の不能/不正5

T.地上局PC.マルウェア混入
T.地上局PC.GCSパラメータデータ書換
T.地上局PC.DOS

T.機体.制御不能
T.機体.計画外飛行

I.地上局
PC.WiFi

地上局PCのWiFi通
信不能

5

T.地上局PC.WiFi.サービス拒否
T.地上局PC.WiFi.ネットワークパラメータデータ書換

T.機体.制御不能
T.機体.計画外飛行
T.機体.ハイジャッ
ク

I.地上局
PC.LoRa

地上局PCのLoRa
通信不能

5T.地上局PC.LoRa.改竄
T.地上局PC.LoRa.サービス拒否

T.機体.制御不能
T.機体.計画外飛行

I.地上局
PC.LTE

地上局PCのLTE通
信不能

5T.地上局PC.LoRa.改竄
T.地上局PC.LoRa.サービス拒否

T.機体.制御不能
T.機体.計画外飛行

I.プロポ

プロポ不能/不正5

T.プロポ.ファームウェア不正更新
T.プロポ.ホッピングパターン漏出

T.機体.制御不能
T.機体.計画外飛行

I.プロポ.FHSS

プロポ通信不能5

T.プロポ.FHSS.電波干渉
T.プロポ.FHSS.不正電波混入

T.機体.制御不能
T.機体.計画外飛行

I.WiFi

WiFiルータ、ネットワーク

5

T.WiFi.ARP Spoofing
T.WiFi.ルーターハイジャック
T.WiFi.WPA鍵漏出

T.機体.ハイジャッ
ク

I.LTE

LTE回線上での侵入

5T.LTE.なりすまし
T.LTE.改竄
T.LTE.サービス拒否

T.機体.ハイジャック

I.コンパニオン
PC

コンパニオンPCの不能/不正5

T.コンパニオンPC.不正ファーム
T.コンパニオンPC.バックドア侵入
T.コンパニオンPC.ハイジャック
T.コンパニオンPC.IDパスワード漏出T.機体.ハイジャック

T.コンパニオンPC.マルウェア混入
T.コンパニオンPC.不正コード混入
T.コンパニオンPC.パラメータデータ書換
T.コンパニオンPC.サービス拒否

T.機体.制御不能
T.機体.計画外飛行

要求4: 特定されたセキュリティリスクの評価⑤⑥

記述

T. 地 上 局 PC.ID/ パ
スワード漏出緩和策特定: 要求⑤-活動9: 脆弱性クラスリストの作成

サイバーセキュリティの適合性証明の活動対応表

脅威点12

まとめと考察型式認証のサイバーセキュリティの一連の手法を、機械的に行うことができるように整理 – 尺度としては定性表現に基づく定量化を行い、ある程度簡易化した。
まだ煩雑な部分が多いことから、実例の充実化と、簡易化を進めていきたい。