資料２

IoTセキュリティ総合対策について

平成２９年１２月
総務省
サイバーセキュリティ課

IoT機器の推移と普及分野

1○ IHS Technology の推定によれば、2016年時点でインターネットにつながるモノ（IoTデバイス）の数は173億個であり、2021年までにその２倍の349億個まで増加するとされており、そのうち、約４割が消費者向けのものである。

（出典）IHS Technology

IoT機器におけるサイバーセキュリティ上の脅威の具体例
水道関連設備病院等に設置された水道関連設備のデータロガーがインターネット側からアクセス可能なまま運用されており、動作状況が外部から閲覧可能な状態であることに加え、第3者から運転モード(RUN/STOP)の切り替えが可能な状態になっていることが判明。
メーカー
名

2

電力監視設備工場等に設置された電力監視機器システムがインターネット側からアクセス可能なまま運用されており、警告の閾値の変更、警告の解除、プロキシ設定、再起動等の操作が、第3者が可能な状態になっていることが判明。

機器名機器
画 機器像 名※ イメージ関係者名

警告の閾値設定
警告の解除
警告灯の設定ログの削除

IoTにおけるサイバーセキュリティ上の脅威の具体例②

3○ ユーザー側には、インターネットにつながっている意識がないことが多く、またウィルス駆除ソフトのインストールなどの対策が困難なため、システムが容易に乗っ取られる例や攻撃の踏台にされる例が急増している。

（出典）横浜国立大学吉岡准教授講演資料より抜粋

IoTにおけるサイバーセキュリティ上の脅威の具体例③4○ 2016年10月21日米国のDyn社のDNSサーバーに対し、大規模なDDoS攻撃が２回発生。
○ 同社からDNSサービスの提供を受けていた企業のサービスにアクセスしにくくなる等の障害が発生。
サイバー攻撃の元は、「Mirai」というマルウェアに感染した大量のIoT機器。
 マルウェアに感染した10万台を超えるIoT機器からDyn社のシステムに対し大量の通信が発生
 最大で1.2Tbpsに達したとの報告もあり。
 Dyn社のDNSサービスを使用した数多くの大手インターネットサービスやニュースサイトに影響
簡単なID, パスワードを使用した機器が多く感染(例) ID: root
passwd: 1234

出典: http://dyn.com/blog/dyn-analysis-summary-of-friday-october-21-attack/ NICTのNICTERにおいても、9月上旬からIoT機器のマルウェア感染拡大のための通信(スキャン)を多くの国から観測■2323/TCP パケット数■2323/TCP ホスト数

IoT機器を狙った攻撃が急増（NICTERによる観測）5○ 国立研究開発法人 情報通信研究機構（ＮＩＣＴ）では、未使用のＩＰアドレス３０万個（ダークネット）を活用し、グローバルにサイバー攻撃の状況を観測。
NICTERによる観測イメージ
・ダークネットに飛来するパケットの送信元アドレスから緯度・経度を推定し、世界地図上で可視化
・色：パケットごとにプロトコル等を表現■ TCP SYN
■ TCP SYN/ACK■ TCP ACK
■ TCP FIN
■ TCP RESET

１年間で観測されたサイバー攻撃回数

IoT機器を狙った攻撃は約５.８倍（パケット数（億））1500■ TCP PUSH
■ TCP Other■ UDP■ ICMP

観測したサイバー攻撃の内訳（2016年）観測された全サイバー攻撃1,281億パケットのうち、1,281億２．４倍

1000

545.1億500
128.8億256.6億

0
2013

2014

2015

2016 （年）（※ 2015年は「26％」）

サイバーセキュリティ対策関連スケジュール
2015
1月

2016

5月

9月

2017

10月

6月

2018

2019

2020

秋

10-11月7-9月
東京
ｵﾘﾝﾋﾟｯｸ・ﾊﾟﾗﾘﾝﾋﾟｯｸ
競技大会

ﾗｸﾞﾋﾞｰﾜｰﾙﾄﾞｶｯﾌﾟ

日本年金機構事案の発生（閣議決定）（監視対象範囲拡大）

戦略中間ﾚﾋﾞｭｰ（見直し期限）加速・強化すべき施策を取りまとめ（1年以内に実施）

行（制度改正も視野）

運体制整備

 2020に向けた体制整備
 情報共有・連携ﾈｯﾄﾜｰｸ（仮称）の構築・運用

用

 ﾎﾞｯﾄ撲滅の推進

1月

１０月３日公表

ｻｲﾊﾞｰｾｷｭﾘﾃｨ
ﾀｽｸﾌｫｰｽを設置

IoTｾｷｭﾘﾃｨ総合対策

総務省

IoTｾｷｭﾘﾃｨ対策に関する取組を本格化

格

改正基本法施行本（体制整備）

ｻｲﾊﾞｰｾｷｭﾘﾃｨ戦略

試

政府全体

ｻｲﾊﾞｰｾｷｭﾘﾃｨ基本法施行6 脆弱性対策に係る体制の整備
・脆弱性調査・注意喚起（本年秋から試行的実施）
・情報共有体制の整備
・認証制度の構築＋
 研究開発の推進 民間企業等におけるセキュリティ対策の推進
 人材育成の強化
 国際連携の推進

IoTセキュリティ総合対策

7

脆弱性対策に係る体制の整備（ライフサイクル全体を見通した対策）（脆弱性調査の実施）■セキュリティ・バイ・デザイン等の意識啓発・支援の実施■重要なIoT機器に係る脆弱性調査■認証マークの付与及び比較サイト等を通じた推奨■サイバー攻撃の踏み台となるおそれがある機器に係る脆弱性調査■IoTセキュアゲートウェイ■被害拡大を防止するための取組の推進■セキュリティ検査の仕組み作り■IoT機器に関する脆弱性対策に関する実施体制の整備■簡易な脆弱性チェックソフトの開発等■利用者に対する意識啓発の実施や相談窓口等の設置

研究開発の推進民間企業等におけるｾｷｭﾘﾃｨ対策の促進

人材育成の強化

国際連携の推進■基礎的・基盤的な研究開発等 ■民間企業のセキュリティ投資 ■ 実 践 的 サ イ バ ー 防 御 演 習 ■ASEAN各国との連携の推進等の促進（CYDER）の充実■国際的なISAC間連携■広域ネットワークスキャンの ■セキュリティ対策に係る情報 ■ 2020 年 東 京 大 会 に 向 け た ■国際標準化の推進
軽量化
開示の促進
サイバー演習の実施■サイ バー空 間に おける国 際■ハードウェア脆弱性への対応 ■事業者間での情報共有を促進 ■若手セキュリティ人材の育成
ルールを巡る議論への積極的するための仕組みの構築の促進■スマートシティの参画
セキュリティ対策の強化■ 情 報 共 有 時 の匿 名 化処 理 に ■ IoT セ キ ュ リ テ ィ 人 材 の関する検討育成の促進■衛星通信におけるセキュリティ技術の研究開発■ 公 衆 無 線 LAN の サ イ バ ーセ キ ュ リ テ ィ 確 保に 関す る
■ AI を 活 用 し た サ イ バ ー 攻 撃検討
検知・解析技術の研究開発

脆弱性対策に係る体制の整備（ライフサイクル全体を見通した対策）

8

脆弱性対策に係る体制の整備（ライフサイクル全体を見通した対策）

設計・製造段階■ セキュリティ・バイ・デザイン等の意識啓発・支援の実施
セキュリティ・バイ・デザインの考え方を踏まえ設計された機器に認証マークを付与し、当該認証マークの付された機器の使用を推奨すること等について検討を行い、意識啓発・支援を実施。

販売段階■ 認証マークの付与及び比較サイト等を通じた推奨
一定のセキュリティ要件を満たしているIoT機器に対する認証マークの付与や、比較サイト等を通じた利用者が容易に認証取得の有無等を確認できる仕組みの構築について検討。

設置段階■ IoTセキュアゲートウェイ
IoT機器とインターネットの境界上にセキュアゲートウェイを設置する取組について実証を進めるとともに、セキュリティ評価や実際の導入を進める仕組みの検討。
■ セキュリティ検査の仕組み作り
継続的な安全性を確保するためのセキュリティ検査の仕組み作り（機器の脆弱性に係る接続試験を行うテストベッドの構築を含む）と、対策が不十分なIoT機器への対応の検討。

運用・保守段階

利用段階■ 簡易な脆弱性チェックソフトの開発等
IoT機器の利用者が簡易にその脆弱性をチェックできるソフトを開発して配布する取組や、脆弱性を調査する民間サービスの実施を促進する取組の検討。
■ 利用者に対する意識啓発の実施や相談窓口等の設置
ID/パスワード設定、ファームウェアのアップデート、Wi-Fi設定の３点を中心とした利用者への意識啓発の実施、利用者からの相談窓口や、脆弱性が見つかった場合の関係機関との調整窓口の設置。

脆弱性対策に係る体制の整備（脆弱性調査の実施）

9

脆弱性対策に係る体制の整備（脆弱性調査の実施）■ 重要IoT機器に係る脆弱性調査■ サイバー攻撃の踏み台となるおそれがある機器に係る脆弱性調査【対策のイメージ案】〇脆弱なIoT機器の実態調査、所有者等への注意喚起
・ IoT機器の調査を実施し、脆弱性を持つIoT機器が発見された場合は、インターネットサービスプロバイダ(ISP)等の協力のもと、当該機器の所有者・運用者・利用者へ注意喚起を実施。
〇IoT機器の脆弱性情報の関係事業者間での共有
・ IoT機器の製造事業者等が脆弱性に迅速に対応することを可能とするため、IoT機器の脆弱性情報を関係事業者間で共有する仕組みを構築。

■ 被害拡大を防止するための取組の推進
・ 脆弱性を有するIoT機器が踏み台となったことが確認された場合、ISPによるC&Cサーバとの通信制御の実施を推進するとともに、当該取組を促進するための方策について検討（年度内を目途に方向性）。
■ IoT機器に関する脆弱性対策に関する実施体制の整備
・ IoT機器に対する脆弱性対策を実施する体制（IoTセキュリティ対策センター（仮称））のあり方について検討（年度内を目途に結論）。

IoT機器に関する脆弱性調査等 （平成２９年９月５日 報道発表）

10○ サイバー攻撃観測網や脆弱性探索手法を活用して、重要IoT機器（国民生活・社会生活に直接影響を及ぼす可能性の高いIoT機器）を中心に、インターネットに接続されたIoT機器について調査を実施。
○ サイバー攻撃の対象になりやすい脆弱なIoT機器を特定した場合には、所有者等に対して注意喚起を実施。また、必要に応じて製造事業者等に対して脆弱性に関する技術的な情報提供を実施。
総務省、ICT-ISAC、横浜国立大学

製造事業者等（IoT機器メーカ・ベンダ）【報道発表（平成29年9月5日）】

調査システム機器リスト② 情報共有・ 脆弱なIoT機器の情報を蓄積し、関係省庁・関係機関、製造事業者等に共有。

関係省庁・関係機関（JPCERT/CC、ICT－ISAC）

所有者等
IoT機器

③ 注意喚起・ 所有者等に対して注意喚起を実施。

① 脆弱な状態にあるIoT機器の調査
・ サイバー攻撃観測網や脆弱性探索手法を活用し、脆弱な状態にあるIoT機器を調査。
・ 必要に応じ、現地調査等、機器の実態調査を実施。