データドリブンのドライバであるIoT、5G、AIに関するセキュリティ技術の動向

中尾 康二
情報通信研究機構（NICT） 主管研究員
横浜国大 客員教授
内閣官房 NISC サイバーセキュリティ参与

1

国立研究開発法人 情報通信研究機構とは？
⚫ 情報通信分野を専門とする日本で唯一の公的研究機関

日本標準時の生成・配信（うるう秒挿入）バイオ・ナノICT（生体分子の自己組織化）

光通信システム（ペタbps級 マルチコアファイバ）

脳情報通信融合（ブレイン・マシーン・インターフェイス）

宇宙通信システム（超高速インターネット衛星きずな）

多言語音声翻訳（多言語音声翻訳アプリVoiceTra）

サイエンスクラウド（ひまわり8号リアルタイムWeb）

超臨場感コミュニケーション（初音ミクさんの電子ホログラフィ）

電磁波センシング（Pi-SAR2による3.11直後の仙台空港）

サイバーセキュリティ（対サイバー攻撃アラートシステムDAEDALUS）

NICTER
Network Incident analysis Center for Tactical Emergency Response

3

本講演では
「データドリブン（Data Driven）」とは、売上データや利用者からの収集データ、WEB解析データなど、様々なデータに基づいて判断・アクションする事。
本稿では、データドリブンの世界を牽引する重要な要素
である、１)IoT、２)５G、３）繋がる車 におけるセキュ
リティ脅威、対策について述べ、データドリブンによるデータ分析などのアクションの主役となる「AIの活用」について解説する。
NICTER
Network Incident analysis Center for Tactical Emergency Response

4

IoTの世界を起点としたデータドリブンによるビジネス展開
HEMS network
Solar power
generation

Electric powercompany

SmartmetersStorage batteries/
cogeneration
units

EV/HV

Medical/health care network

AV network

IoT

4K/8K
contents
Home electricalappliances/lighting

Robot nursing

Wearable
devices

Connected Home
electrical appliances

Medical/health caredevicesHome
servers

HEMS
terminals

Agricultural lands and factories

Medical/health careservers

HEMS relatedcompanies

Home gateway
Automated driving

ITS roadside
units

繋がる
車
In-vehicle ECUInter-vehiclecommunicati
onCollaboration between ITS andautomobile safety functions

Service provision servers(Cloud)Retroactive
in-vehicle
devices

５G

Telematics terminals,
data recorders, etc.
Brought-in
devices

New services

Medical institutions/health care companies

Automobile manufacturers/traffic control systems

Convenience
お
弁
当
セ
ー
ル

Contents
provisioncompanies

ATM

Network devices in publicareas in living environment

Device manufacturers
Remote monitoring/control

NICTER
Network Incident analysis Center for Tactical Emergency Response5

5

NICTER
Network Incident analysis Center for Tactical Emergency Response

6

見えている最近のセキュリティ上の
脅威は？

6

7

ダークネットで何が見えているのか？
⚫マルウェアによるスキャン✓ ワーム型マルウェアの探索活動✓ マルウェア感染の大局的傾向✓ 感染爆発の前兆⚫DDoS攻撃の跳ね返り✓ 送信元IPアドレス偽装されたSYN Flood✓ 被攻撃サーバからの応答（SYN-ACK）✓ DDoS攻撃の早期検知（1パケット目から）⚫リフレクション攻撃の準備活動✓ DNS Open Resolver探索✓ NTP探索 etc.

⚫設定ミス

✓ 組織内ダークネット

Darknetnicter-Atlas （ダークネット観測システム）
による全スキャン■UDP■TCP SYN■TCP SYN/ACK■TCP Other
■ICMP

8

9

10

NICTER観測統計（2005-2018）
年

年間総観測パケット数

観測IPアドレス数

1 IPアドレス当たりの年間総観測パケット数

2005

約 3.1億約1.6万

19,0662006

約 8.1億約10万

17,231

2007

約19.9億約10万

19,1182008

約22.9億約12万

22,7102009

約35.7億約12万

36,1902010

約56.5億約12万

50,1282011

約45.4億約12万

40,6542012

約77.8億約19万

53,0852013

約128.8億

約21万

63,6552014

約256.6億

約24万

115,3232015

約545.1億

約28万

213,5232016

約1,281億

約30万

469,1042017

約1,504億

約30万

559,1252018

約2,121億

約30万

789,876

800,000
700,000
600,000
500,000
400,000
300,000
200,000
100,000
0

2005

2006

2007

2008

2009

2010

2011

2012

2013

1 IPアドレスあたりの年間総観測パケット数

2014

2015

2016

2017

2018

NICTER
Network Incident analysis Center for Tactical Emergency Responseマルウェア関連用語～ マルウェアの感染形態に着目した分類～⚫ ウイルス（狭義のウイルス）✓ 単体動作せず，自分自身を他のファイルやプログラムに寄生✓ ブートセクタ感染型：ハードディスクなどのシステム領域に感染
ウイルス✓ ファイル感染型：実行可能ファイルを主な感染対象⚫ ワーム✓ 単体で動作し自己増殖を行う✓ ウイルスに比べ高い感染力を有し，大規模感染を引き起こす✓ 電子メールやリムーバブルメディア（USBメモリ等）を媒体とするもの
ワーム✓ Windowsのファイル共有やメッセージング機能を利用するもの✓ OSやアプリケーションの脆弱性に対する攻撃コードを用いるもの⚫ トロイの木馬✓ 有用なプログラムやファイルに偽装✓ ユーザ自身によるシステムへのインストールや起動を誘う
トロイの木馬
出典：GIZMODE Japan✓ 感染機能を持たないものが多い

11

マルウェア関連用語～ マルウェアの目的に着目した分類～⚫ スパイウェア✓ 個人情報や行動履歴を収集し，特定のサーバなどに送信する✓ ユーザのキーボード操作を記録・収集するキーロガーもスパイウェアの一種⚫ アドウェア
✓ ユーザに企業広告などを提示することを目的にしたプログラム✓ ユーザの同意なしに広告を頻繁にポップアップ／Webサイトに強制誘導⚫ ランサムウェア✓ ユーザのPC上のデータを強制的に暗号化／パスワード付きZIP圧縮✓ データの復号や解凍の見返りとしてユーザから身代金（ransom）を搾取⚫ スケアウェア✓ ユーザに虚偽の情報（マルウェア感染等）を提示✓ 不安（scare）を煽り無意味なソフトウェアを販売

12

13

最近見えている脅威（攻撃）1. ランサムウェア（WannaCry, Emotet等)
2. DDoS（DR-DoS、Application DoSの攻撃等）
3. APTに関係する攻撃（標的型攻撃）（年金機構、三菱電機などへの攻撃）ー Stardust技術等
4. BEC（Business Email Compromise)
5. フィッシング
6. インターネットバンキングを狙う攻撃
などなど

14

横浜国立大学
吉岡研究室による調査

IoTInternet of Things

15

日本におけるIoT マーケット領域• ハードウェアはそんなに伸びていない• しかし、サービス領域の伸びがありそう。
Billion JPY

Domestic IoT Market Investments Prediction: 2017～2022（Source：IDC Japan）
https://japan.zdnet.com/article/35125558/

16

日本におけるIoT が活用されるサービス領域
Tracking

1.
2.
3.
4.

Automobile
Objects
Human
Livestock

Monitoring
Analysis

5. Agri-Field
6. Factory
7. Home/Building
8. Shops
9. Public Facility
10. Energy Plant
11. Transport
Condition
12. Truck Operation
13. Human Health
14. Livestock
15. Physical Security
16. Disaster17. Nature Environment

Energy Consumption
Optimization 18.
19. Factory Production
20. Supply-Chain
21. Delivery RouteNew
Services

22. Sharing service
23. Wearable Device
24. Smart Product25. Connected Car
26. Smart/Telematics
Insurance
27. Smart retails
28. IoT Payment Device

ITR/2017
https://www.itr.co.jp/company/press/171012PR.html

17

IoT におけるビジネス環境（分類）ManagedUn-managed

Critical Infra

Electricity

Smart
Elec. Meter

IoT
Home GW

Smart Home

HEMS

ATM

Smart
City/Town

fixed

Smart Home
Apps
Smart Health

Smart Phone

TrainsLife Support Robots

movableAutomotive

SIP: Strategic Innovation Promotion Project
by Cabinet Office, Gov. of Japan

ref: Dr. Tokuda, Keio Univ.

18

Cyber attacks in IoT
on the rise

18

19

IoT機器の大量マルウェア感染が既に発生している20

過去6ヶ月で横浜国大に攻撃をしてきた
マルウェア感染ＩｏＴ機器

約60万台‡‡IPアドレスによる区別

500種類以上†† WebおよびTelnetの応答による判断

感染機器の種別の例• 監視カメラ等– IP カメラ– デジタルビデオレコーダ• ネットワーク機器– ルータ・ゲートウェイ– モデム– ブリッジ– 無線ルータ– セキュリティアプライアンス• 電話関連機器– VoIPゲートウェイ– IP電話– GSMルータ– アナログ電話アダプタ• インフラ– 駐車管理システム– LEDディスプレイ制御システム• 制御システム– ソリッドステートレコーダ– インターネット接続モジュール– センサ監視装置– ビル制御システム• 家庭・個人向け– Webカメラ– ビデオレコーダ– ホームオートメーションGW• 放送関連機器– 映像配信システム– デジタル音声レコーダ– ビデオエンコーダ/デコーダ– セットトップボックス・アンテナ• その他– ヒートポンプ– 火災報知システム– ディスク型記憶装置– 指紋スキャナ
デバイスはWebおよびTelnetの応答から判断しています.

21

22

大量感染の根本原因は？

Telnetやはり、多くの機器で”Telnet”が動いていますopenpli.3.0.dm800se

BCM96328 Broadband Router
Netgear login:

TL-WR740N login:
BCM96328 xDSL Router

MX120-VoIP-AG login:

BCM96328 ADSL Router
Router CLI User Access Verification
dm800se.login:

dvrdvs.login:

Hikvision login:

Air5450v2 login:advrdvs login:et4x00 login:

インターネット上の任意のホストからアクセス
可能なTelnetサービスのバナーの例

23

24

しかも多くはデフォルト/弱いパスワードで[shogo@www9058up ~]$ telnet x.x.243.13
Trying x.x.243.13...
Connected to x.x.243.13.
Escape character is '^]'.
openpli.3.0.dm800s
dm800se.login: root
Password:12345

リモートログイン成功
BusyBox v1.1.2 (2007.05.09-01:19+0000) Built-in shell(ash)Enter 'help' for a list of built-in commands.

25

なぜIoT 機器が感染？？
• 24/7 オンライン• AVがない• 弱い/デフォルトのID/PWの使用• 機器のライフサイクルが長い• グローバル IP を持ち、インターネットへの接続を開いている• かなり重要なアプリケーションにも活用されているため、インパクトが大きい場合がある
などなど

26

攻撃の観測のための２つのアプローチ» （これまでの）受動(passive)型：

観測用ネットワークで攻撃が来るのを待つ• ダークネットモニタリング• ハニーポット» 能動(active)型：

インターネット上の攻撃ホスト情報・脆弱性等を自ら探索する• Web, Telnet, FTP等へのアクセスによる機器、システムの判定• バックドアポート等の確認

27

受動型ダークネットによる攻撃の観測
ダークネット：パソコンや機器等のエンドホストが接続されていない未使用のIPアドレス帯

ダークネットマルウェア(不正プログラム)に感染して外部に無作為に攻撃を行っているパソコン、デバイスからの攻撃の観測に有効nicter-Atlasに“Port23”のスキャン

28

29

IoT関連ポートへのスキャンはますます増加・多様化
2M/day!

3M/day!

Oct 21: Dyn attack

Sep 30:Mirai code leaked

Nov 27: TR-069 attack

1e+06

Sep 20: Krebs attack

2e+06

Total
23/TCP(Telnet)
2323/TCP(Telnet)
5358/TCP(Telnet)
5555/TCP(TR-069/TR-064)
6789/TCP(Telnet)
7547/TCP(TR-069/TR-064)
23231(Telnet)
37777/TCP(UPnP)

Sep 6: Mirai updated

3e+06

Aug 1: Mirai inception#IP addresses

日単位のNICTERダークネットでみる攻撃ホスト数

1e+00

Jan 2016

Apr 2016

Jul 2016

Oct 2016

Jan 2017

30

IoT攻撃に関連するポート群へのスキャン（ポート23へのスキャンを含む）

23/TCP
22/TCP
2222/TCP
80/TCP
8080/TCP
5358/TCP
81/TCP
9000/TCP

31

感染機器の分布（2018年）- NICTER 観測レポート 2018：宛先ポート番号別パケット数分布 -IoT = 47.7%（上位30ポート中）
ポート番号23/TCP
22%

Other Ports

445/TCP41%

5%80/TCP

攻撃対象

23/TCP

IoT機器 （Webカメラ等）

445/TCP

Windows（サーバサービス）

80/TCP

Webサーバ（HTTP）

22/TCP

IoT機器（ルータ等）
認証サーバ（SSH）

52869/TCP

IoT機器（ホームルータ等）

81/TCP

IoT機器（ホームルータ等）

8080/TCP

IoT機器（Webカメラ等）

8545/TCP

イーサリアム（仮想通貨）

2323/TCP

IoT機器（Webカメラ等）

5555/TCP

Android機器（セットトップボックス等）

4%
22/TCP
4%52869/TCP
3%
81/TCP
2%
9000/TCP

8080/TCP

0%2%8545/TCP

5900/TCP

2%0%53413/UDP
0%8081/TCP
0%2323/TCP
3306/TCP
8000/TCP

53/UDP

0%

0%

2%

0%
389/UDP0%1900/UDP
21/TCP1%
8088/TCP
1%0%18183/UDP
0%

1%

123/UDP1%

3389/TCP
5555/TCP

1%

1%

1%
2000/TC…

8888/TCP
6379/TCP

1433/TCP

443/TCP1%5060/UDP
1%

1%

NICTER
Network Incident analysis Center for Tactical Emergency Responseハニーポットによる攻撃の観測とマルウェアの捕獲・詳細分析
脆弱な機器を模擬した囮システム(ハニーポット)により攻撃元と通信を行い、攻撃の観測・マルウェア捕獲し、詳細解析を行う
マルウェア
捕獲！

攻撃元機器
(マルウェア
感染済)
攻撃者が用意したサーバ

IoT
ハニーポット
解析システム(サンドボックス)
詳細解析！

32

33

攻撃ホストはIoT 機器（横国調べ）

Yin Minn Pa Pa, Shogo Suzuki, Katsunari Yoshioka, and Tsutomu Matsumoto, Takahiro Kasama, Christian Rossow, “IoTPOT:
Analysing the Rise of IoT Compromises,” 9th USENIX Workshop on Offensive Technologies (USENIX WOOT 2015).

34

感染IoT機器の種別• ハニーに接続してきたIoTデバイスは、
それが何かの詳細は多くが不明。
– きちんと分類できた：10%以下– ７２種類の多種のIoT機器タイプ• ほとんとが IP カメラ と DVRs

DVR
IPカメラ

35

IPアドレス数の観点から、感染国の状況
1. Vietnam
2. China
3. Brazil
上記のトップ３の国で半分以上を占めているTelnetベースのマルウェア感染の流れ
マルウェアダウンロードサーバ

制御サーバ

マルウェア
本体

3. マルウェア
本体のダウンロード

攻撃者

4. コマンドによる遠隔操作

2. Telnetによる環境チェック・
カスタマイズ被害者
5. 様々な攻撃

1. Telnetでの辞書攻撃による侵入36

マルウェアのバイナリーDLの例

Binaries of MIPS, MIPSEL, ARM, PPC,SUPERH, MIPS16 are all downloaded andexecuted37

38

捕獲できているバイナリー
18000

About 24% are in VT

16000

25000+
Binaries
As of April
2018

Total # of binaries /month

14000
12000
10000
8000
6000
4000
2000
0
2016/10

2016/112016/122017/012017/022017/03

39

最新IoT機器のマルウェア• Mirai– telnetサービスを使って500,000以上のIoT機器に感染– 特徴は• 23/TCP，2323/TCPへスキャン• 辞書攻撃• スキャン先IPアドレスとTCPシーケンス番号が同一• 送信先，windowサイズ，送信ポートはランダム（多分）– 2016年9月にAnna-senpaiと名乗る人物がHackforumsにソースコードを公開（その後GitHubにも公開）Mirai情報（続）DDoS攻撃・Krebs on Security（16/9/20）-Akamaiサービス
・DYN社DNSサーバ(16/10/21)-Netflix-Twitter-Amazon

・感染機器
-プリンタ
-カメラ
-ルータ
-DVR

・対応アーキテクチャ
-ARM
-ARM7
-MIPS
-PowerPC-SH4-SPARC
-X86

40

41

発生時の送信元国傾向
VN
CN

15%

14%

VN

15%

49%

BR

BR
TW
TR

Other

10%
55%

9%

IN

8%

5%

IN

8%

Other

Other

7%
5%

BR

IN

VN

TW

TW

TR
CN

BR

IN

VN

TW

Other

Mirai発生前のIoT感染国

Miraiの感染国（2016/08/01）（2016/07/31）

42

攻撃の観測のための２つのアプローチ» （これまでの）受動(passive)型：

観測用ネットワークで攻撃が来るのを待つ• ダークネットモニタリング• ハニーポット» 能動(active)型：

インターネット上の攻撃ホスト情報・脆弱性等を自ら探索する• Web, Telnet, FTP等へのアクセスによる機器、システムの判定• バックドアポート等の確認

43

攻撃元機器の判定

ハニーポットダークネットWeb、Telnetサービスへの接続による機器判定→IoT機器であることを確認44

攻撃元（感染）機器のWebインターフェイスの例

デバイスはWebおよびTelnetの応答から判断しています.

• 監視カメラ等

感
染
機
器
の
種
別
の
推
定

•

– IP カメラ– デジタルビデオレコーダ• ネットワーク機器

制御システム– ソリッドステートレコーダ– インターネット接続モジュール– センサ監視装置– ビル制御システム
家庭・個人向け– Webカメラ、ビデオレコーダ– ホームオートメーションGW– 太陽光発電管理システム– 電力需要監視システム
放送関連機器– 映像配信システム– デジタル音声レコーダ– ビデオエンコーダ/デコーダ– セットトップボックス・アンテナ
その他– ヒートポンプ– 火災報知システム– ディスク型記憶装置– 医療機器(MRI)– 指紋スキャナ– ルータ・ゲートウェイ•– モデム、ブリッジ– 国内メーカの機器の感染事例も複数確認
無線ルータ– 感染機器情報はJPCERT/CC,
ネットワークストレージ
内閣サイバー– セキュリティアプライアンス

セキュリティセンターに情報提供、または、• 電話関連機器•– メーカに直接情報提供済
VoIPゲートウェイ– IP電話– GSMルータ– アナログ電話アダプタ• インフラ– 駐車管理システム– LEDディスプレイ制御システム

•

45

46

世界中の機器をスキャンした結果を公開しているサイトCensys(ミシガン大学)

１千万件を超えるヒットネットワークカメラ画像無断公開サイト：Insecam
https://www.insecam.org/

Japan isNo 2(2018/10/2)

47

48

見つかった脆弱な IoT 機器
一つASから154種類の脆弱なIoT機器が見つかった
1.3%
3.9%
IP camera
Rouer
NAS
NVR
Remote monitoring
DVR
ICS
Copier
Security applianceOther1.3% 5.2%

3.9%

8.4%

40.9%

9.7%
11.0%

14.3%

49

事例:

Waterworks Monitoring System

50

事例:

River Gate

51

最近、NASAへのサイバー攻撃（2019）⚫ NASAのジェット推進研究所（JPL）から機密データ漏洩⚫ 無許可接続されたRaspberry Piが原因（野良IoT）

https://oig.nasa.gov/docs/IG-19-022.pdf
https://www.itmedia.co.jp/news/articles/1906/23/news012.html
https://gigazine.net/news/20190625-nasa-hacked-raspberry-pi/

NICTER
Network Incident analysis Center for Tactical Emergency Response

IoTマルウェア駆除実験
4)電源切、コマンドによるシステムリブート、工場出荷状態に戻す、など操作を実施
1)感染が確認されている機器といずれの機器でも主電源による再起動と同機種を購入工場出荷状態の復元の操作によりマルウェア駆除が可能
特に主電源による再起動では機器設定を初期状態に戻すことなく駆除が可能であった

しかし、2018年５月には世界54カ国で50万台を超えるIoT機器が マルウェアVPNFilterに感染していることが確認されており、そのマルウェアは、再起動でも継続活動を行うもの。（持続感染性）

2)通常使用時のファイルシステム、
プロセスを記録

3)実ＩｏＴマルウェア
で攻撃、感染の確認(C2通信など)

5)感染前と比較して感染状態が修復されているか確認

52

53

駆除後の再感染時間の測定• マルウェア駆除後、感染原因を改善しなければ容易に再感染する恐れがある• そこで駆除実験後，各機器をインターネットに接続し再びマルウェアに感染するまでの時間を観測した
測定手順
3.感染までの経過時間を記録し機器を再起動

IPカメラAを除く6種類の機器では最短で38秒､最長でも73分で感染した。また，3回の測定の平均をとるとすべて再感染は1時
1.IoT機器に対するTelnet通信を観測間以内であり、対策を講じていない機器では短時間で感染してしまうことがわかった
2. マルウェアがダウンロードされ実行された時，感染状態と判断54

最近、感染マルウェアの挙動として分かってきている事
1. 感染後、自動的にネットワーク環境を取得する– Wi-Fi setting, SSID, Password

2. 環境設定変更に関する攻撃– VPN, Firewall activation, DDNS, DNS, Firmware Update

3. 他のIoTマルウェアの感染をブロックするための試みを行う– Firmware Update, Firewall activation

などなど

55

IoTのセキュリティ対策に関連する
活動事例

56

総務省 「IoTセキュリティ戦略」

IoTセキュリティ総合対策（2017年10月公表）①脆弱性対策に係る体制の整備
・ IoT機器の脆弱性についてライフサイクル全体（設計・製造、販売、設置、運用・保守、利用）を見通した対策が必要。
・ 脆弱性調査の実施等のための体制整備が必要。

②研究開発の推進
・ セキュリティ運用の知見を情報共有し、ニーズにあった研究開発を促進。

④人材育成の強化
・ 圧倒的にセキュリティ人材が不足する中、実践的サイバー防御演習等を推進。

③民間企業等におけるセキュリティ対策の促進
・ 民間企業等のサイバーセキュリティに係る投資を促進。
・ サイバー攻撃の被害及びその拡大防止のための、攻撃・脅威情報の共有の促進。

⑤国際連携の推進

・ 二国間及び多国間の枠組みの中での情報共有やルール作り、人材育成、研究開発を推進。

半年に１度を目途としつつ、必要に応じて検証（関係府省と連携）
総合対策の進捗状況や今後の取組方針を整理し、「プログレスレポート」として公表（平成30年７月）

57

58

NOTICE⚫ NOTICE: National Operation Towards IoT Clean Environment⚫ 総務省、NICT、ISPが連携し、サイバー攻撃に悪用されるおそれのある機器の調査及び当該機器の利用者への注意喚起を行う取組

https://notice.go.jp/

NICTER
Network Incident analysis Center for Tactical Emergency Response

59

NICTによるIoT機器調査の技術詳細
ISPInternet⑩ユーザへの注意喚起⑨ISPへの通知①ポートスキャン（ツール：MASSCAN）③バナー収集⑦特定アクセス試行（ツール：ZGrab 2.0）

（ツール：NICT独自開発システム）
認定送信型対電気通信設備
サイバー攻撃対処協会⓪日本のアドレスリスト取得⑧認定協会への通知データ受け渡し②ポート開放アドレスリスト⑤バナー収集成功リスト④機種特定⑥特定アクセス対象抽出

機種特定
シグネチャDB

特定アクセス
対象DB

NICTER
Network Incident analysis Center for Tactical Emergency Response

60

能動的対策と受動的対策
能動的対策

受動的対策

パスワード設定等に不備があるIoT機器

感染IoT機器

能動的観測

受動的観測

ISP

通知

NICTER
通知
NICTER
Network Incident analysis Center for Tactical Emergency Response

61

2019年9月NOTICE注意喚起の実施状況公開（アクティブスキャン）

NOTICEの取組結果

NICTER（パッシブモニタリング）

マルウェアに感染しているIoT機器の利用者への注意喚起の取組結果

調査対象となったIPアドレスのうち、
ID・パスワードが入力可能であったもの→ 約98000件
上記の内、ID・パスワードによりログインでき、注意喚起の対象となったもの

感染が確認されたIPアドレス（日）の数→ 80件～559件→ 延べ505件
出典：総務省、NICT、ICT-ISAC “脆弱なIoT機器及びマルウェアに感染しているIoT機器の利用者への注意喚起の実施状況”

http://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00033.html

NICTER
Network Incident analysis Center for Tactical Emergency Response

62

日本国内のMiraiのアクセスが減少？

出典：JPCERT/CC

出典：INTERNET Watch

出典：ScanNetSecurity

https://www.jpcert.or.jp/tsubame/report/index.html

https://internet.watch.impress.co.jp/docs/news/1196620.html

https://scan.netsecurity.ne.jp/article/2019/07/17/42632.html

NICTER
Network Incident analysis Center for Tactical Emergency Response

63

NOTICE の「まとめ」⚫NOTICEの舞台裏✓NICT法改正✓IoT機器調査の技術詳細⚫NOTICEのこれから✓これまで：抑制的なIoT機器調査✓これから：• 調査対象ポートの拡大• ID/パスワードの増加• 機器特定能力の強化

etc. etc...

IoT機器調査業務は試行錯誤を重ねつつ
NICT職員が厳粛に進めておりますのでご理解の程よろしくお願いいたします。

NICTER
Network Incident analysis Center for Tactical Emergency Response

64

今後のIoTに関連する論点（研究開発含む）
1. 脆弱なIoTに対する具体的な対策（総務省）（研究開発含む）
2. サイバーフィジカル環境のフレームワーク （経済産業省）
管理策としては、２７０３０と親和性あり

3. 国際/国内ガイドラインのさらなる整備（標準化）4. 検出、分析、パッチ、運用などの自動化の研究開発

5. IoT環境に関わる認証スキームの整備（標準化）
6. 国際的な連携の強化 （研究連携を含む）

５G時代

LTEと比較した５Gの基本的な特徴

Date Speed

Latency

Connections

66

67

LTEから５Gへの新しいネットワークパラダイム

想定される５Gの商用サービス（韓国の例）

68

69

セキュリティの脅威：1Gから5G
年

アプリケーション脅威

1G

1970-1980

音声通話

物理的盗聴, 詐欺

2G

1990-2004

音声通話 + テキスト

スパム, 不正基地局

3G

2004-2010

音声通話 + インターネット

ウイルス, スパイウェア, 不正アプリ

4G

2011-2015

音声通話 + ビデオ + インターネット

モバイルウェア, 標的型攻撃, DDoS攻撃

5G

2020

コネクテッド・ワールド

サイバー戦, スパイ活動, 重要インフラ攻撃

出典: “A Comprehensive Guide to 5G Security,” Wiley, Jan 2018.

70

5Gセキュリティのトピック⚫Part II: 5Gネットワークセキュリティ✓ Physical Layer Security✓ 5G-WLAN Security✓ Safety of 5G Network Infrastructure✓ Customer Edge Switching: A Security Framework for 5G✓ Software Defined Security Monitoring in 5G Networks⚫Part III: 5Gデバイス＆ユーザセキュリティ✓ IoT Security✓ User Privacy, Identity and Trust in 5G✓ 5G Positioning: Security and Privacy Aspects⚫Part IV: 5Gクラウド＆仮想ネットワークセキュリティ✓ Mobile virtual Network Operators (MVNO) Security✓ NFV and NFV-based Security Services✓ Cloud and MEC Security✓ Regulatory Impact on 5G Security and Privacy

出典: “A Comprehensive Guide to 5G Security,” Wiley, Jan 2018.

71

5G セキュリティに向けたNICTのアプローチ• 5Gは、IoT、クラウド、仮想化技術などを含む、統合されたシステ
ム環境になっていることを考慮する必要がある。
• ５Gセキュリティを遂行するためには、対象となる５Gシステムの「脅威分析」、「リスク識別」、「セキュリティ要件の抽出」、「セキュリティ対策の実施と評価」、及び「セキュリティ機能の見直し」などのプロセスが必要である。
• 上記プロセスを推進するためには、５Gの対象システムの参照モデルの導出が重要となり、その検討が先だって重要となる。
• これらのプロセスにおいては、３GPPやGSMAなどの活動の動向を注視する必要がある。

72

国内における5Gセキュリティの検討⚫総務省直轄プロジェクト（2020年1月～）✓ ５Ｇネットワークにおけるセキュリティ確保に向けた調査・検討✓ KDDI, NTTドコモ、 NEC、 NICT

⚫5Gセキュリティ 動向調査
⚫5Gセキュリティ リスク分析⚫5Gセキュリティ 検証環境構築⚫5Gセキュリティ 脆弱性調査/脅威分析⚫5Gセキュリティ ガイドラインβ版
ホワイトハットハッカーによる脅威分析73

5G セキュリティに向けた試み
NICTは、５Gシステムに内在する脆弱性や弱点を評価・解析するための活動を開始しており、2020年には本格化する予定。（以下は、想定システムにおける想定脅威例）
5G エッジアプリケーション-IoT関連アプリ-車関連アプリ等

Data Center

Internet
SMF

AMF

MEC

UPF

5G 無線アクセスネットワーク
エッジ機器など
•
•
•
•
•
•
•
•

マルウェア
ダウングレード攻撃
中間者攻撃
DDoS/DoS 攻撃
サプライチェーンリスク
Bluetooth/NFC/Wi-Fi
ソフト/ファームへの攻撃
物理攻撃など5G コアネットワーク

RAN/Air インタフェース:
•
•
•
•
•
•

ローグ gNB
中間者攻撃
パッシブ CP/UP スニーフィング
ジャミング攻撃 (DoS 攻撃）
非認証帯域利用物理攻撃などMicro Data Center
ネットワークスライス/MEC:
バックフォール等の通信:
•
•
•
•
•

CP/UPスニーフィング
中間者攻撃
MEC DoS
ジャミング攻撃
物理攻撃など

•
•
•
•
•
•

DDoS/DoS 攻撃
OS/Software のハッキング
仮想化脆弱性をついた攻撃
アプリケーション脆弱性をついた攻撃
オーケストレーション 攻撃
物理攻撃など5G コア:
•
•
•
•
•
•
•
•

仮想化脆弱性をついた攻撃
OS/Software のハッキング
アプリケーション脆弱性をついた攻撃
オーケストレーション 攻撃
不正メッセージフローによる攻撃
ローミングの弱点を使った攻撃
DDoS/DoS 攻撃
API 脆弱性を突いた攻撃 など

74

繋がる車の世界では・・・（Connected Car)

75

Relation between Cars and ICT (Past, present and future)
Various Web services
・Internet Radio・Restaurant Guide
・Map/ Navigation service
・Weather, NewsInternet
Cloud
Data
CenterDynamic Route
Guidance
Probe Data fromothers×○

Detection ofHazardous
Environmental
Probe Data
Changes fromothersServerServerRequestex. Traffic Jam Avoidance
ECO Driving
Live

Map Update

ex. Slippery
Spots, Flooding

Serverex. Charging Spots, Estimation
Register newof Driving Distancecharging spot

1900

～

1970

Implementation of
ECU (semiconductor)
Slide from Prof. Tsuguo Nobe2000 10 15
200 ECUs for luxury cars,
50-60 for volume cars

Relation between Cars and ICT (Past, present and future)
It is desirable that the
network is always available,
but not necessarily always
connected

Various Web services
・Internet Radio・Restaurant Guide
・Map/ Navigation service
・Weather, News

Mobility
Service Biz.

Cloud
Data
Center

3D MapDB
Driving
AlgorismOccasionally Update

The car runs as thedriver operates
Likewise, runs as thecomputer instructs
Software must be
developed to always
instruct correctly
Cars will become
IoT clients

1900

～

1970

2000 10 15 20 25

Age of
200 ECUs for luxury
cars,
Artificial
Age of semiconductor
50-60 for volume
carsIntelligence

Century of petroleum, century of cars
Slide from Prof. Tsuguo Nobe

Age of the Internet

76車内がクラウドのようなシステム環境に77インテリジェントマルチメディアサービス

78加えて、インテリジェントな接続性を具備

79

議論の中心に “Connected Car”がある。

http://johndayautomotivelectronics.com/top-five-technologies-enabling-the-connected-car/

80

増え続ける攻撃インターフェース

http://gigaom.com/2013/08/06/ciscos-remedy-for-connected-car-security-treat-the-car-like-an-enterprise/

81

82

繋がる車の環境（エコシステム）

83

想定される繋がる車への脅威
繋がる車、エコシステムへの脅威
1. バックエンドシステムの脅威
2. 通信チャネルから来る車への脅威
3. アップデータ手続きから来る車への脅威
4. 意図しない人の行動から来る車への脅威
5. 外部接続性や実際の接続から来る車への脅威
脅威と関連する潜在的な情報
1. 攻撃の潜在的標的化、車への攻撃のモティベーション
2. 完全に防御ができていない部分にある潜在的な脆弱性
UNECE WP29 Cybersecurity Recommendation, X.1371より抜粋

車では５G無線環境の活用を想定！

84

85

５Gを想定した、エッジコンピューティングによる繋がる車

ITU-T X.itssec-5 ドラフトより抜粋

86

事例（国家主導プロジェクト）杭州ETシティブレイン
https://jp.alibabacloud.com/solutions/et/city

ET City Brain の革新的なプラクティス＜事故や渋滞の検出とスマートな対応＞• コミュニティと公共の安全• 交通渋滞と信号制御• 公共交通機関と配車• 事故や渋滞の検出とスマートな対応＜効果＞
より多くの事故や渋滞をインテリジェントに検出し、平均処理時間を削減＜実装方法＞
ビデオ映像から交通事故や渋滞を認識することで、ET City Brain はインターネットデータとアラームデータを統合し、都市全体の交通事故を即座に包括的に把握します。また、スマートな配車テクノロジを使用し、警察、消防、
救急、その他の車両に対して統合的な配車指令を実行します。さらに、緊急対応車両が緊急現場に向けて優先的に通行できるよう、信号の調整も行いま
す。

88

(ETシティブレイン）コミュニティと公共の安全• 効果:
セキュリティと緊急対応時間を効率化し、プロアクティブな公安や安全対策を実現• 実装方法:
ビデオ解析テクノロジを使用して都市全体をインデックス化。また、ビデオ認識アルゴリズムにより、当局は公共の安全とセキュリティ確保のための予防的措置が取れるようにする。

89

コネクテッドカーの現状とNICTの方向◼ 将来の自動車業界に対し、ICTは多大な価値を与えることになる。

➢ Deep Learningの車への応用により、自動運転（レベル４）は2020年～2022
年には商用化されていくものと期待。,◼ 米国、欧州などは、「繋がる車」、「自動化された車」、「車のシェア及び極端に電子化」を目指した流れに向かっている。
➢ 他輸送サービスとの融合による、マルチモーダル化の推進も想定◼ 自動車関連のビジネスは、クラウド/IoTに基づくサービスに移行していく傾向が高く、そのため、多くのIT企業へのビジネスチャンスが広がっている。
◼ NICTとしては、以下の視点で研究を推進中➢ 高度化された車を対象とした脆弱性検証（CAN、インフォテインメント系、センサ系、デバイスローレイヤ等）➢ 車での活用を想定した「軽量暗号化」の研究➢ 検証結果などをまとめた車のセキュリティ標準化への貢献

90

繋がる車のためのセキュリティ対策研究
1. ソフトウェア/ファームウェアへの安全なリモートパッチのための研究（国際標準化や国内OEMでの審議が活性化中）
2. 高度化された車を対象とした脆弱性検証（CAN、インフォテイ
ンメント系、センサ系、デバイスローレイヤ等）に関する研究
3. 車への侵入検知システムなどの対策研究
4. エッジコンピューティング等の活用による新たなサービスのためのセキュリティ確保の研究
5. 車等の環境において活用が期待される軽量暗号の研究など参考として、ISO/SAE 21434 （Road vehicles — Cybersecurity engineering） 等

91

NICTサイバーセキュリティ研究室の研究相関図
Network Incident analysis Center for Tactical Emergency Response

NICTER

Passive

NICTER Real-network Visual ANAlyzer KAINIRVANA改

Direct Alert Environment for Darknet And Livenet Unified Security

NICTER Real-network Visual ANAlyzer KAI-IIDAEDALUSNIRVANA改弐

Global (indiscriminate attack)(targeted attack)Honeypot for Amplification Attack

AmpPOT#
Honeypot for IoT Malware

IoTPOT# Web-based Attack Response with Practicaland Deployable Research InitiatiVE

Large-scale Deception Framework
Cybersecurity Universal REpository

CURE(Commission Research)# Collaborative research with Yokohama National Univ. and Saarland Univ.

ActiveSTARDUST

Local

92

サイバーセキュリティの研究開発における今後の重点課題⚫データドリブンなサイバーセキュリティ研究✓ NICTを日本最大のセキュリティビッグデータの集積地に✓ セキュリティビッグデータからセキュリティインテリジェンスへ

DNS
DB

Proxy
Log

Blogs

From Security Big Data
Honey
pot

News

Asset
Info

⚫5Gセキュリティ
✓ 5Gネットワークのコア/エッジ/アクセスのセキュリティ検証✓ NICT＋通信キャリア＋機器ベンダーによる検証体制構築✓ NICT自身をテストベッドとした国産セキュリティ技術の検証・評価✓ 国産セキュリティ技術を創り・育て・世界へ展開

Amp
Pot

CURE

IoT
PoT

VulnerabilityAlerts⚫セキュリティ自給率の向上

Live
net

Twitter⚫AI x Cybersecurity✓ 実データに基づくリアルタイム機械学習エンジン開発✓ 機械学習技術を応用したセキュリティオペーレーション高速化

Dark
net

piyokango

To Security Intelligence

SPAM

Web

Events

CrawlerMal
ware(result)

DBD
Mal
ware
(exe)

C&C
URL

93

NICTサイバーセキュリティ研究室の研究相関図（２）Passive

G

Network Incident analysis Center for Tactical Emergency Response

NICTER Real-network Visual ANAlyzer KAI

NICTERNIRVANA改+ AI & 5G

Direct Alert Environment for Darknet And Livenet Unified Security

NICTER Real-network Visual ANAlyzer KAI-IIDAEDALUSNIRVANA改弐(targeted attack)lobal (indiscriminate attack)Honeypot for Amplification Attack

AmpPOT#
Honeypot for IoT Malware

including Automotive

IoTPOT# Web-based Attack Response with Practicaland Deployable Research InitiatiVE

Large-scale Deception Framework

Cybersecurity Universal REpository

CURE(Commission Research)# Collaborative research with Yokohama National Univ. and Saarland Univ.

ActiveSTARDUST

Local

94

AIに関連するNICTで注力しているドメイン
2

トラフィック分析に基づく攻撃の検知・脅威予測• ダークネット分析• アラートスクリーニング

1

マルウェア機能分析自動化• Androidアプリおよびマーケット分析• IoTマルウェア分析• 囮文書分析3

オペレーション
自動化

インテリジェンス情報の生成・分析• 脆弱性の深刻度評価• 脆弱性情報の分類• 脅威情報の関連性評価

1

事例：IoTマルウェアの系統樹によるマルウェアクラスタリング

目的: 大規模なマルウェアを高速かつ逐次的に効率良く解析すること• クラスタリング，マルウェア変遷確認，機能の差分抽出などの実施• 現時点では小規模データセットにて実施
提案アルゴリズム• マルウェアバイナリコード同士の類似度(距離)を測り，系統樹を作成(距離はNCDを、系統樹作成にはneighbor joining methodを、それぞれ活用)• 特に、全データ間の距離計算を避け、必要最小限のデータ間の計算のみ実施
評価実験• データセットとしてARMアーキ
テクチャの4,109検体を活用(Bashlite 3,114検体、Mirai 919検体、その他76検体)• 処理時間: 約20～50倍高速化• 正解率: 約97% （従来比+2.5%)
今後の予定• 大規模クラスタリング• 逐次処理化• 性能保証･パラメータ最適化

従来アルゴリズム

提案アルゴリズム

1

NCD 行列

3

イメージ

N

4
N2/2
N

2

処理時間

243.4時間

4.4時間～11.6時間

クラスタリン
グ正解率

94.42%

96.58%～97.62%

Source: T.He, et al, "A Fast Algorithm for Constructing Phylogenetic Trees with App. to IoT Malware Clustering," ICONIP, 2019.

95

1

事例：囮文書分析に基づく標的型攻撃の分析

96

標的型攻撃の分析技術の研究開発• 背景✓ 標的型攻撃の一つに、攻撃対象者に関連する文書（以下、囮文書）に見せかけたマルウェアをメールに添付して送信する攻撃がある。このような囮文書の内容を分析することで、標的型攻撃の早期発見や実態把握、対処をするための手掛りが得られる可能性がある。
• 課題✓ 不特定多数にむけた囮文書（重要度:低）と特定の個人や組織を狙う囮文書（重要度:高い）があり、重要度の高い囮文書だけ分析対象にしたい• アプローチ✓ 囮文書のなかに特定の個人や組織を狙った攻撃の可能性を示唆する特徴がないか調査し、その特徴をもとにAI/機械学習法により重要な囮文書を自動判定する。
重要度のラベリング

機械学習手法

訓練データ用の囮文書レポジトリ

判定対象の囮文書
レポジトリ

囮文書の
内容抽出
・整形

分類器

重要度の
低い文書

重要度の
高い文書

企業

政府

囮文書の重要度判定フローと関連組織への通知

関連組織
に通知

個人

96

2

97

事例：マルウェア活動の自動検知に関する研究開発• マルウェアの活動の活性化をいち早く、リアルタイムに検知。
特に、人手で検知するのが困難なものを検知したい
アプローチ • ダークネット空間に到着するパケットの送信元の同期性を教
師なし機械学習により分析• 他の時間帯に比べ同期性の強い時間帯や，その時間帯内で強い同期性を示すホスト群を異常検知し，アラートを発行する．
目的

published (research blog) publishedport features(research blog)
02/27/2018
02/27/2018
150

Darknetmalware50

100

11211/udp

100

機械学習により活動を検知

11211/udp

Host Counts/day

infect150

Internet
Host Counts/day

scan

port features

50

Infected hosts
0

Scans reach NICT sensors on the darknet

0
2 01

2 01
15

2
3 15
01

3 01
15

A sample caseDateof a coordinatedDatescan detection(x: date/time, y: number of sources)

Source: C.Han, et al, "Real-Time Detection of Malware Activities by Analyzing Darknet Traffic Using GLasso," TrustCom, 2019.
H.Kanehara, et. al., "Real-Time Botnet Detection Using Nonnegative Tucker Decomposition," SAC, 2019.

3 15

2

事例：セキュリティオペレータの負荷の軽減

アラート~ 100,000/day

精査が必要なアラート~ 100/day

対処が必要なアラート~ 5 /day

専門家が1日4時間
もの時間を費やしているのが現状Pain# 精査が必要な
アラート数
Source: M.Aminanto, et. al., "Combating Threat-Alert Fatigue with Online Anomaly Detection using Isolation Forest," ICONIP, 2019.

98

3

事例：セキュリティレポートの自動分類

99• 研究背景: 高度化するサイバー攻撃 -セキュリティレポートを用いたインシデント対策• 課題: 人手でセキュリティレポートから情報収集・分析する負担が大きい• アプローチ✓ 話題誘導するトピックモデル（SeededLDA）によりセキュリティレポートを学習✓ 単語の関係性の可視化から攻撃手法や攻撃傾向を分析する• 結果✓ 出力結果から、以下の傾向を把握可能➢ 攻撃手法➢ 攻撃傾向の変化

Seed sets
Security Analyst

Security Reports
SeededLDA
Visualize therelationship
The attack
took place in
the industry

Threat trends
was changed

Mirai
Mirai

IoT

Mirai
medicalmedicalIoT Industryに関する出力結果例

処理の流れ

3

100

脅威情報のモデル化を利用した解析システム• 研究背景: 様々なフォーマットで記述されている脅威情報が日々増加している• 課題: 一連の攻撃情報を統一された形式で比較することが困難• アプローチ✓ 脅威情報のフォーマットや解析者による入力値の差異を吸収可能なシステムを構築する✓ 各脅威情報をダイヤモンドモデルに落とし込むことで、インシデント間を比較可能とする• 結果✓ モデル化・データベースへの格納・インシデントの比較が可能なシステムを構築した
date

PA150825

ML160805

Pp161115

Sy121010

Sy130523

SW131212

2015/08/25

2016/08/05

2016/11/15

2012/10/10

2013/05/23

2013/12/12

Adversary
Reconnaissance
Weaponization
Delivery

C8

Exploitation

I7
C14,
C15,
C16

Installation
C2
Action on
Objectives

VictimC8
C21

C8, C21,C22 I12

C17

I7
I8

C17
I9, I10,I11

C20 I13

I14
C23

I1

C1

C2

I2

I14

I15

I16

C24

C1

I3

C2 I4
I5

C8
C9
C10
C11

C6

C3
C17

I1
etc.

C5

C4

C7

I2

C7

C12
C13

I6

C18
V2

V3, V4, V5

EU and North
America

EU and North
AmericaV1

Spanish-speaking
countries in Latin
America

I1:goo.gl Link,I2:a URL on Hotfile.com,I3:a URL on 4shared.com,I4:auto-notify@ups.com,I5:auto@ups.com,
I6:feed404.dnsquery.com (Host),I7:securevpnalam.net,I8:hsshvpn.net,I9:smoktruefalse.com,I10:prince-of-persia24.ru,
I11:med-global-fox.com,I12:hxxp://intranet.excelsharepoint[.]com/,
I13:hxxp://info.docs-sharepoint[.]com/,I14:hxxp://networkupdate[.]online/,I15:hxxp://webfeed.updatesnetwork[.]com,I16:hxxp://invoicesharepoint[.]com/
C1:Skype,C2:.zip Files,C3:a legitimate instant messaging file,C4:W32.IRCBot.NG,C5:W32.Phopifas,C6:.exe file,
C7:Downloader.Liftoh,C8:Spear-phish email,C9:a RTF file disguised as a .doc file,C10:CVE-2012-0158,C11:CVE-2010-3333,C12:Bitcoin miner,
C13:a variant of Zeus/Zbot(version 2.1.1.2),C14:Retefe,C15:Windows PowerShell,C16:a fake 'thawte Inc.' certificate,C17:Smoke Loader,
C18:man-in-the-middle attack,C20:IRC bot,C21:.doc file,C22:Web Link,C23:Kronos,C24:ScanPOS
V1:Victim's contacts,V2:the data for the bank,V3:The stolen track data,V4:The process in which the data was found,V5:The username

システム出力結果例
提案システムSource: T.Nagai, et al, ``Understanding Attack Trends from Security Blog Posts Using Guided-topic Model``, JIP, 2019

AIのためのセキュリティ（事例：音響セキュリティ）「Audio Hotspot」攻撃を検証• 攻撃者は誰にも気づかれずに音声認識デバイスを操作可能• それを検証すべく、パラメトリックスピーカーを利用して指向性サウンドビームを生成し、音声コマンドを入力する実験を実施「あなたの次の予定は…」

1. プライバシー問題
例) 「私のスケジュールを教えて
ください」

Car

Key
(Smart home) Phone

2. 接続デバイスを制御可能
例) ドアの開錠、車の制御、他人への電話

対策
機械学習を用いて録音ボイスとそうでないものを識別する手法を提案・検証
Source: R.Iijima et al, "Audio Hotspot Attack: An Attack on Voice Assistance Systems Using Directional Sound Beams," TETC, 2019.

101

サイバーセキュリティの研究開発の方向性

1021)サプライチェーンリスク:- サプライチェーンは複雑化が進行しており、十分な検討が必要- すべてのレベルの管理者をより強化（セキュリティ的に）する必要性がある- サプライチェーンリスクに備えた技術的な検証評価環境（プラットフォーム）の実施が要2)サイバー攻撃を想定した観測、分析、共有のためのプラットフォームの強化- 関係者（組織）間での情報共有が必須- 継続的な観測と分析を実施し、適切なセキュリティレベル力の向上を実施すべき- 特に、深層分析のためには、AI(ML/DL)をサイバーセキュリティのために効果的に活用することが重要

3)暗号化、認証などの基盤技術の研究開発の推進- QKD, PQC, 軽量暗号– 特定の応用にどのように適用するかなども鍵- 暗号技術等の基盤技術を適切に利用する技術の研究も重要ー無駄な計算資源を使わず、安全な通信環境を実現するため
4)数ある応用に対するセキュリティ研究の促進- IoT, Cloud, Big data, Smart-city, DLT, 5G, Connected Car, Transportation (ITS), Maritime等- 各応用において、参照モデルを明確にし、そこに存在する「脅威」を分析・評価することが特に重要- 該応用のためのセキュリティ管理策（対策）の導出、及びそれらを実際の試験環境において評価することが重要
5)産官学間の協調連携のコミュニティを育成する
102- どのように産官学連携コミュニティを形成するのか － 規模的に、ローカルから始め、グローバル、国際と展開できれば理想まとめ
1. 攻撃者の標的や攻撃の種別によって、攻撃から与えられるインパクトが異なる。常に、我々は何の脅威と戦っているかを明確にしておく必要がある。

2. IoTや５G等への多くの脅威（攻撃）に対し、セキュリティ対策が多様な形で適用される。しかし、以下のような対策に関する分類や倫理的な見解が存在する。
✓ Passive Defense：基本対策、FW、AV、Patch管理、監視等✓ Low Impact Active Defense：アクティブ情報共有、サンドボックス/ハニーポット（例：IoT/DRDoS）、ハンティング（例：Stardust)、Darknet（NICTER)、Beacon、
DeepWeb等✓ High Impact Active Defense：ボットテイクダウン、連携制裁、White ランサム等✓ Offensive Cyber：反撃、敵の破壊（許可なく）等
3. AI技術を効果的に活用することにより、早期の段階で「攻撃（予兆）を観測（補足）」
し、知見を収集、分析することにより、現状分析だけではなく、今後起こるであろう
攻撃の予測を実施。そのための「情報共有」が重要となる。

103

104

Pre-Implement
Controls
Start Monitoring

DesignThreats Model& Threat Analysis

Maintain &improve
Identify the Risk
and its Mitigation