製品分野別セキュリティガイドライン
IoT-GW編

平成28年6月8日

CCDS セキュリティガイドラインWG
ホームGW SWG
Copyright 2016 Connected Consumer Device Security Council Proprietary1

IoT-GWガイドラインの目次構成
章 節
1
1.1
1.2
1.3
1.4
2
2.1
2.2

項

はじめに
IoT-GWのセキュリティの現状と課題
ガイドラインの対象範囲
本書の対象者
略称
IoT-GWのシステム構成
IoT-GWを適用するシステムモデル
IoT-GWで実現されるサービス・ユースケース
2.2.1 ユースケース1︓ホームゲートウェイ
2.2.2 ユースケース2︓スマートメンテナンス
ユースケース3︓サプライチェーン管理
2.2.3
および生産ライン最適化
2.2.4 ユースケース4︓映像監視保護すべき資産、考慮すべき影響
2.3
想定されるセキュリティ上の脅威
3
ネットワーク対応機器への攻撃事例
3.1
3.2
IoT-GWを適用したシステムの特徴・課題
IoT-GWを適用したシステムにおいて3.3想定されるセキュリティ上の脅威

章 節
4
4.1
4.2

項

開発のフェーズとセキュリティの取組み
ライフサイクルにおけるフェーズの定義
各フェーズにおけるセキュリティ取組み
4.2.1 製品企画フェーズ
4.2.2 設計・製造フェーズ
4.2.3 評価フェーズ
4.2.4 運用フェーズ
4.2.5 廃棄フェーズ
リスク分析・評価
5
ユースケースの定義
5.1
5.2

保護すべき資産と重要度の定義

5.3
5.4
5.5
5.6
5.7

想定脅威と発生頻度の定義
想定インシデントとリスク値の定義
ETSIの評価手法
CVSSの評価手法
分析・評価システムの課題
まとめ

6
6.1
6.2

IPA作成の「つながる世界の開発指針」との関係
まとめ
付録
付録1︓ 使用するプロトコルと脆弱性、影響のリストアップ例
引用/参考文献

Copyright 2016 Connected Consumer Device Security Council Proprietary21.現状と課題
１．IoT-GWセキュリティの現状
IoT（モノとインターネット）機器は、私たちにより身近なものになり、多種多様な⽅⾯で広がりを⾒せている。家庭内に設置したセンサをス
マートフォンと連動させ、例えば遠隔で操作することを可能にすれば、家の施錠や照明、電源をコントロールすることができる。IoT機器は個
人や家庭に限ったことではなく、オフィスや市街地での普及も著しく、今後はさらに増加すると想定されている。
２．IoT-GWにおけるセキュリティ対策の必要性
IoT機器は、インターネットに接続されていることで、様々なサービスを提供することが可能であるが、同時に、情報セキュリティの脅威にさらされている。その脅威は時に、人命をも脅かすものとなる可能性があり危惧されている。現状ではセキュリティのリスクを評価する
基準や規格が無いため、これからIoT業界が発展する上で、大きな問題となると考えられる。要因の改善を、全ての利⽤者に要求することは難しく、対応できることも少ない。そのため提供者は、製品提供後、機器のアップデート⽅法を考えるなど、開発・設計時に利⽤シーンへの留意も必要である。
Copyright 2016 Connected Consumer Device Security Council Proprietary32.IoT-GWのシステム構成–その1–■IoT-GWシステム構成
アプリケーション
/サービス

・・・

アプリケーション/サービス

ヘッドエンドシステム

IoT-GW管理

センタ側（クラウドなどに設置）

WAN

IoT-GW

IoT-GW
・・・

FAN/HANセンサ

FAN/HAN

センサ

センサ

フィールド側（宅内、オフィス、工場などに設置）

アクチュエータ

Copyright 2016 Connected Consumer Device Security Council Proprietary42.IoT-GWのシステム構成–その2–■IoT-GWシステムの構成要素
項番 構成要素

機能

1

センサ

人間が⾁眼で識別できないものを数値化し、データ収集を⾏う。
このデータはアプリケーション/サービスなどで使われる。

2

アクチュエータ

電気などのエネルギーを動⼒源として機械的な仕事を⾏う装置の総称である。

3

FAN/HANFAN︓Field Area Network/HAN︓Home Area Network。
一般家庭、企業のオフィスや研究所、工場等のネットワークのことである。
有線/無線、IP/非IPなど様々なアクセス形態が存在する。

4

WAN

WAN︓Wide Area Network。インターネット（公衆網）、広域閉域網、移動体通信網などのネットワークのことである。

5

ヘッドエンドシステム

データ収集および通信制御を⾏うサーバ装置群である。

6

IoT-GW管理

IoT-GWの機器認証や運⽤管理を⾏うサーバ装置である。

7

アプリケーション 集計・分析した結果を他のデータベースへ蓄積し、/サービス
リアルタイム通知やビジュアライゼーションなどを⾏う。

Copyright 2016 Connected Consumer Device Security Council Proprietary5

3.IoT-GWのサービスユースケース–その1–■ホームゲートウェイ

Copyright 2016 Connected Consumer Device Security Council Proprietary63.IoT-GWのサービスユースケース–その2–■スマートメンテナンス

Copyright 2016 Connected Consumer Device Security Council Proprietary7

3.IoT-GWのサービスユースケース–その3–■サプライチェーン管理および⽣産ライン最適化

Copyright 2016 Connected Consumer Device Security Council Proprietary8

3.IoT-GWのサービスユースケース–その4–■映像監視

Copyright 2016 Connected Consumer Device Security Council Proprietary94.保護すべき資産、考慮すべき影響■保護すべき資産、考慮すべき影響
ユースケース

保護すべき資産想定被害・影響

ホームゲートウェイ

・個人情報
・⾦融資産データ
・設定情報
・ログ情報
・ネットワーク

・乗っ取りによる攻撃への踏み台
・⾦融資産の損失
・なりすまし・通信の停止スマートメンテナンス

・センサ情報
・⽣産設備
・インフラ
・人命
・ネットワーク

・発電設備の破壊・停止
・停電による⽣産設備の破壊や停止、インフラの停止
・停電による人命にかかわる重大被害
・通信の停止サプライチェーン管理
および⽣産ライン最適化

・センサ情報・制御システム情報
・⽣産設備
・インフラ
・人命
・工場内環境・ネットワーク

・データ取得が不可能となることによる本来機能の低下および精度の低下
・設備停止、⽣産過剰/不⾜、不良品発⽣・⽣産設備の破壊や停止、インフラの停止、⽣産ロボットの暴⾛等の人命に関る動作を引き起こす可能性
・通信の停止映像監視・映像データ・センサ情報・カメラ制御情報・個人情報
・ネットワーク

・監視カメラから得られるデータに対し、なりすまし等で誤ったデータ（例︓通⾏人の数を過大に評価したデータ）を注入、2次利⽤するユーザ（例︓ナビサービス、マーケティング
情報など）が誤った情報に基づいてサービスを提供
・カメラののっとり等によるプライバシーの侵害
・通信の停止Copyright 2016 Connected Consumer Device Security Council Proprietary105.IoTセキュリティの適⽤領域
ITセキュリティとIoTセキュリ
ティで重なり合わない領域＝

IoTセキュリティ検討範囲

Copyright 2016 Connected Consumer Device Security Council Proprietary11

6.IoT-GW適⽤システムの特徴と課題
IoT-GW適用システムの特徴と課題
1

フィールド側にガバナンスが無く、機器・端末に対する脅威が大きい。

2

フィールド側に設置される機器・端末が安価なため、高価なセキュリティ対策が困難。

3

フィールド側にアクチュエータが接続されている。

4

⻑期使⽤を前提としたシステムでは更新が難しい。

5

組織間における全体最適化により、特定のデータへの依存度が高まる。

Copyright 2016 Connected Consumer Device Security Council Proprietary127. IoT-GW適⽤システムで想定される脅威
IoT-GWを適用したシステムにおいて想定されるセキュリティ上の脅威
1

センサの停止により、データ取得が不可能となる。

2

センサの不正改造などにより、不正データの送信が⾏われる。

3

センサが乗っ取られることにより、DoS攻撃へ加担する。

4

⽣産設備の破壊や停止、インフラの停止、人命に関わる動作が誘発される。

5

ネットワークからエンドポイント機器が攻撃される。

6

攻撃者がFAN/HANへ物理的に侵入して攻撃する。

7

センサからサーバへのデータ送信により処理負荷や消費電⼒を増加させる。

8

エンドポイント機器の暗号強度不⾜によりデータ盗難が発⽣する。

9

誤データが注入され、伝搬される。

10

更新が困難なシステムの脆弱性をついた攻撃をされる。

Copyright 2016 Connected Consumer Device Security Council Proprietary13

8.製品ライフサイクルのフェーズ■製品ライフサイクルにおける５つのフェーズ

製品企画

設計
製造

評価

運用

廃棄

フェーズ

説明

製品企画フェーズ

製品のコンセプト、予算、要件定義の策定を⾏う。

設計・製造フェーズ

企画フェーズの要件定義を受けて設計・実装・製造を⾏う。

評価フェーズ製造された製品の正当性の評価を⾏う。

運⽤フェーズ

所有者（利⽤者）に販売され、利⽤者が使⽤している期間に、インシデントへの対応、整備、サービス等を⾏う。

廃棄フェーズ

所有者が廃棄⼿続きを⾏う。

Copyright 2016 Connected Consumer Device Security Council Proprietary14

9.各フェーズの取組み–その1–
各フェーズにおけるセキュリティの取組みを以下に示す。
■製品企画フェーズ
項目

内容

1

保護すべき資産及び脅威の特定とリスク分析

製品を開発するに当たり、市場ニーズや顧客要求に基づき企画した製品について、概要、製品の想定利⽤環境、想定前提条件、保護すべきデータ、保護すべきデータと人的環境のマッピング、想定する脅威、類似製品で知られる既知問題などの要素を元に保護すべき資産および脅威の特定を⾏う。
ポイントとしては装置が取り扱うデータにどのような脅威が存在するか、例えば、他者への攻撃の踏み台にされてしまう、といった「取り扱うデータ以外の脅威」等を明確にし、それら脅威に対して設計や運⽤で対策を⾏う必要がある。
特定した保護すべき資産と、脅威を考慮し、前章で述べたようなリスク分析評価⽅法によりリスク分析を⾏い、設計および運⽤にて対策を施す。

2

セキュリティ要件の抽出

上記「 保護すべき資産及び脅威の特定とリスク分析」の内容同様、製品概要、製品の想定利⽤環境等を考慮し、製品として考慮すべきセキュリティ要件の抽出を⾏い、
次フェーズの設計・製造にて実装を⾏う。具体的なセキュリティ要件としては以下の例が挙げられるが、開発する装置により過不⾜があると思われるので、開発者にて十分に検討する必要がある。
• 機密情報の流出防止• 障害復旧• 踏み台攻撃への対策• アラート機能（攻撃を受けた、不正侵入を受けた等）• ロギング機能• サービス機能• ハードウェアに対する直接的な攻撃対策• サイドチャネルアタックへの対策• 機密情報の廃棄機能
Copyright 2016 Connected Consumer Device Security Council Proprietary15

9.各フェーズの取組み–その2–■製品企画フェーズ（続き）

3

項目

内容

企業組織としての対応

組織においては情報セキュリティ⽅針を定め、その⽅針に基づいた情報セキュリティ規則を定義し、情報セキュリティ対策を講じる。
情報セキュリティ規則例
・管理規定の構成と位置づけ
・管理体制と責務
・教育、点検の実施

Copyright 2016 Connected Consumer Device Security Council Proprietary16

9.各フェーズの取組み–その3–■設計・製造フェーズ
1

項目

内容

開発プラットフォーム
選定(1) 既知の脆弱性の確認• 開発する製品に取り込むOS、bootプログラムやアプリケーションプログラムとそのバージョンについて既知のセキュリティ脆弱性問題が存在しないことを確認する。
• 開発する製品で使⽤するCPUにセキュリティ脆弱性問題が存在しないことを確認する。
(2) 認証や情報保護に使⽤する暗号技術に関する技術動向の確認• 日本においてはCRYPTRECが提供している報告書があり、認証や情報保護に暗号技術を利⽤している組込みシステムを開発する際に参照できる。
• 海外においては各国の取り決めがあるため、各国の暗号基準を参照する必要がある。

2

セキュリティ機能の実装

セキュリティ要件の定義に従い、装置にセキュリティ要件を担保するための機能を実装する。
製品企画フェーズの項番2で挙げたセキュリティ要件に対する対策例を以下に示す。
(1) 機密情報の流出防止• 機密度に応じた暗号アルゴリズムの採⽤• 暗号化メモリなどの採⽤• アクセス制御の実装• 不要なサービスの無効化• リムーバブルメディア⾃動実⾏の無効化• 他者が推定しにくいパスワード設定• パスワードの連続試⾏の防止• 適切なアカウント権限の付与• パスワード情報の保護• ファイル共有の無効化• ファイルへのアクセス権設定• ログの取得• 不正アクセスの監視
Copyright 2016 Connected Consumer Device Security Council Proprietary17

9.各フェーズの取組み–その4–■設計・製造フェーズ（続き）
項目

内容

セキュリティ機能の実装(2) 障害復旧• 障害検出と通知機能• ログの取得• 設定情報の2⾯化(3) 踏み台攻撃への対策• 特定期間内での多すぎるパケットデータの受信検出• 特定期間内での多すぎるパスワード誤入⼒検出• ポートスキャン検出• 想定外の大きいサイズのパケットデータの受信検出• 不正操作の抑止(4) アラート機能（攻撃を受けた、不正侵入を受けた等）• 攻撃を受けたことのユーザ通知• ユーザによるポート開放など脆弱性に繋がる操作への警告表示• 取扱説明書などへ使い⽅によって考えられるリスク、脅威の表示(5) ロギング機能• 装置に対して不正アクセスがあったときの、時刻、Source IPアドレス、ポート番号、
プロトコルの種類等の記録• 機器のユーザによる認証ログ記録機能の実装是非の決定。ユーザID、ログイン回数、
ログインエラー回数、時刻等• 上記ログを残すために必要な分だけの装置内メモリ容量の検討(6) 保守機能• 保守者と一般利⽤者で管理画⾯の区別• 保守者と一般利⽤者で権限を分ける認証の実施• デバッグ機能等の不要な機能の削除（続き）

Copyright 2016 Connected Consumer Device Security Council Proprietary18

9.各フェーズの取組み–その5–■設計・製造フェーズ（続き）
項目

内容

セキュリティ機能の実装

・脆弱性対策のための遠隔プログラムアップデート機能（続き）

・ユーザへプログラムアップデートを促すための製品の管理画⾯やランプ表示による最新

3

使⽤するプロトコルの
リスク検討

一般的にIoT-GWにおいては使⽤されるプロトコルは仕様が標準化または公開されているものがあり、標準化されているがゆえに攻撃者から狙われやすい。設計段階において、使⽤するプロトコルとそのプロトコルに関する脆弱性、影響を抽出してその対策を設計・製造時に実装する必要がある。付録1に使⽤するプロトコルと脆弱性、影響をリストアップした一例を示す。このような形で使⽤しているプロトコルと脆弱性、影響をまとめることで、既知の脆弱性への対策点が明確になり、網羅性が上がる。

4

ソフトウェア実装(1) セキュアプログラミング
セキュアプログラミングとは攻撃者やマルウェアなどの攻撃に耐えられる、堅牢なプログラ
ムを書くことである。攻撃の脅威をあらかじめ想定し、たとえプログラムが意図しないデー
タを受け取ったとしても、意図した通り正しく動作するプログラムを書くことである。
製品開発においてセキュリティ脆弱性問題の作り込みを防止するためには、セキュアプログ
ラミングを実施する必要がある。具体的なセキュアプログラミング⼿法については、IPAが発⾏する「IPAセキュア・プログラミング講座」があり、これらはIPAのホームページから参照できるので、実際のプログラミングで実践するとよい。

プログラムの有無の表示
・初期化(工場出荷状態に戻す)機能(2) OSのセキュリティ実装の活⽤
OSにも独⾃にセキュリティを考慮した機能が盛り込まれている。例えば、プログラムをロードする度にアドレス空間をランダム化し、仮に脆弱性があったとしても、脅威度を下げる
ASLR(Address Space Layout Randomization)がある。
これらの機能を使⽤できるか、積極的に検討するべきである。
Copyright 2016 Connected Consumer Device Security Council Proprietary19

9.各フェーズの取組み–その6–■設計・製造フェーズ（続き）
5

項目

内容

ハードウェア実装(1) ハードウェアに対する物理的な攻撃への対策
ハードウェアに対する物理的な攻撃への対策としては以下のような⽅法がある。
• プロービングによるデータ解析を難しくするために、リファレンス回路を丸ごとコピーした部品実装、層構成、配置配線を⾏わない、またBGA、FBGA、LGAなどのプロービングしにくい実装⽅法が必要となる部品を使⽤する。さらに、重要な信号線は表層配線とせずに内層配線とする。
• JTAGなどのデバッグポートや診断ポートは製品開発時に実装されることが多いが、製品リリース時にはデバッグポートを露出しないようにする。
• 使⽤しているCPUのアドレスマップ、レジスタの内容をCPUのデータシートから容易に入⼿されることを防ぐために実装するCPUの品名表示を消去する。（どんな部品を使⽤しているか不明であれば、レジスタ設定などを変更不可）• 装置の持ち去りを防ぐためにワイヤーロックをかけることができる穴を実装する。
• いたずら防止ネジを使⽤する。
• 筐体開封防止のために、セキュリティラベルを使⽤する。
• 筐体開封検知機能を具備する。（開封を検知したら、メモリの中身を消去）• 容易に開封できない構造にする。
• ⾦属カバーでシールドする。
(2) サイドチャネル攻撃への対策
サイドチェネル攻撃への対策としては以下のような⽅法がある。
• サイドチャネル情報（消費電⼒や漏えい電磁波）を隠蔽または遮蔽する。
これらは代表的なハードウェア実装の対策であり、開発する製品によってはさらに対策が必要な場合もある。

Copyright 2016 Connected Consumer Device Security Council Proprietary20

9.各フェーズの取組み–その7–■設計・製造フェーズ（続き）
6

項目

内容

開発の外部委託における取組み

外部委託先へ、以下のような発注元の設計ルールや基準を明示し、そのルールに従ってもらうべきである。
(1) 外部委託に関する基準類の整備
外部委託に関する次のような基準類や⼿続き、体制を整備する。
• 外部委託の対象としてよい範囲や、委託先によるアクセスを認める情報資産の範囲を判断する基準• 委託先の選定⼿続き、選定基準および委託先が備えるべき要件に関する基準• 委託業務に関して情報セキュリティが侵害された場合の対処⼿順• 委託先の情報セキュリティ対策の実施状況を確認するための評価基準(2) 委託先の選定
事前に定めた委託先の選定⼿続き、選定基準、委託先が備えるべき要件に関する基準に基づき、委託先を選定する。委託先候補には、事前に次のことを伝達する。
• 委託業務遂⾏に関して委託先が実施するべき情報セキュリティ対策の内容• 委託業務に関して情報セキュリティが侵害された場合の対処⼿順• 委託先の情報セキュリティ対策の実施状況を確認すること、および、確認の結果、
情報セキュリティ対策が不十分である場合の対処⼿順(3) 委託先との契約
委託先との契約書には、一般的に次のことを記載する。
• 外部委託の対象となる情報および情報システムの範囲• 機密情報の取扱いと管理に関する取り決め

Copyright 2016 Connected Consumer Device Security Council Proprietary21

9.各フェーズの取組み–その8–■設計・製造フェーズ（続き）
項目

内容

開発の外部委託におけ
る取組み
（続き）

•
•
•
•
•
•
•

守秘義務や契約違反時の措置
再委託に関する取り決め、契約終了時の情報の返却・破棄
情報セキュリティ事件・事故の際の対応⼿順
情報セキュリティ対策の履⾏が不十分である場合の対処⼿順
委託業務の作業に携わる者の特定とそれ以外の者による作業の禁止
情報セキュリティ監査を受け入れること提供されるサービスレベルに関する取り決め(4) 委託先の監督委託後は、必要に応じて適宜委託先を監督する。主な監督内容は以下の通り。
• 要求するセキュリティレベル達成のために、委託業務の担当者が実施する具体的な取組み内容• 委託業務は、双⽅合意した作業者のみにより⾏われていることの確認• 情報セキュリティ監査などによる情報セキュリティ対策実施状況の確認(5) その他
その他の取組み内容は以下の通り。
• 委託先に提供する情報は必要最低限とし、情報提供に当たっては、不要部分のマ
スキングや暗号化など安全な受渡⽅法を⽤い、情報提供の記録を保存する。
• 外部委託契約の継続に当たっては、選定⼿続き、選定基準、委託先が備えるべき要件に基づき、その都度審査する。
• 契約終了時には、業務委託に際して提供した情報や情報システムの返却または破棄を確認する。
Copyright 2016 Connected Consumer Device Security Council Proprietary22

9.各フェーズの取組み–その9–■評価フェーズ
1

項目

内容

脆弱性の検証(1) 脆弱性の検証
脆弱性は仕様の不備や、セキュアプログラミングを⾏わないことなどによって潜在的に作りこまれてしまう。脆弱性検証作業を人間が⼿作業で⾏うことは大変困難であり、脆弱性検証ツールを使⽤することによって、網羅的、効率的に脆弱性の点検を⾏うことができる。
「11. 脆弱性検証ツール一覧」にOSSとして提供されているツールの一部を記載する。
いずれのツールもOSSであり、新たな脆弱性にOSS開発コミュニティが対応してくれるため、開発者にとって導入のメリットがあると考える。
IoT-GWにおいては下部に繋がる機器へのアクセスを防ぐという観点から、開いている
ポートや稼動サービスの探索を⾏うネットワーク、サーバの脆弱性の点検を優先的にツールを使⽤して検証する必要がある。(例 OpenVAS)(2) 脆弱性検証のタイミング
脆弱性検証は開発時や製品出荷前の評価段階で実⾏されるべきであるが、脆弱性は日々増えていくので運⽤後においても定期的に検証を実施する必要がある。
(3) 脆弱性検証項目
IoT-GWで一般的に使⽤されるプロトコルとその脆弱性の一例を付録に示す。これら脆弱性に関してツールを使⽤して検証を⾏う必要がある。
(4) 脆弱性検証の留意事項• ツールが正しく動作していることを確認すること。
• ツールが出⼒する結果レポート等を確認し、脆弱性の有無について検証を⾏う。
結果の中には 脆弱性の疑いのあるもの、システムの使い⽅によっては発⽣する可能性のあるものをレポートとして表示されることがある。その場合、その内容を確認して、脆弱性か否かを判断する必要がある。
Copyright 2016 Connected Consumer Device Security Council Proprietary23

9.各フェーズの取組み–その10–■運⽤フェーズ
1

項目

内容

最新の脆弱性への対応(1)最新の脆弱性への対応
使⽤しているOS、bootプログラム、アプリケーションに脆弱性がないかどうかを、以下に挙げる脆弱性関連情報を常にウォッチし、関連する脆弱性の場合、プログラムのアップデートを実施する。
・CVE(Common Vulnerabilitied and Exposures)・NVD(National Vulnerability Database)
・JVN(Japan Vulnerability Notes)
・JVN iPedia
・OSVDB(Open Source Vulnerability Database)2

企業、組織としての対応・脆弱性が発⾒された場合、⾃社のHP、電子メール等によるユーザへの脆弱性の通知、注意喚起の実施
・ユーザあるいは項番1で挙げた脆弱性関連情報を取扱う機関から情報を受け取るための窓口の設置と、その情報をいち早く開発者に伝える体制の構築
・脆弱性の影響度、波及性の確認や対策の修正プログラム作成等に向けた対応フローの策定
・上流工程での再発防止のしかけ仕掛構築■廃棄フェーズ
項目1

内容

機器廃棄⽅法の周知

・機器内にデータが残留したまま廃棄することで想定される脅威、リスクを取扱説明書等で明示
・廃棄時には機器の設定やメモリ内のデータを初期化(工場出荷状態)することを取扱説
明書等で推奨する
Copyright 2016 Connected Consumer Device Security Council Proprietary24

11.脆弱性検証ツール一覧
項番 種類
ファジングツール

ツール名

目的

Sulley

対象ソフトウェアの脆弱性の有無をチェックする。
予測不可能な入⼒データを与えることで意図的に例外を発⽣させ、その例外の挙動を確認することで脆弱性をチェックする。

1

2

ネットワーク脆弱性検査 OpenVAS

IoT-GWに導入されているソフトウェアのバージョンや設定、構成などを確認して、それらの脆弱性の有無をチェックする。

Webアプリ脆弱性検査

OWASP
ZAP

Webサーバ/アプリケーションの脆弱性の有無をチェックする。
検査対象機器に導入されているWebサーバ機能に対して リ ク エ ス ト を 送 信 し て 、 XSS や SQL/Command
Injectionなどの脆弱性をチェックする。

パケット⽣成Ostinato

不正パケット受信時の振る舞いを確認するため、不正
パケットデータを作成、IoT-GWに対して送信する。
DoS攻撃などを想定して、高負荷時の振る舞いを確認するため、大量のIPパケットを送信、負荷をかける。

Webリクエスト⽣成

Gatling

DoS攻撃などを想定して、高負荷時の振る舞いを確認する。
対象となるWebアプリケーションに対して条件（リク
エスト数/秒、利⽤者の挙動（画⾯入⼒、画⾯遷移など））を指定して負荷をかける。

3

4

5

Copyright 2016 Connected Consumer Device Security Council Proprietary25

12. リスク分析・評価–その1–■ISO/IEC TR 13335-3によるリスク分析の流れ
ユースケースの定義
分析対象のシステム構成とシステムの登場人物を定義保護すべき資産と基準値の定義保護すべき資産を定義し、保護すべき資産の基準値レベルを定義
想定脅威と発生頻度の定義想定する脅威とその脅威の発⽣頻度を定義

想定インシデントとリスク値の定義保護すべき資産の重要度レベル、想定インシデント発⽣頻度、インシデントと引き起こされる損失を抽出しリスク値を定義
Copyright 2016 Connected Consumer Device Security Council Proprietary26

12. リスク分析・評価–その2–攻撃の頻度（攻撃に要する時間、攻撃者のスキル、必要なシステム
知識、攻撃の機会、攻撃に必要な設備の評価より算出）と、攻撃の影響度（資産への影響、攻撃の強度の評価より算出）の積算により、リスクをスコアリングETSIの評価⼿法

基本評価基準として、攻撃元区分、攻撃条件の複雑さ、必要な特権レベル、ユーザ関与レ
ベル、スコープ、機密性（情報漏えい）への影響、完全性（情報改ざん）への影響、可⽤性（業務停止）への影響を評価し、決められた計算式によって評価値を算出。基本評価基準に加え、現状評価基準、環境評価基準も計算し、総合的にリスクをスコアリング

CVSSの評価⼿法■分析・評価システムの課題
・ISO/IEC TR 13335-3と比較し、ETSI、CVSSの評価⼿法はシステム構
築前でのリスク評価を想定して開発されたものではない。
・同様に人命や社会への影響については考慮されない。
・既存の評価⼿法を⽤いる場合は、上記の課題を加味した上で使⽤する必要がある。
・既存の⼿法を使うにしても、組織で蓄積したノウハウを元に独⾃の⼿法を使うにしても、ユースケースに応じて使いやすいものを選択するなどの使い分けが必要である。
Copyright 2016 Connected Consumer Device Security Council Proprietary27

12. まとめ■つながる世界の開発指針と本書の対応「つながる世界の開発指針」
大項目
つながる世界⽅針の安全安心に企業として取り組む

本書での対応箇所

指針

章番号

指針1 安全安心の基本⽅針を策定する

4.2.1

製品企画フェーズ項番3:施策として情報セキュリティ⽅針について記載。

4.2.1

製品企画フェーズ項番3:施策として情報セキュリティ⽅針について記載。

4.2.4

運⽤フェーズ2:施策として組織の体制について記載。

指針3 内部不正やミスに備える

4.2.2

設計・製造フェーズ項番6:施策として開発時の外部委託における取り組みについて記載。

指針4 守るべきものを特定する

4.2.1

製品企画フェーズ項番1,2:施策としてリスク分析について記載。

5

5章:実施例としてリスク分析の中で保護すべき資産について記載。

2

2章︓実施例として各ユースケースにおける被害・影響をリストアップ。

3.3

3.3:想定されるセキュリティ上のリスク例について記載。

4.2.1

製品企画フェーズ項番1,2:施策としてリスク分析について記載。

指針2 安全安心のための体制・人材を⾒直す

2つながる世界分析のリスクを認指針5 つながることによるリスクを想定する

識する

5
指針6 つながりで波及するリスクを想定する
指針7 物理的なリスクを認識する

設計

を守る設計を考える市場に出た後保守も守る設計を
考える

運⽤

に守る

5章:ユースケースにおけるリスク例について記載。

4.2.1

製品企画フェーズ項番1,2:施策としてリスク分析について記載。

4.2.2

設計・製造フェーズ項番5:施策として物理的な攻撃に対する対策について記載。
5章:ユースケースにおける物理的リスク例について記載。

指針8 個々でも全体でも守れる設計をする

4.2.2

設計・製造フェーズ項番2,5:施策としてセキュリティ機能の実装について記載。

指針9 つながる相⼿に迷惑をかけない設計をする

4.2.2

設計・製造フェーズ項番2:施策として迷惑をかけないための機能について記載。

4.2.1

製品企画フェーズ項番1,2:施策として安心安全を実現するための脅威の抽出について記載。

4.2.2

設計・製造フェーズ項番1,2,3,4,5:施策として抽出した脅威に対する対策について記載。

指針11 不特定の相⼿とつなげられても安全安心を確保できる設計をする

4.2.2

設計・製造フェーズ項番3:施策として相⼿との通信に使⽤するプロトコルについて記載。

指針12 安全安心を実現する設計の検証・評価を⾏う

4.2.3

評価フェーズ1:施策として設計に問題がないかを確認する評価について記載。

指針13 ⾃身がどのような状態かを把握し、記録する機能を設ける

4.2.2

設計・製造フェーズ項番2:⾃装置の状態を記録するためのロギング機能について記載。

4.2.2

設計・製造フェーズ項番2:施策としてプログラムアップデート機能実装について記載。

4.2.4

運⽤フェーズ項番1:施策としてプログラムのアップデートに関して記載。

4.2.4

運⽤フェーズ項番1,2:施策として最新の脆弱性への対応と、組織の対応内容について記載。

4.2.4

運⽤フェーズ項番1,2:施策として出荷後組織がとるべき体制について記載。

指針10 安全安心を実現する設計の整合性をとる

指針14 時間が経っても安全安心を維持する機能を設ける
指針15 出荷後もIoTリスクを把握し、情報発信する関係者と一緒2章︓実施例としてシステム構成を定義し、各ユースケースにおける保護すべき資産をリストアップ。

(同上) 指針5と同一。

5

守るべきもの概要

指針16 出荷後の関係事業者に守ってもらいたいことを伝える
指針17 つながることによるリスクを一般利⽤者に知ってもらう

4.2.５ 廃棄フェーズ項番1:施策として廃棄時のリスク表示について記載。
4.2.2

設計・製造フェーズ項番2:施策として取扱説明書へのリスク、脅威の表示について記載。

Copyright 2016 Connected Consumer Device Security Council Proprietary28

付録■使⽤するプロトコルと脆弱性、影響のリストアップ例－その1－
項番 プロトコル
1
IPv4

2

ICMP

3

TCP

4

5

UDP

6

HTTP

7

HTTP

想定される脅威 想定される脅威の例 想定される影響
フラグメントパケット データが重複するフラグメントパケットを正常に処理できなサービス拒否の再構築時にシステム いというTCP/IPの実装上の問題を保持していた場合、システ
がクラッシュする問題 ムのクラッシュやリブート、ハングアップといった事象が発（Teardrop Attack）
⽣し、結果としてサービス不能状態に陥る。
パ ケ ッ ト 再 構 築 時 に 大量にフラグメント化されたICMPを再構築する際にバッサービス拒否
バッファが溢れる問題 ファが溢れシステムクラッシュ、リブートなどが起きる。
（Ping of death）
TCPの初期シーケンス 送信元を偽造したIPアドレスから受信ホストにパケットを受なりすまし
番号予測の問題
信、処理を⾏わせることが可能になる。
SYNパケットにサーバ SYNパケットを受信により、TCP接続を確⽴するための接続サービス拒否
資源が占有される問題 情報を格納するコネクションバックログ等のリソースが枯渇（SYN Flood Attack） し、新たに接続を受け入れられなくなる。
UDP ヘ ッ ダ の ⻑ さ 不正なパケット処理時にOS、システムをクラッシュするな
サービス拒否フィールド不正どの影響がある。
コマンド/コード/クエ SQLインジェクションや任意コマンド実⾏により、情報搾取
情報漏えい
リの注入に基づく攻撃 (個人・組織)が発⽣する。
（ Attacks Based on
Command, Code, orQuery Injection）
プロトコルの要素⻑を httpヘッダ部のパーサ部脆弱性をつくような⻑い⽂字列を送サービス拒否
利 ⽤ し た 攻 撃 信することで、帯域圧迫等によりサービス不能となる。
（ Protocol Element
Length）
Copyright 2016 Connected Consumer Device Security Council Proprietary29

付録■使⽤するプロトコルと脆弱性、影響のリストアップ例－その2－
項番 プロトコル
8
HTTPS/TLS

想定される脅威 想定される脅威の例
なりすまし証明書と認証の不備

9

情報漏えい

10

サービス拒否11

CoAP

サービス拒否
サービス拒否

12

13

FTP

改ざん

14

FTP

情報漏えい

15

特権昇格

想定される影響
信頼のないCA局を登録した場合、正規の証明書であることを保証できない。
サーバ、クライアント共に匿名の認証モードを利⽤する場合、
匿名鍵交換の利⽤
本質的に中間者攻撃を受けやすい。中間者攻撃により情報搾取される。
バージョンロールバッ SSL2.0にフォールバックして、ハンドシェイクを開始するこク攻撃とで、SSL2.0の未対処の脆弱性を利⽤して攻撃する。攻撃の結果、サービス不能となる。
プ ロ ト コ ル パ ー サ と 複雑なパーサやURI処理コードの実装不備を攻撃され、リ
URI処理
モートノードをクラッシュさせられる。
CoAPサーバは一般的に、要求パケットよりも大きい応答パ
アンプ攻撃
ケットを応答する。大量の要求パケットに対して、増幅された応答パケットにより帯域圧迫によりサービス不能。
ファイルアクセス制御が不完全なため、匿名ユーザがすべてAnonymous FTPのファイルを読んだり、ファイル作成できてしまう。
ログインID、パスワードをデフォルトのまま放置、パスワー
不正ログイン
ド無し、類推されやすいパスワードの利⽤により不正にログインされる。その結果、ファイルの書き換え、マルウェアの配布、情報漏えい、ボットネット化が⾏われる。
ブルートフォース攻撃 （並⾏セッションによる）ブルートフォース攻撃によって、特権ユーザのパスワードが特定される。

Copyright 2016 Connected Consumer Device Security Council Proprietary30