JPCERT Coordination
Center

電子署名者 : JPCERT Coordination Center
DN : c=JP, st=Tokyo, l=Chuo-ku, o=JPCERT
Coordination Center, cn=JPCERT Coordination
Center, email=office@jpcert.or.jp
日付 : 2022.01.05 15:46:01 +09'00'

製造業へのローカル5G導入に伴うサイバーセキュリティリスク実証実験～製鉄所を模した環境での侵入経路と被害の実態～

トレンドマイクロ株式会社
セキュリティエバンジェリスト
石原陽平© 2021 Trend Micro Incorporated. All Rights Reserved.

2021月10日26日現在の情報をもとに作成されたものです。
今後、内容の全部もしくは一部に変更が生じる可能性があります。

製造業におけるローカル5G環境導入に伴うサイバーセキュリティリスクの実証実験を実施

2© 2021 Trend Micro Incorporated. All Rights Reserved.

© 2021 Trend Micro Incorporated. All Rights Reserved.

スライドメッセージ
コアネットワークを足場とした攻撃により製造物破壊および製造妨害が可能

コアネットワークのセキュリティ強化を推奨
3© 2021 Trend Micro Incorporated. All Rights Reserved.

Agenda１．ローカル5Gの構成要素
２．実証実験の目的と方法
３．実証実験の結果
４．推奨される対策

4© 2021 Trend Micro Incorporated. All Rights Reserved.

ローカル5Gの構成要素
5© 2021 Trend Micro Incorporated. All Rights Reserved.

移動通信ネットワークとは『ユーザが移動しても通信を継続して行える通信システム』で、三要素から構成される。
コアネットワーク（CN※3）
システム全体の司令塔。ユーザ端末からのデータを処理するユーザプレーンと、端末の接続や移動管理などを行うコントロー
ルプレーンで構成される。

ユーザ端末（UE※1）

無線アクセスネットワーク（RAN※2）複数の無線基地局から構成されるネットワーク。無線で端末と通信する。

SIMを搭載した端末。RANと通信する。スマートフォンなどの他に、センサーや自動車などのIoTデバイスも含まれる。

6© 2021 Trend Micro Incorporated. All Rights Reserved.

※1 User Equipment※2 Radio Access Network※3 Core Network

5G環境も同様の三要素で構成される。
パブリック5Gでは通信事業者がCN・RANの運用主体

コアネットワーク（CN）

無線アクセスネットワーク
（RAN）

ユーザ端末
（UE）

7

© 2021 Trend Micro Incorporated. All Rights Reserved.

通信事業者がサービスインフラとして構築/運用

ローカル5GではCN・RANをユーザ組織が構築/運用可。
つまり、テレコムインフラが組織のIT環境に持ち込まれる
コアネットワーク（CN）

無線アクセスネットワーク
（RAN）

8

© 2021 Trend Micro Incorporated. All Rights Reserved.

ユーザ組織がIT環境として構築/運用し得る

実証実験の目的と方法
9© 2021 Trend Micro Incorporated. All Rights Reserved.

製鉄所を模したローカル5G実証環境を構築
コアネットワークを足場とした攻撃を実施
被害をもたらし得るシナリオを特定
10© 2021 Trend Micro Incorporated. All Rights Reserved.

コアネットワークとRANを自前で構築/運用する製鉄業を想定
オンプレで運用

CN/RANをオンプレで構築
CN5G NSA※1（ノンスタンドアローン）
RAN

PLC※2/HMI※3で工場NWを再現<上図> トレンドマイクロが構築したローカル5G環境の概略図

11© 2021 Trend Micro Incorporated. All Rights Reserved.

※1 Non Stand Alone：従来の4Gコア設備と5G基地局を組み合わせたシステム構成。
※2 Programmable Logic Controller：ICSで使用される機械を制御するための装置。
※3 Human Machine Interface：システム管理者やオペレーターがシステム全体の状況を確認したり、制御したりするためのインターフェース。

【検証環境ネットワークの概要図】
フィールドNWと制御NWがローカル5Gを介して通信している設定

12© 2021 Trend Micro Incorporated. All Rights Reserved.
© 2021 Trend Micro Incorporated. All Rights Reserved.

<写真> 実際の検証環境

CNRAN

フィールド
NW

13制御NW© 2021 Trend Micro Incorporated. All Rights Reserved.

© 2021 Trend Micro Incorporated. All Rights Reserved.

製造過程における重要データを処理。
（温度/気圧など）

【参考】今回の実証実験で使用した製品群【上表】検証環境で使用した機器
14© 2021 Trend Micro Incorporated. All Rights Reserved.

【上写真】検証に使用した市販のファラデーケージ

実証実験の結果
15© 2021 Trend Micro Incorporated. All Rights Reserved.

検証結果のハイライト
コアネットワークを足場とした攻撃により製造物破壊および製造妨害が可能
汎用ハードウェアおよびソフトウェアの導入によりコアネットワークへの4つの侵入経路が懸念される
コアネットワーク内部にある3つの傍受ポイントのいずれかを悪用することで攻撃が可能
16© 2021 Trend Micro Incorporated. All Rights Reserved.

【想定シナリオ】コアネットワーク内の攻撃者が通信を傍受/改ざんし製造システムに影響を与える

CN
ITシステムの一部としてオンプレで運用

RAN

17

© 2021 Trend Micro Incorporated. All Rights Reserved.

<上図> トレンドマイクロが構築したローカル5G環境の概略図

ローカル5G環境は汎用HW/SW活用が見込まれるためコアネットワークへの4つの侵入経路が懸念される
一般的なx86サーバのためOSなどの脆弱性を悪用可能

コアネットワークサービスでは仮想化技術が多用される②VM/コンテナ
今回の研究で脆弱性を新たに発見

④基地局
18

①CNホスティングサーバ© 2021 Trend Micro Incorporated. All Rights Reserved.

ルータ・スイッチ・FW・アプライ
アンスなどの脆弱性や設定ミス③ネットワークインフラ5Gコンポーネント

コントロールプレーンサーバ

4Gコンポーネントユーザデータの流れ

ユーザプレーンサーバ

コアネットワーク内部に3つの傍受ポイントを特定
コアネットワーク内であっても平文を用いた通信はリスクとなる
19© 2021 Trend Micro Incorporated. All Rights Reserved.
© 2021 Trend Micro Incorporated. All Rights Reserved.

<図> Open５GSで定義したコアネット
ワークサービスの機能ブロック図

製造環境に影響を及ぼす攻撃シナリオ
高度なスキルを持つ攻撃者
MQTTハイジャッキングによるモニタリング値の改ざん

製造物破壊

CNへの侵入Modbus/TCPハイジャッキングによる
PLC入力値の改ざん
CN内での通信傍受

20© 2021 Trend Micro Incorporated. All Rights Reserved.

製造妨害

① MQTT※ハイジャッキングによるモニタリング値の改ざん

分析要素

説明

目的

製造プロセスの妨害

攻撃拠点

コアネットワーク（ユーザプレーン）

攻撃対象

MQTTプロトコル通信

攻撃経路

センサ→コアNW→改ざん→MQTTサーバ（内部）→インターネット→MQTTサーバ（外部）事業被害

モニタリング値と実際値のギャップによる製造妨害および製造物破壊

傍受改ざん※MQ Telemetry Transport：
クラウド通信用のプロトコル21© 2021 Trend Micro Incorporated. All Rights Reserved.
© 2021 Trend Micro Incorporated. All Rights Reserved.

② Modbus/TCPハイジャッキング
によるアラートの無効化

傍受改ざん

22

© 2021 Trend Micro Incorporated. All Rights Reserved.
© 2021 Trend Micro Incorporated. All Rights Reserved.

分析要素

説明

目的

製造プロセスの破壊

攻撃拠点

コアネットワーク（ユーザプレーン）

攻撃対象

Modbus/TCP通信

攻撃経路

誤作動誘発→PLC→コアNW→改ざん→HMI

事業被害

製造物破壊および製造プロセスの破壊

～今回実証した製造システムに対する攻撃手法～
CN内でユーザデータを改ざんすることで物理的被害を誘発
攻撃名手法

想定される被害

MQTTハイジャッキング

センサー測定値であるMQTTメッセージを傍受/改ざんし、実際値とは異なる値を送信する。

製造物破壊
製造プロセスの破壊

2

Modbus/TCPハイジャッキング

Modbusファンクションコードおよびデータ値を傍受/改ざんし、HMIに反映される温度値などを偽装する。

製造物破壊
製造プロセスの破壊

3

PLCのファームウェアリセット

PLCとTIA※1間のパケットを傍受/改ざんし、PLCを強制的にリセットする。

製造物破壊
製造プロセスの破壊

4

DNSハイジャッキング

PGW※2またはルータにアクセスしDNSクエリを傍受し、レコードを変更する。

機密情報の窃取
機器へのマルウェア混入

5

リモートデスクトップの悪用

RDP/VNC※3ポートをスニッフィングして、キーストロークとパスワードを窃取する。

機密情報の窃取権限昇格による水平移動1

23© 2021 Trend Micro Incorporated. All Rights Reserved.

※1 Totally Integrated Automation：完全統合オートメーション。
※2 Packet Gateway module ：インターネットに接続するためのゲートウェイ。
※3 Virtual Network Computing：遠隔からコンピュータをリモート制御するためのツールの1つ。

対策
24© 2021 Trend Micro Incorporated. All Rights Reserved.

【攻撃者の視点】
なぜコアネットワークを狙うのか？
製造工程の機密性/可用性/完全性に直接影響する情報を扱う基盤となるから一度構築すると改修や修正が難しく、侵害された際の影響が大きいためセキュリティ・バイ・デザインが必要
25© 2021 Trend Micro Incorporated. All Rights Reserved.

侵入を前提としたセキュリティ対策をコアネットワーク内の暗号化・認証/認可
PoC段階でのセキュリティ検証の実施
早期に異常を検知できる体制
26© 2021 Trend Micro Incorporated. All Rights Reserved.

コアネットワークはユーザデータを扱う重要システム。
まずはローカル5G環境における攻撃対象領域を把握する

今回の研究で重要データを扱うユーザプレーンを含むコアネットワークに攻撃対象領域を発見

27© 2021 Trend Micro Incorporated. All Rights Reserved.

コアネットワーク内の暗号化・認証/認可でリスク減
攻撃名想定される被害

1

MQTTハイジャッキング

製造物の破壊製造プロセスの破壊

ユーザ名、パスワード、証明書のピン留めを有効にした上でMQTTS(暗号化したMQTT)を使用する。

2

Modbus/TCPハイジャッキング

製造物の破壊製造プロセスの破壊

リモートサイトと制御ネットワーク間でVPNを設定する。

PLCのファームウェアリセット

製造物の破壊製造プロセスの破壊

リモートサイトと制御ネットワーク間でVPNを設定する。PLCを導入する際に「読み取り/書き取り」の保護を設定する。チャレンジ＆レスポンス認証をサポートする新しいファームウェアを導入する。

DNSハイジャッキング

機密情報の窃取機器へのマルウェア混入

不審なIPアドレスを検知できるEDRやネットワーク監視ツールを導入する。暗号化や証明書のピン留めが可能な産業用プロトコルを使用する。

リモートデスクトップの悪用

機密情報の窃取権限昇格による水平移動

VNCの場合はTLS暗号化と証明書のピン留めを有効にする。クライア
ント認証を有効にする。MS RDPの場合はバージョン10以上が推奨される。

3

4528

© 2021 Trend Micro Incorporated. All Rights Reserved.

技術的対策ユーザ組織はインテグレータと協働し設計段階からセキュリティ要件を明確にする

暗号化

証明書

暗号化

脆弱性
対応

端末保護

29

© 2021 Trend Micro Incorporated. All Rights Reserved.

認証
認可

NW
監視

脆弱性
対応

ローカル5GのPoCを実施する際にセキュリティ要件も含めて検証すべき
SIM
管理

多様な環境を跨いだ複雑な攻撃を前提とした対策が推奨される。
制御システムへのサイバー攻撃はIT経由が多数
企業ネットワーク30© 2021 Trend Micro Incorporated. All Rights Reserved.

【XDR：See more, respond faster】
クロスレイヤーの検知で迅速な対応を目指す

31© 2021 Trend Micro Incorporated. All Rights Reserved.

本日のまとめ製造過程に関わるデータを扱うコアネットワークがローカル5Gセキュリティの鍵。
コアネットワークを足場とした攻撃により製造物破壊および製造妨害が可能となる。
ローカル5G環境の構築の際にはPoC段階でセキュリティ要件も含めて検証すべき。
32© 2021 Trend Micro Incorporated. All Rights Reserved.

33© 2021 Trend Micro Incorporated. All Rights Reserved.

TRENDMICROは、トレンドマイクロ株式会社の登録商標です。
本ドキュメントに記載されている各社の社名、製品名およびサービス名は、各社の商標または登録商標です。