平成 29 年度
横浜国立大学・BB ソフトサービス共同研究プロジェクト
研究開発成果報告書

プロジェクト名称：横浜国立大学・BBSS
IoT サイバーセキュリティ共同研究プロジェクト

平成 30 年 3 月

目 次
目 次···································································································································································································1
1. プロジェクトの概要、目的、背景、他······························································································································ 3
2. ハニーポットによるサイバー攻撃観測概況················································································································· 4
2-1
はじめに ·········································································································································································4
2-2
観測期間 2017 年 7 月 1 日～7 月 31 日··········································································································· 4（1）
アクセスホスト数と攻撃ホスト数の推移 ··············································································································· 4（2）
攻撃ホスト数の国情報··············································································································································· 5（3）収集したマルウェアの検知結果···························································································································· 6
2-3
観測期間 2017 年８月 1 日～８月 31 日 ············································································································· 7（1）
アクセスホスト数と攻撃ホスト数の推移 ··············································································································· 7（2）
攻撃ホスト数の国情報··············································································································································· 8（3）収集したマルウェアの検知結果···························································································································· 92-4観測期間 2017 年９月 1 日～９月 3０日············································································································10（1）
アクセスホスト数と攻撃ホスト数の推移 ·············································································································10（2）
攻撃ホスト数の国情報·············································································································································11（3）
収集したマルウェアの検知結果··························································································································12
2-5観測期間 2017 年１０月 1 日～１０月 31 日 ·····································································································13（1）
アクセスホスト数と攻撃ホスト数の推移 ·············································································································13（2）
攻撃ホスト数の国情報·············································································································································14（3）収集したマルウェアの検知結果··························································································································15
2-6観測期間 2017 年１１月 1 日～１１月 3０日······································································································16（1）
アクセスホスト数と攻撃ホスト数の推移 ·············································································································16（2）
攻撃ホスト数の国情報·············································································································································17（3）収集したマルウェアの検知結果··························································································································18
2-7観測期間 2017 年１２月 1 日～１２月 31 日 ·····································································································19（1）
アクセスホスト数と攻撃ホスト数の推移 ·············································································································19（2）
攻撃ホスト数の国情報·············································································································································20（3）収集したマルウェアの検知結果··························································································································21
3. テストベッド内での疑似攻撃による脅威の検証 ······································································································22
3-1
はじめに ·······································································································································································22
3-2
関連研究 ······································································································································································22
3-3
ホームネットワークテストベッド·····························································································································23（1）
研究目標 ······································································································································································23（2）
テストベッドの構築····················································································································································23
3-4
テストベッド内での疑似攻撃による脅威の検証 ····························································································25（1）
家庭内サービス妨害攻撃······································································································································25（2）
家庭内機器の不正操作 ·········································································································································28（3）
悪性な Web サイトへの誘導 ·································································································································30
3-5
実攻撃による脅威の検証·······································································································································30（1）
マルウェア動的解析による脅威の検証 ············································································································30（2）インターネットからの攻撃による脅威の検証 ··································································································32
3-6
セキュリティ評価フレームワークの提案············································································································32（1）
ホームネットワークセキュリティ製品···················································································································32

（2）セキュリティ評価フレームワーク ··························································································································32（3）
ホームネットワークセキュリティ製品の評価·····································································································34
3-7
まとめと今後の課題··················································································································································36
4.
提言 ················································································································································································36
参考文献 ··························································································································································································38
本共同研究に関する対外発表 ················································································································································39【別紙】本共同研究に関する報道等

2

1.

プロジェクトの概要、目的、背景、他

当共同研究は、2016年以降IoT機器を標的としたマルウェアの拡散とマルウェア感染拡大による、ボットネットに組み込まれたIoT機器を踏み台としたサイバー攻撃の増加を背景に、IoTマルウェアの観測と研究を先駆けて行ってきた横浜国立大学と一般消費者向けセキュリティサービスを提供するBBソフトサービスの産学連携
プロジェクトとして発足した。
MiraiをはじめとするIoT機器に感染するマルウェアの特徴として、広域なネットワークスキャンによって、Telnet
やその他の脆弱性のある機器を探し、さらに感染拡大活動も行うという特徴がみられる。しかしこれまで観測されてきたIoT機器を介したマルウェアによるサイバー攻撃やIoTマルウェアの感染活動の観測は、いずれも
WAN環境に直接接続されたネット接続機器を対象としたものだった。
これらの脅威が一般家庭のルーター機器やその先のLAN内部に対して与える影響の有無については不明のままであった。
そのような背景の中、横浜国立大学とBBソフトサービスは、双方のリソースを持ち寄り、市販されている様々な
IoT機器、スマート家電などを実際に配置し一般家庭のネットワーク環境を模したテストベッド（試験室）をつくり、その環境下におけるIoTサイバーセキュリティの観測、実験を行う計画を立案し共同研究プロジェクトを開始した。
研究の目的は、一般家庭において現在発生している現象の観測、分析を通してサイバーセキュリティ脅威の実態を社会に公表していくこと。そして近い将来に発生しうるサイバーセキュリティ脅威や被害を予測していくこと。また、その結果の発表によって、一般消費者にもパソコンやスマートフォンだけでなく、家庭にあるすべてのネット接続機器にも、セキュリティが必要であるという意識を浸透させていくことを目的としている。

3

2.

ハニーポットによるサイバー攻撃観測概況
2-1

はじめに
脆弱なネットワークサービスを模擬する囮のシステムを用いて、インターネット上で起きている攻撃を観測するハニーポットと呼ばれる技術がある。ハニーポットの種類は観測対象のプロトコルに応じて多岐にわたるが、インターネットに接続された家電製品、産業機器、医療機器、カメラ、センサ等の IoT 機器に対するサイバー攻撃を観測することを目的とした IoTPOT が提案されている[5]。本研究では、世界各地に配置された IoTPOT を用いて攻撃の傾向を明らかにすることを目指す。具体的には、2017 年 7 月 1
日～12 月 31 日の間に IoTPOT にアクセスを試みた IP アドレス数（以降では、アクセスホスト数）や不正侵入を試みた IP アドレス数（以降では、攻撃ホスト数）の分析結果、IoTPOT で収集したマルウェアのウ
イルス対策ソフトで検知結果をまとめる。

2-2

観測期間 2017 年 7 月 1 日～7 月 31 日

（1）

アクセスホスト数と攻撃ホスト数の推移

図 1 に観測したアクセスホスト数、攻撃ホスト数の推移を示す。2017 年 7 月は１日当たり約 3.1 万 IP
アドレスからのアクセス、１日当たり約 1.9 万 IP アドレスからの不正侵入を観測した。アクセスホストの中には研究者などが行うスキャンや、IoT 機器などの攻撃対象の存在を確認することを目的とした、不正侵入を伴わない「偵察」のスキャンが含まれていることが想定される。1 ヶ月を通して攻撃は継続的に行われており、アクセスホスト数と攻撃ホスト数の推移に大きな変化は見られなかった。
40000
35000
30000
25000
20000
15000
10000
5000
0

accessor
attacker■アクセスホスト数■攻撃ホスト数
図 1 アクセスホスト数、攻撃ホスト数の推移（2017 年 7 月）

4

（2）

攻撃ホスト数の国情報

表 1 に観測した攻撃ホストを国別に分類した結果を示す。２０１７年７月は１９８ヵ国・地域から攻撃を観測した。また、ユニークな攻撃ホスト数は２５４,９９８であった。攻撃ホスト数は中国が最も多く全体の 3 割を占め、次いで、ブラジル、インド、アメリカ、トルコ、ロシア、アルゼンチン、ベトナムとなっていた。

順位
1位
2位
3位
4位
5位
６位
7位
8位
9位
10 位
11 位
12 位
13 位
14 位
15 位
16 位
17 位
18 位
19 位
20 位

表 1 攻撃ホスト数の国別順位（２０１７年７月）
国名攻撃ホスト数
中国
81427
ブラジル
22361
インド
17065
アメリカ
16689
トルコ
16001
ロシア
13707
アルゼンチン
9688
ベトナム
6605
オーストラリア
5858
イタリア
4583
イラン
4480
韓国
4409
タイ
3241
メキシコ
3197
カナダ
2938
イギリス
2658
スウェーデン
2561
台湾
2449
スペイン
2207
ポーランド
2116

5

（3）

収集したマルウェアの検知結果

以下に収集したマルウェアを４種類のウイルス対策ソフトで検知した結果を示す。２０１７年７月はMirai[2]などの IoT マルウェアを収集することができた。なお、調査にはマルウェア検査サービスである
VirusTotal[31]を用いた。
A 社の検知結果
検知名
Linux.Lightaidra
TrojanLinux.Mirai
SecurityRisk
Linux.Gafgyt

種類数
1
3
1
1
1

検知数
279
116
50
33
16

検知名
Backdoor.Linux.Gafgyt
Backdoor.Linux.Tsunami

種類数
1
1

検知数
392
2

検知名
BASHLITEMIRAITROJ_GEN

種類数
7
4
1

検知数
248
57
1

検知名
RDN/Generic BackDoor
Linux.Mirai

種類数
1
1

検知数
171
53

B 社の検知結果

C 社の検知結果

D 社の検知結果

6

2-3

観測期間 2017 年 8 月 1 日～8 月 31 日

（1）

アクセスホスト数と攻撃ホスト数の推移

図 2 に観測したアクセスホスト数、攻撃ホスト数の推移を示す。8 月に入って大幅な攻撃の増加が確認された。実際に、7 月 31 日では約 1.7 万 IP アドレスから攻撃を観測していたのに対し、8 月 3 日には
約 1.7 倍の約 2.9 万 IP アドレスからの攻撃を観測した。この原因は、メキシコからのアクセスホスト数と攻
撃ホスト数が急増したためであり、観測された通信のバナーを調べたところ、7 月には観測されなかった
ルーター製品などが確認された。このため、これらの機器がメキシコにて大量感染した恐れがある。
45000
40000
35000
30000
25000
20000
15000
10000
5000
0

■アクセスホスト数
accessor ■攻撃ホスト数
attacker
図 2 アクセスホスト数、攻撃ホスト数の推移（2017 年 8 月）（※8 月 26-27 日は研究棟メンテナンスに伴う停電によりデータ取得無し）

7

（2）

攻撃ホスト数の国情報

表 2 に観測した攻撃ホストを国別に分類した結果を示す。2017 年 8 月は 192 ヵ国・地域から攻撃を観測した。また、ユニークな攻撃ホスト数は３８２,８７６であった。攻撃ホスト数はメキシコが最も多く全体の 2割を占め、次いで、中国、ブラジル、インド、ロシア、トルコ、イラン、アメリカ、アルゼンチンとなっていた。
前述のとおり、メキシコで使われている IoT 機器が大量感染したことが推測されるため、7 月に 14 位だったメキシコが 8 月には中国を抜いて 1 位となっていた。

順位
1位
2位
3位
4位
5位
６位
7位
8位
9位
10 位
11 位
12 位
13 位
14 位
15 位
16 位
17 位
18 位
19 位
20 位

表 2 攻撃ホスト数の国別順位（2017 年 8 月）
国名
攻撃ホスト数
メキシコ
78765
中国
57525
ブラジル
46760
インド
44424
ロシア
21571
トルコ
20260
イラン
12199
アメリカ
10279
アルゼンチン
9196
ベトナム
7254
フィリピン
7193
イタリア
6533
タイ
5914
ポーランド
5845
台湾
3850
韓国
3501
オーストラリア
3031
スペイン
2558
スウェーデン
2379
イギリス
2251

8

（3）

収集したマルウェアの検知結果

以下に収集したマルウェアを４種類のウイルス対策ソフトで検知した結果を示す。2017 年 8 月はMirai[2]などの IoT マルウェアを収集することができた。なお、調査にはマルウェア検査サービスである
VirusTotal[31]を用いた。
A 社の検知結果
検知名
Linux.Lightaidra
Trojan.Gen.NPE
Linux.Gafgyt
Linux.Mirai
SecurityRisk.gen
Linux.Trojan

種類数
1
2
1
1
1
1

検知数
216
69
48
28
6
2

検知名
Backdoor.Linux.Gafgyt

種類数
1

検知数
309

検知名
BASHLITEMIRAITROJ_GEN

種類数
12
3
3

検知数
441
30
3

検知名
RDN/Generic BackDoor
Linux.Mirai

種類数
1
1

検知数
24
96

B 社の検知結果

C 社の検知結果

D 社の検知結果

92-4観測期間 2017 年 9 月 1 日～9 月 30 日

（1）

アクセスホスト数と攻撃ホスト数の推移

図 3 に観測したアクセスホスト数、攻撃ホスト数の推移を示す。2017 年 9 月は１日当たり約 2.６万 IP
アドレスからのアクセス、１日当たり約 1.8 万 IP アドレスからの不正侵入を観測した。9 月に入りメキシコと中国からの通信が大幅に減少したため、8 月に比べてアクセスホスト数と攻撃ホスト数が減少した。
35000
30000
25000
20000
15000
10000
5000
0

accessor ■攻撃ホスト数
attacker■アクセスホスト数
図 3 アクセスホスト数、攻撃ホスト数の推移（2017 年 9 月）

10

（2）

攻撃ホスト数の国情報

表 3 に観測した攻撃ホストを国別に分類した結果を示す。2017 年 9 月は 198 ヵ国・地域から攻撃を観測した。また、ユニークな攻撃ホスト数は 299,597 であった。攻撃ホスト数はブラジルが最も多く全体の 2割を占め、次いで、中国、メキシコ、インド、ロシア、トルコ、アメリカ、イラン、アルゼンチンとなっていた。

順位
1位
2位
3位
4位
5位
６位
7位
8位
9位
10 位
11 位
12 位
13 位
14 位
15 位
16 位
17 位
18 位
19 位
20 位

表 2 攻撃ホスト数の国別順位（2017 年 9 月）
国名
攻撃ホスト数
ブラジル
61812
中国
36868
メキシコ
36830
インド
25086
ロシア
19271
トルコ
18071
アメリカ
15757
イラン
11706
アルゼンチン
7844
イタリア
7423
ベトナム
4857
イギリス
4729
タイ
4276
韓国
4141
オーストラリア
3518
台湾
3246
スペイン
1977
ギリシャ
1887
ポーランド
1796
スウェーデン
1774

11

（3）

収集したマルウェアの検知結果

以下に収集したマルウェアを４種類のウイルス対策ソフトで検知した結果を示す。2017 年 9 月はMirai[2]や Tsunami[3]などの IoT マルウェアを収集することができた。なお、調査にはマルウェア検査サービスである VirusTotal[31]を用いた。
A 社の検知結果
検知名
Linux.Lightaidra
TrojanSecurityRisk
Linux.Mirai
Linux.Kaiten
Linux.Gafgyt

種類数
1
3
1
1
2
1

検知数
354
43
38
27
22
8

検知名
Backdoor.Linux.Gafgyt
Backdoor.Linux.Tsunami

種類数
1
2

検知数
360
23

検知名
BASHLITEMIRAIKAITEN
TROJ_GEN

種類数
10
4
3
10

検知数
743
26
22
１3

検知名
RDN/Generic BackDoor
Linux.Tsunami
Linux.Gafgyt
Linux.Mirai

種類数
1
1
1
1

検知数
124
20
20
19

B 社の検知結果

C 社の検知結果

D 社の検知結果

122-5

観測期間 2017 年 10 月 1 日～10 月 31 日

（1）

アクセスホスト数と攻撃ホスト数の推移

図 4 に観測したアクセスホスト数、攻撃ホスト数の推移を示す。2017 年 10 月は 1 日当たり約 2.8 万 IP
アドレスからのアクセス、１日当たり約 1.9 万 IP アドレスからの不正侵入を観測した。9 月に比べアクセス
ホスト数と攻撃ホスト数に大きな変化は見られなかった。
35000
30000
25000
20000
15000
10000
5000
0

accessor ■攻撃ホスト数
attacker■アクセスホスト数
図 4 アクセスホスト数、攻撃ホスト数の推移（2017 年 10 月）

13

（2）

攻撃ホスト数の国情報

表 4 に観測した攻撃ホストを国別に分類した結果を示す。2017 年 10 月は 196 ヵ国・地域から攻撃を観測した。また、ユニークな攻撃ホスト数は 304,256 であった。攻撃ホスト数はブラジルが最も多く全体の3 割を占め、次いで、中国、インド、ロシア、トルコ、アメリカ、イラン、イタリアとなっていた。

順位
1位
2位
3位
4位
5位
６位
7位
8位
9位
10 位
11 位
12 位
13 位
14 位
15 位
16 位
17 位
18 位
19 位
20 位

表 3 攻撃ホスト数の国別順位（2017 年 10 月）
国名
攻撃ホスト数
ブラジル
93202
中国
44244
インド
22772
ロシア
19190
トルコ
18874
アメリカ
17242
イラン
7598
イタリア
7415
アルゼンチン
6764
メキシコ
5472
イギリス
4860
タイ
4635
ベトナム
4095
韓国
3918
オーストラリア
3408
台湾
2877
ギリシャ
2755
ポーランド
2119
スペイン
1905
エクアドル
1897

14

（3）

収集したマルウェアの検知結果

以下に収集したマルウェアを４種類のウイルス対策ソフトで検知した結果を示す。2017 年 10 月はMirai[2]や Tsunami[3]などの IoT マルウェアを収集することができた。なお、調査にはマルウェア検査サービスである VirusTotal[31]を用いた。
A 社の検知結果
検知名
Linux.Lightaidra
Linux.Mirai
TrojanLinux.Kaiten
SecurityRisk
Linux.Gafgyt
Linux.Proxym

種類数
1
1
3
2
1
1
1

検知数
135
30
20
11
11
4
1

検知名
Backdoor.Linux.Gafgyt
Backdoor.Linux.Tsunami
Trojan.Linux.MiraiDDos.CQ

種類数
1
2
1

検知数
191
11
1

検知名
BASHLITEMIRAIKAITEN
TROJ_GEN
ELF_PROXY.DHC

種類数
7
3
3
6
1

検知数
378
32
11
7
1

検知名
RDN/Generic BackDoor
Linux.Mirai
Linux.Tsunami

種類数
1
1
1

検知数
46
29
10

B 社の検知結果

C 社の検知結果

D 社の検知結果

152-6

観測期間 2017 年 11 月 1 日～11 月 30 日

（1）

アクセスホスト数と攻撃ホスト数の推移

図 5 に観測したアクセスホスト数、攻撃ホスト数の推移を示す。2017 年 11 月は 1 日当たり約 4.6 万 IP
アドレスからのアクセス、１日当たり約 2.9 万 IP アドレスからの不正侵入を観測した。11 月に入って大幅な攻撃の増加が確認できた。実際に、22 日、23 日、29 日、30 日にアクセスホスト数と攻撃ホスト数が増加した。
160000140000120000100000
80000
60000
40000
20000
0

accessor ■攻撃ホスト数
attacker■アクセスホスト数
図 5 アクセスホスト数、攻撃ホスト数の推移（2017 年 11 月）

16

（2）

攻撃ホスト数の国情報

表 5 に観測した攻撃ホストを国別に分類した結果を示す。2017 年 11 月は 196 ヵ国・地域から攻撃を観測した。また、ユニークな攻撃ホスト数は 470,212 であった。攻撃ホスト数はブラジルが最も多く全体の2 割を占め、次いで、中国、アルゼンチン、日本、インド、トルコ、ロシア、アメリカ、コロンビアとなっていた。10 月に比べ、アルゼンチン、日本、コロンビア、エジプトからの攻撃が大幅に増加した。

順位
1位
2位
3位
4位
5位
６位
7位
8位
9位
10 位
11 位
12 位
13 位
14 位
15 位
16 位
17 位
18 位
19 位
20 位

表 4 攻撃ホスト数の国別順位（2017 年 11 月）
国名
攻撃ホスト数ブラジル
122952
中国
70461
アルゼンチン
66989
日本
27693
インド
23380
トルコ
23172
ロシア
15037
アメリカ
14058
コロンビア
11934
エジプト
11178
イタリア
6896
イラン
4906
チュニジア
4622
メキシコ
4613
タイ
4083
イギリス
4023
ベトナム
3649
韓国
3614
ウクライナ
3287
エクアドル
3220

17

（3）

収集したマルウェアの検知結果

以下に収集したマルウェアを４種類のウイルス対策ソフトで検知した結果を示す。2017 年 11 月はMirai[2]などの IoT マルウェアを収集することができた。なお、調査にはマルウェア検査サービスである
VirusTotal[31]を用いた。
A 社の検知結果
検知名
Linux.Lightaidra
TrojanLinux.Mirai
SecurityRisk
Linux.Gafgyt

種類数
1
2
1
1
1

検知数
135
37
30
8
3

検知名
Backdoor.Linux.Gafgyt
Backdoor.Linux.Tsunami
TrojanHajimeApplocation.Miner.R

種類数
1
1
2
1
1

検知数
151
23
9
1
1

検知名
BASHLITEMIRAITROJ_GEN

種類数
7
3
5

検知数
319
43
5

検知名
Linux.Mirai
RDN/Generic BackDoor
Linux.Gafgyt

種類数
1
1
1

検知数
42
36
10

B 社の検知結果

C 社の検知結果

D 社の検知結果

18

2-7観測期間 2017 年 12 月 1 日～12 月 31 日

（1）

アクセスホスト数と攻撃ホスト数の推移

図 6 に観測したアクセスホスト数、攻撃ホスト数の推移を示す。2017 年 12 月は 1 日当たり約 5.6 万 IP
アドレスからのアクセス、１日当たり約 3.4 万 IP アドレスからの不正侵入を観測した。12 月 1 日から 12 月
5 日までは大量の通信を観測したが、12 月 6 日以降は通信量が減少した。
120000100000
80000
60000
40000
20000
0

■アクセスホスト数
accessor ■攻撃ホスト数
attacker
図 6 アクセスホスト数、攻撃ホスト数の推移（2017 年 12 月）

19

（2）

攻撃ホスト数の国情報

表 6 に観測した攻撃ホストを国別に分類した結果を示す。2017 年 12 月は 173 ヵ国・地域から攻撃を観測した。また、ユニークな攻撃ホスト数は 462,344 であった。攻撃ホスト数は中国が最も多く全体の 4 割を占め、次いで、ブラジル、日本、トルコ、ロシア、アメリカ、イタリア、インド、コロンビア、メキシコとなっていた。11 月に比べて中国からの攻撃数が大幅に増加した一方で、アルゼンチンからの攻撃が大幅に減
少した。また、日本からの攻撃が増加した。

順位
1位
2位
3位
4位
5位
６位
7位
8位
9位
10 位
11 位
12 位
13 位
14 位
15 位
16 位
17 位
18 位
19 位
20 位

表 5 攻撃ホスト数の国別順位（2017 年 12 月）
国名
攻撃ホスト数中国
199578ブラジル
124439
日本
35392
トルコ
15162
ロシア
8004
アメリカ
7208
イタリア
6353
インド
5083
コロンビア
3992
メキシコ
3818
イラン
3673
イギリス
3365
韓国
3315
ウクライナ
3204
ベトナム
3194
イギリス
2867
台湾
2666
タイ
2386
オーストラリア
2375
アルゼンチン
2364

20

（3）

収集したマルウェアの検知結果

以下に収集したマルウェアを４種類のウイルス対策ソフトで検知した結果を示す。2017 年 12 月はMirai[2]や Tsunami[3]などの IoT マルウェアを収集することができた。なお、調査にはマルウェア検査サービスである VirusTotal[31]を用いた。
A 社の検知結果
検知名
Linux.Lightaidra
Linux.Mirai
Linux.Kaiten
TrojanLinux.Gafgyt
SecurityRisk
Linux.Proxym

種類数
1
1
2
3
1
1
1

検知数
71
43
9
20
13
2
1

検知名
Backdoor.Linux.Gafgyt
Backdoor.Linux.Tsunami
TrojanHajime
Mirai

種類数
1
1
2
1
1

検知数
82
23
19
1
1

検知名
BASHLITEMIRAITROJ_GEN
KAITEN

種類数
7
11
11
3

検知数
153
74
15
11

検知名
Linux.Mirai
RDN/Generic BackDoor
Linux.Tsunami

種類数
1
1
1

検知数
29
19
10

B 社の検知結果

C 社の検知結果

D 社の検知結果

21

3.

テストベッド内での疑似攻撃による脅威の検証
3-1

はじめに
近年通信機能を有するスマート家電の普及が進み、一般家庭ではネットワーク接続された IoT 機器が増加している。これらの機器の多くはスマートフォンやタブレットといった端末から簡単に操作可能であり、ユーザーはクラウドとの連携により多様なサービスを受け取ることができる。しかし、利便性が向上した一方で、これらの機器へのサイバー攻撃が懸念されている。ホームネットワークの入り口であるホームルー
ター機器には毎日インターネット側から多数の攻撃が届いており、一部の脆弱なホームルーター機器は
マルウェア感染や不正侵入の被害を受けている。例えば、Telnet サービスを狙って感染を拡大するマ
ルウェア Mirai[1]とその亜種は、 2016 年 9 月末にソースコードが公開されたこともあり大量の IoT 機器に感染したことが報告されている[2]。同様に、マルウェア感染した IoT 機器のサービス妨害攻撃（DoS攻撃）により、多数のネットワークサービスが影響を受けたことが報告されている[3]。また、2016 年 6 月に確認された Android 端末をロックするランサムウェア FLocker の亜種が家庭内のスマートテレビを乗っ取り、身代金を要求する事例が報告されている[4]。しかし、このように IoT 機器へのサイバー攻撃が脅威となっているにも関わらず、家庭内の IoT 機器へのサイバー攻撃の実態は明らかになっていない。
本研究では、一般消費者の家庭環境を模擬した 16 種類のネットワーク接続可能な IoT 機器からなる
ホームネットワークテストベッドを構築し、家庭内サイバー攻撃の観測と検証を行う。そして、今後想定されるサイバー攻撃についてテストベッド内で疑似攻撃を試行し、その結果に基づいてホームネットワー
クにおけるセキュリティ評価のフレームワークを検討する。
検証実験では、まず初めにハニーポットで収集した実マルウェア検体をホームルーターに感染させ、家庭内サイバー攻撃の可否を検証した。そして、ホームルーターに感染した後さらに家庭内部に侵入するかどうかを調査するため、ホームネットワークテストベッドに実攻撃を引き込み攻撃の観測を行った。
最後に、ホームネットワーク向けセキュリティ製品の評価フレームワークを提案し、市販されている製品の評価を行った。

3-2
関連研究
近年、インターネット上で公開されている IoT 機器が増加しており、それらを対象としたサイバー攻撃が問題となっている。文献[５][6]では、脆弱な IoT 機器を模擬するハニーポットを構築することでマルウ
ェアを収集する手法を提案している。また、文献[7][8]では、前述のハニーポットで収集したマルウェア
検体を動的解析し、IoT マルウェアが行う攻撃の実態を明らかにしている。文献[9]では、ハニーポットを用いて Mirai[1][2]と呼ばれるマルウェアの挙動を観測し、Mirai に感染した IoT 機器の種類を分析することで Mirai とその亜種の危険性を予測している。
IoT 機器を狙ったサイバー攻撃が脅威となっている一方で、制御システム等の日本国内の重要インフ
ラをサイバー攻撃から守るために、様々な研究機関が IoT セキュリティテストベッドを開発している。例えば、CSSC（Control System Security Center）を対象とするテストベッド施設（略称：CSS-Base6）では、9 つのプラント（化学、ビル、工場、電力、ガス、広域連携など）を模擬して、重要なインフラと工場の環境を再現している[10]。また、前述のテストベッドを用いて、重要インフラ、工場、広域連携システムに関する研究が行われている[13]。計算機クラスタで構成される StarBED 型テストベッドでは、ハードウェアエミュレータを用いて大規模なIoT環境を構築し、IoT セキュリティの実証実験を行っている[11][12]。このように、各テストベッドでは制御システムに模擬サイバー攻撃を行い、当該システムの堅牢性を検証するとともにインシデントが起きた際の影響の評価や制御システムのセキュリティ強化技術の研究開発が行われている。一方、ホームネットワークのテストベッドに関する研究は、総務省の試み[14]が挙げられる他に事例が少なく、家庭内の IoT 機器のセキュリティは十分に検証されていない。そこで、本研究では一般消費者の家庭環境を模擬したホームネットワークテストベッドを構築し、テストベッド内で家庭内の IoT 機器を狙ったサイバー攻撃の調査や分析を行う。
22

3-3
（1）

•
•
•
•

ホームネットワークテストベッド
研究目標
IoT 機器のセキュリティに関する研究の多くは、特定の IoT 機器を模擬することでインターネットから届
く攻撃の観測や分析を行っている。しかし、最近では家庭内の IoT 機器もサイバー攻撃の対象となっており、家庭用ルーターをはじめとする機器が侵入を受けた後、家庭内のネットワーク（以降では、ホーム
ネットワーク）に対してどのような攻撃が行われるか明らかにされていない。このため、ホームネットワーク
内の IoT 機器に対するサイバー攻撃を分析し、その実態は明らかにすることが求められている。
本研究では、16 種類の IoT 機器からなる一般消費者の家庭環境を模擬したホームネットワークテスト
ベッドを構築する。また、テストベッド内の IoT 機器に疑似攻撃を行うための実機サンドボックスとインターネットからの攻撃を観測するための犠牲ホストを用意する。そして、ホームネットワーク内で想定される攻撃を模擬し、これらの攻撃がテストベッド内の IoT 機器やネットワークに与える影響を検証するとともに、
ホームネットワーク内の通信やインターネットから届く攻撃の観測や分析を行う。以下に、本研究の目標をまとめる。
テストベッド内およびインターネットとの通信の観測や分析
疑似攻撃による家庭内の IoT 機器とホームネットワークへの影響の検証
IoT マルウェア検体を動作させた後の挙動の観測や分析
インターネットからのサイバー攻撃をテストベッドに引き込みその実態の観測や分析（2）

テストベッドの構築
本研究では、ホームネットワークテストベッドを通信制御部、通信観測部、Wi-Fi ルーター、犠牲ホスト、
サンドボックスおよび家庭内で使用される多様な IoT 機器群で構成する。本テストベッドの全体像を図 7に示す。また、本テストベッド内の機器のスペックを表 7 に、家庭 IoT 機器群を表 8 に示す。以降では、各コンポーネントについて説明する。
通信制御部：通信制御部はインターネットとホームネットワークの境界に設置し、制御サーバによりインターネット側とホームネットワーク間の通信を制御する。マルウェアの通信が外部に影響を与えないよう、
あらかじめフィルタリングルールを設定して外部との通信を制御する。
通信観測部：通信観測部は観測マシンを Wi-Fi ルーターに接続することで、Wi-Fi ルーターからホーム
ネットワーク内へ行われる通信とホームネットワーク内から外への通信を観測する。
サンドボックス：サンドボックスではマルウェア検体を実行し、ホームネットワーク内部間、および外への疑似攻撃を行う。
犠牲ホスト：犠牲ホストは実機と仮想マシンの二種類を用いて実現する。実機の犠牲ホストはインターネ
ットからの攻撃を引き込む際の攻撃対象として使用する。なお、本研究ではホームネットワークの入り口である Wi-Fi ルーターは、実攻撃を観測する際には犠牲ホストと想定する。犠牲ホストがマルウェア感染した後の挙動を観測するため、すべての ID/パスワードで telnet ログイン可能な仮想マシンを犠牲ホストとして構築する。
ホームネットワークセキュリティ製品：ホームネットワークセキュリティ製品は現在市場にて販売されている、家庭内の IoT デバイスを保護するためのセキュリティ製品である。
家庭 IoT 機器群：家庭 IoT デバイス群はホームネットワークに接続される家庭用の IoT 機器である。具体的には、TV や掃除機等のネットワークに接続する家電である。
23

図 7 ホームネットワークテストベッドの構成図
表 6 ホームネットワークテストベッド内の機器のスペック
デバイス

CPU・OS

制御サーバ

Intel(R) Core(TM) i7-7700 CPU@ 3.60GHz,2 Ethernet ports
interfaces,
Cent OS 7

観測マシン

24 Ethernet ports switch with port mirroring

サンドボックス(実機)Wi-Fi ストレージ/ポケット Wi-Fi MIPSEL

犠牲ホスト(実機)

ポケット Wi-Fi，MIPSEL /家庭用 Wi-Fi ルーターMIPS

犠牲ホスト(仮想マシン)

Openwrt 15.05-x86 [15]表 7 家庭内 IoT 機器の一覧

製品名
学習
リモコン
ロボット
掃除機
スマート
照明
スマート
電源プラグ
スマート
コーヒー機

プロトコル(L7/L4)
独自/TCP
MQTT[16]/TCP
HTTP/TCP
独自/UDP
独自/TCP

機能説明
エアコンや TV などの家電のリモコンを登録することで、アプリから様々な家電の操作を可能とする
アプリを利用して清掃命令等のリモートコントロールを可能とする
アプリを利用して照明の ON・OFF やライトの色の変更を可能とす
る
コンセントに接続して使用することで、アプリで電力使用状況の確
認や電源の ON・OFF を可能とする家の中や外出先からコーヒーを淹れることを可能とする

24

プリンタ

LPR/RAW//TCP

アプリから写真やファイルのプリント操作を可能とする

NAS

HTTP/TCP

インターネットに接続して使用するファイルサーバ

IP カメラRTP/UDP/TCP

アプリを利用して外出先から映像を確認可能とする

スマート TV

HTTP(S)/TCP

インターネットに接続してインターネット上の映像コンテンツを視聴可能とする

空気清浄機

MQTT[16]/TCP

アプリで機器の電源の ON・OFF や運転モードの切り替え操作を
可能とする

3-4

テストベッド内での疑似攻撃による脅威の検証
一般家庭において、各 IoT 機器は有線及び無線の形で家庭 Wi-Fi ルーターに接続してインターネッ
トにアクセスする場合が多い。ホームネットワークの入り口であるルーター機器へは実際に毎日多数の攻撃が届いており、一部の脆弱なルーター機器がマルウェア感染や不正侵入の被害を受けている。
Wi-Fi ルーターが感染し攻撃者に侵入された場合、全ホームネットワークが脅威にさらされる恐れがある。
具体的には、攻撃者が感染した Wi-Fi ルーターを利用してホームネットワーク内の通信を盗聴することで、家庭内に存在している IoT 機器の情報を把握し、これらの機器を狙うサイバー攻撃を実施することが考えられる。本節では、今後起きることが想定される家庭内の IoT 機器を狙ったサイバー攻撃の現実性や影響度を調査するため、ホームネットワークテストベッド内で疑似サイバー攻撃を行った結果をまとめる。

（1）
家庭内サービス妨害攻撃
実験方法
テストベッド内の IoT 機器に対してサービス妨害（DoS）攻撃を行った。実験環境を図 8 に示す。
本実験では脆弱性を持つ Wi-Fi ストレージ（市場価格 3,000 円程度）の実機を IoT マルウェア（MD5 ハ
ッシュ値: b66d2425ea49f73c9d09f8999c26c93c、BitDefender による検知名: Gen:Variant.Backdoor.Linux.Gafgyt.1）に感染させ、実験を行なった。以下に、具体的な実験手順を示す。
① 事前に入手したマルウェア検体に対応するダミーC&C サーバを作成し、制御サーバにフォワー
ディングの設定を行う。
② マルウェアバイナリファイルを Wi-Fi ストレージ機器に転送し、実行する。
③ 観測サーバを用いて、ホームネットワーク内の通信を記録する。
④ ダミーC&C サーバから攻撃対象の IP アドレス、攻撃ポート、攻撃持続時間（5 分間）を指定して、攻撃命令を送信する。
⑤ DoS 攻撃開始前後の各機器の動作を確認する。
⑥ 解析環境をクリーンアップし、通信の記録を終了する。

25

C&Cサーバ
TelnetやDoS攻撃などの通信は制限

通信制御部
2.C&C宛の通信をフォワード

制御サーバ

3．攻撃命令ダミーC&Cサーバ
1.C&Cサーバと連絡する

4.命令を受ける

サンドボックス
（実機）

5.攻撃

図 8 家庭内サービス妨害攻撃実験の実験環境
実験結果
実験結果を表 9 に示す。攻撃通信量は DoS 攻撃の実施により、感染機器から攻撃対象の IoT 機器
へ送信した毎秒あたりの通信量である。攻撃耐性の項目中の「 ○ 」は攻撃を実施している際でも、機器を操作した際に機器が正常に動作したことを意味する。一方、「 × 」は機器が操作に対し正常に動作しなかったことを意味する。また、「 △ 」は機器の操作に対し動作するまで大幅な遅延（20 秒以上）があったことを意味する。この結果から、テストベッド内に用意した IoT 機器の一部は、IoT マルウェアのDoS 攻撃により動作が妨害されうることが実証された。次に、比較のため、制御サーバで専用の DoS 攻
撃ツールである hping3[16]を用いて DoS 攻撃を実施し、攻撃通信量が多い場合の IoT 機器への影響を確認した。実験結果を表 10 に示す。
表 8 IoT マルウェアを用いた DoS 攻撃の結果
製品名

DoS 攻撃種類/
攻撃通信量

ロボット
掃除機

SYN flood
392K Byte/s

×

自動的に回復不可
Reboot が必要

スマート
照明

SYN flood
307K Byte/s

×

自動的に回復可能
15 s

学習
リモコン

SYN flood
357K Byte/s△

自動的に回復可能
28 s

NAS

SYN flood
435K Byte/s

○

攻撃耐性

26

攻撃後自動的に回復可能か否か/
回復時間

プリンタ

SYN flood
225K Byte/s

○

スマート
コーヒー機

SYN flood
342K Byte/s

×

自動的に回復可能
23 s

スマート
電源プラグ

UDP flood
13M Byte/s

×

自動的に回復可能
18 s

表 9 攻撃ツールを用いた DoS 攻撃の結果
製品名

DoS 攻撃種類/
攻撃通信量

攻撃耐性

攻撃後自動的に回復可能か否か/
回復時間

ロボット
掃除機

×

自動的に回復不可
Reboot が必要

スマート
照明

×

自動的に回復可能
２5 s

学習
リモコン

×

自動的に回復可能
2３ s

×

自動的に回復可能
７ s

プリンタ

×

自動的に回復可能
４ s

スマート
コーヒー機

×

自動的に回復可能
2０ s

×

自動的に回復可能
６７ s

NAS

スマート
電源プラグ

SYN flood
２７M Byte/s

UDP flood
５７M Byte/s

考察
以上の結果から、マルウェアに感染した IoT 機器による DoS 攻撃では攻撃通信量が少量にも関わらず、半分以上の IoT 機器が動作しなくなることを確認した。また、攻撃通信量が大量の攻撃では、今回の実験に用いた全ての IoT 機器が動作しなくなることを確認した。攻撃終了後、ほとんどの IoT 機器は 1 分以内に正常な動作状態に戻ったが、再起動するまで正常な状態に戻らない機器も存在した。このことか
ら、実際に攻撃者が家庭内で IoT 機器を狙う DoS 攻撃を実施した場合、機器の動作が妨害されることがわかった。なお、家庭内の IoT 機器の動作を妨害することは攻撃者の利益に結び付かないとも考えられるが、一方で、感染した IoT 機器を故障させるマルウェア[17]も現れていることから注意が必要である。家
庭内サービス妨害攻撃への対策として、ゲートウェイやホームネットワークセキュリティ製品により DoS 攻撃のような異常な通信を検知し、フィルタリングする方法が考えられる。

27

（2）
家庭内機器の不正操作
実験方法
ホームネットワーク内でスマートフォンアプリ等を操作して IoT 機器を使用する場合、初めにアプリからの動作命令が家庭内の Wi-Fi ルーターを経由して IoT 機器に届けられ、機器が命令にしたがって動作を行う。その後、実施結果を同じ経路で返信するという処理が行われる。そこで、機器操作のための通信を仲介するルーターを乗っ取った攻撃者を想定し、家庭内機器の不正操作攻撃を行った。実験環境を
図 9 不正操作攻撃実験の実験環境図 9 に示す。脆弱性のある Wi-Fi ルーターが攻撃者に侵入されてマルウェアに感染した状況では、ホームネットワーク内での通信が攻撃者に盗聴されていると考えられる。
この時、攻撃者は通信を盗聴しながら特定の IoT 機器の動作命令の通信パケットを記録し、攻撃者が望むタイミングで当該パケットを再現して攻撃対象の機器に送信することで、不正操作を行うことが想定される。本実験では不正操作攻撃の実現可能性を検証するため、TCP 通信を行うスマートリモコン、TCP
通信を行うロボット掃除機、UDP 通信を行うスマート電源プラグの３種類の IoT 機器を実験の対象とした。
以下に、具体的な実験手順を示す。
① IoT 機器の動作機能毎に、スマートフォンでアプリを操作しながら送信したパケットを観測サーバ
でキャプチャし記録する。
② 得られた各動作機能に該当する通信パケットのペイロード部分を抽出する。そして、同じホーム
ネットワークにある疑似攻撃ホストから抽出したペイロードが挿入された操作通信を IoT 機器に送信する。この操作により同一の動作機能を再現可能か確認する。

2.不正操作指示

1.動作命令盗聴

3.不正動作命令転送
2.動作命令転送1.動作命令発信図 9 不正操作攻撃実験の実験環境
実験結果
実験結果を表 11 に示す。平文で通信するスマートリモコンに対しては、全ての不正操作が成功した。
また、スマート電源プラグにおいても不正操作に成功した。一方、暗号通信を行うロボット掃除機に対しては反応がなく、不正操作に失敗した。

28

表 10 不正操作攻撃の結果
製品名

学習リモコン

ロボット
掃除機

スマート
電源プラグ

アプリケーション層
プロトコル

Raw TCP

ペイロード
の可読性

あり
(ASCII コード)

操作機能

不正操作
の結果

TV 電源 ON/OFF

成功

エアコン電源 ON/OFF

成功

TV 音量調整成功

TV チャンネル調整

成功

掃除開始

失敗

なし
掃除一時中止(SSL で暗号化)
掃除停止

MQTT

Unknown (UDP)なし(Binary データ)

失敗
失敗

電源 ON

成功

電源 OFF

成功

考察
以上の実験結果から、３つの IoT 機器のうちスマートリモコン及び電源プラグにおいて不正操作に成功した。スマートリモコンの通信は平文の TCP である。そこで、同じホームネットワークにある疑似攻撃ホ
ストの Telnet クライアントを用いて不正操作を試みた。その結果、得られた平文の動作命令を用いてユーザー名とパスワード無しでの不正操作に成功した。不正操作の結果を図 10 Telnet クライアントを用いた不正操作の結果に示す。電源プラグでは通信内容の可読性はないが、アプリから送信された命令通信をそのまま送信することで電源プラグを不正操作することが可能であった。このため、今回の実験でスマートリモコンと電源プラグに対する不正操作が成功した原因は、操作を行う側の認証機能がないためだと考えられる。本
実験の成果は、しかるべき機関に情報提供する予定である．一方，アプリとロボット掃除機のコネクションが成立する際の流れを観測すると、SSL 接続を確立するための「SSL ハンドシェイク」[17]と呼ばれる公開
鍵、秘密鍵、セッション鍵の鍵交換の過程が確認された。つまり、ロボット掃除機が使う MQTT プロトコル
上で TLS/SSL による通信が行われていたことがわかる。このことから、他の二つの機器よりセキュリティが高く、単純なリプレイ攻撃を防ぐことが可能であることが確認された。
以上より、今回発見した不正操作の原因は主に２つである。一つは、通信内容が暗号化されていないことである。もう一つは、操作する際に認証を行なっていないことである。

root@user:/# telnet 192.168.10.109 51013
Trying 192.168.10.109...
Connected to 192.168.10.109.
Escape character is '^]'.
*is;1
is;ok
図 10 Telnet クライアントを用いた不正操作の結果
29

（3）悪性 Web サイトへの誘導
実験方法
家庭内の Wi-Fi ルーターに侵入した攻撃者は、ルーティングの設定変更や DNS キャッシュサーバの設定変更により、家庭内の機器がインターネット上のホストと行う通信を悪意のあるホストに転送することが可能である。そこで、Wi-Fi ルーターの設定変更による悪性サイトへの誘導を行った。具体的には、テストベッド内の Wi-Fi ルーター上で動作する通信制御用プログラムである Iptables[18]の設定を変更し、80/TCP への通信を疑似悪性サイトに転送する設定にした。
実験結果
スマートフォンやタブレット端末のブラウザ、スマート TV 等でインターネットにアクセスしたところ、疑似悪性サイトのコンテンツが表示された。このため、家庭内の機器のインターネットへの通信を金銭要求サイトに転送し、送金されるまで正規のコンテンツとの通信をブロックする、IoT 版のランサムウェアなどが懸念される。
考察
以上の結果から、家庭内の機器からの通信がフィッシングサイトや身代金要求サイト、あるいは、ドライ
ブバイダウンロードなどの脆弱なブラウザを狙った攻撃を行う悪性サイトに誘導される恐れがある。
家庭内サービス妨害攻撃では、様々な機器の通信機能が阻害された。家庭内機器の不正操作験では、学習リモコンやスマート電源といった機器を制御する正規アプリに成りすました操作が可能であった。
また、悪性な Web サイトへの誘導では、家庭内の機器がインターネット上のホストと行う通信を悪性サイトへ誘導することができた。これらの疑似攻撃はホームネットワークに一定の影響を与え、使用者に不便をもたらす可能性があるため対策が必要である。

3-5
（1）

実攻撃による脅威の検証
マルウェア動的解析による脅威の検証
家庭内の IoT 機器の多くは Wi-Fi ルーターなどを介して LAN 側に接続しているため、Wi-Fi ルータ
ーがマルウェアに感染した場合、マルウェアからの攻撃がこれらの機器に到達する可能性がある。そこで、本節では Wi-Fi ルーターがマルウェアに感染した状況を想定し、マルウェアから LAN 側への攻撃が実際に行われるか調査する。実験には、事前にマルウェア動的解析の結果から LAN 側にスキャンや攻撃を行う検体群を選定し、これらの検体群を Wi-Fi ルーター上で実行した時に LAN 側へ攻撃が行われるか調査した。実験環境を図 11 に示す。

LAN 側にスキャンや攻撃を行う検体の選定
2016 年 12 月 20 日から 2017 年 11 月 30 日の間にハニーポットを用いて収集したマルウェア検体を、
IoT マルウェア向けのサンドボックス IoTBOX[5]で 5 分間動的解析した。なお、解析は検体収集から 10分以内に行った。動的解析の結果、収集した 6859 検体（MIPS[19]:3000 検体、MIPSEL[20]:3859 検体）のうち、289 検体（MIPS90 検体、MIPSEL199 検体）が LAN 側にスキャンまたは攻撃を行った。しかし、
LAN 側にスキャンまたは攻撃を行った検体は少なく、LAN 側を故意に狙った攻撃ではなくスキャン等の宛先に LAN 側アドレスが偶然選ばれているものと推定される。LAN 側にスキャンまたは攻撃を行った
289 検体の内訳を表 12 に示す。検体の分類には Dr.Web[21]を用いた。また、これらの検体の通信内容
を表 13 に示す。
30

図 11 Wi-Fi ルーターを介した家庭内機器への攻撃の検証
表 11 LAN 側にスキャンまたは攻撃を行った検体の内訳
種類

BackDoor.Fgt

Linux.Mirai

Trojan

MIPS

80 検体

7 検体

1 検体

MIPSEL

168 検体

26 検体

0 検体

表 12 LAN 側にスキャンまたは攻撃を行った検体の通信
種類

10.0.0.0/8(IP アドレス数)

192.168.0.0/16(IP アドレス数)

LAN IP アドレス割合 LAN IP アドレス割合（平均）（TOP1）

MIPS

4981

506

0.0352%0.054%MIPSEL

7561

162

0.086%

0.0103%LAN 側への攻撃
続いて、テストベッド内の Wi-Fi ルーターを LAN 側にスキャンまたは攻撃を行った検体に感染させた時の挙動を観測した。当該ルーターの CPU アーキテクチャは MIPS であるため、実験には MIPS 上で動作する 90 検体を用いた。これらの検体は収集してから一定の時間が経過していたため、C&C サーバに繋がらない可能性がある。そこで、実験にはマルウェア検体に命令を送信する機能をもつダミーの C&C
サーバを用いた。以下に、実験手順を示す。
① 事前に入手したマルウェア検体に対応するダミーC&C サーバを作成し、制御サーバにフォワーデ
ィングの設定を行う。
② Wi-Fi ルーター上でマルウェア検体を実行して感染させる。
③ ダミーC&C サーバから攻撃命令を送信する。
④ Wi-Fi ルーターから LAN 側へのスキャンを犠牲ホストに転送する。
⑤ 解析環境を 15 分後にシャットダウンし、クリーンアップする。
31

実験の結果、全ての検体が Wi-Fi ルーターに感染して LAN 側を含むランダムな宛先 IP アドレスの 23番、2323 番ポートにスキャンを行った。また、犠牲ホストに Telnet ログイン試行を行った。このため、これらの検体がインターネット上に存在する Wi-Fi ルーターに感染した場合、実際に家庭内に対して Telnetを経由したマルウェア感染が行われる可能性がある。
（2）

インターネットからの攻撃による脅威の検証
テストベッドへインターネットからの攻撃を転送し、家庭内への攻撃が侵攻するか検証した。実験に用いた Wi-Fi ルーターは Telnet の脆弱性を有しており、実際にマルウェア感染することが報告されている[22]。そこで、テストベッドにインターネットから届く攻撃のうち、Wi-Fi ルーターのリモートアクセスの機能に対応する 23 番、2323 番、80 番、8080 番ポートへの通信を転送した。また、Wi-Fi ルーターを定期的に再起動することでマルウェアをクリーンアップして様々な検体に感染するようにした。実験の結果、2017 年 12 月 9 日から 1 週間に渡り攻撃を観測し、観測期間中に流行していたマルウェアに繰り返し感染した。しかし、その後 LAN 側への攻撃は観測されなかった。その理由の 1 つとして、当該マルウェア
は LAN 側への攻撃を行わないことが考えられる。

3-6
（1）

セキュリティ評価フレームワークの提案
ホームネットワークセキュリティ製品
近年、ホームネットワーク向けのセキュリティ製品[23]（以降では、ホームネットワークセキュリティ製品と呼ぶこととする）が消費者の注目を集めている。ホームネットワークセキュリティ製品は家庭の Wi-Fi ルー
ターに接続する場合や直接 Wi-Fi ルーターとして使用することで、ホームネットワーク内の機器をインターネットからの攻撃や有害サイトへのアクセスから保護する役割をもつ。また、スマホやタブレットに管理用アプリをインストールすることができる。以下に、これらの製品の機能をまとめる。
侵入防御機能：ホームネットワーク内の通信を監視し、家庭内の機器に存在する脆弱性を突いた攻撃が行われた際に攻撃を検知して遮断する。
不正サイトへのアクセスブロック機能：ウイルス感染やフィッシング詐欺などの恐れのあるウェブサイトへのアクセスをブロックする。特に、ゲーム機のようなブラウザを搭載しているがセキュリティソフトウェアがイ
ンストールされていない機器を守る機能をもつ。
ホームネットワーク接続機器の脆弱性検知機能：ホームネットワーク内に接続されている機器を一覧で表示する。また、接続されている機器をスキャンして脆弱性を検知する。

（2）

セキュリティ評価フレームワーク
ホームネットワークセキュリティ製品を評価するため、製造者による説明、および疑似攻撃と実攻撃の実験に基づいた評価項目を提案する。評価項目は、ホームネットワーク内での攻撃に対する項目(内→内)、ホームネットワーク内から外部への攻撃に対する項目(内→外)、外部からホームネットワークへの攻撃に関する項目(外→内)、脆弱性診断に関する能力の 4 種類の大項目からなる。また、それぞれに侵入、
不正操作、サービス妨害、盗聴といった実際の脅威に対する対策を評価する。評価項目をエラー! 参照
元が見つかりません。に示す。また、以下に 4 種類の評価項目を示す。
ホームネットワーク内の攻撃の検知・遮断：ホームネットワーク内において様々なシナリオで家庭内の機器に疑似攻撃を行い、攻撃を検知・遮断できるか調査する。
32

ホームネットワークから外部への攻撃の検知・遮断：マルウェア感染した家庭内の IoT 機器や攻撃ツー
ルを用いてホームネットワークからインターネットへの攻撃を行い、攻撃の検知・遮断状況を調査する。
外部からホームネットワークへの攻撃の検知・遮断：マルウェア感染した IoT 機器や攻撃ツール、インタ
ーネットからの実攻撃を用いてインターネットからホームネットワーク内の機器に対する攻撃を検知・遮断できるかを調査する。
その他：ホームネットワーク内の機器の脆弱性を能動的に検知するか調査する。
表 13 セキュリティ評価項目
大項目

種類

項目

実施方法例

Scan/
Exploit

Port scan

Nmap

脆弱性 scan/
SQLinjection

Metasploit

Remote access(ssh, telnet)

Metasploit

DoS

DoS

マルウェア/hping3

Scan/
Exploit

Port scan

Nmap

脆弱性 scan/
SQLinjection

Metasploit

Remote access(ssh, telnet)

Metasploit

DoS

マルウェア/hping3

マルウェア/hping3

URL Block

URL Block

Fishtank の一週間分 URL list

Scan/
Exploit

Port scan

Nmap

脆弱性 scan/
SQLinjection

Metasploit

Remote access(ssh, telnet)

Metasploit

DoS

DoS

マルウェア/hping3

悪意サイトの誘導

悪意サイトの誘導

ルーターWAN 側からルーティングを改ざんする

実攻撃の検知実攻撃の検知マルウェア/実攻撃の引き込む

脆弱性診断

脆弱性診断

脆弱な機器を設置

内→内

内→外

外→内

その他

33

（3）

ホームネットワークセキュリティ製品の評価
市販されている２種類のホームネットワークセキュリティ製品の評価を行った（以降では、これらの製品を製品 A、B と呼ぶこととする）。これらの製品は、テストベッド内の Wi-Fi ルーターに接続されている状
態で実験を行った。実験結果を表 15 に示す。また、以下に実験結果を示す。
ホームネットワーク内部の攻撃への対応：ネットワークスキャンツール Nmap[24]を用いてホームネットワーク内の IoT 機器の全ポートスキャンを行った。また、脆弱性スキャンツール Metasploit[25]を用いてホームネットワーク内の IoT 機器の脆弱性スキャン、Telnet ログイン試行を行った。さらに、ハニーポットで収集したマルウェア検体（MD5 ハッシュ値：b66d2425ea49f73c9d09f8999c26c93c、Bitdefender[26]による
検知名: Ge：Variant.Backdoor.Linux.Gafgyt.1）をサンドボックス内で実行し、ホームネットワーク内の IoT
機器に DoS 攻撃を行うとともに、DoS 攻撃の効果を比較するため、DoS 攻撃ツール hping3[27]を用いてホームネットワーク内の IoT 機器に DoS 攻撃を行った。実験の結果、製品 A は Wi-Fi ルーターとホーム
ネットワークセキュリティ製品本体に対するポートスキャンを検知・遮断した。しかし、その他の疑似攻撃は検知することができなかった。また、製品 B はいずれの疑似攻撃も検知することができなかった。
ホームネットワーク内部から外部への攻撃への対応：家庭内の IoT 機器が既にマルウェア感染した状況を想定し、インターネットに攻撃を行った場合にホームネットワークセキュリティ製品が攻撃を検知するか調査した。実験は、ホームネットワーク内部の攻撃への対応と同じ疑似攻撃をホームネットワークの外部に用意した犠牲ホストに対して行った。実験の結果、製品 A は犠牲ホストから応答があった Telnet ログイ
ン試行を検知した。また、PhishTank[28]を用いて収集した一週間分のフィシング URL をホームネットワー
ク内のパソコンでアクセスしたところ、いずれの製品も検知率は 80％を越えた。しかし、その他の疑似攻撃は検知することができなかった。
外部からホームネットワーク内部への攻撃への対応：ホームネットワーク内部の攻撃への対応と同じ疑似攻撃をホームネットワークの外部に用意した犠牲ホストから、ホームネットワーク内の IoT 機器に対して行った。実験の結果、Wi-Fi ルーターがマルウェア感染し、ホームネットワーク内の機器が攻撃を受けて応答した場合に製品 A が攻撃を検知した。しかし、その他の疑似攻撃は検知することができなかった。また、製品 B はいずれの疑似攻撃も検知することができなかった。
ホームネットワーク内の機器の脆弱性チェック：実験に用いたホームネットワークセキュリティ製品はホームネットワーク内に接続された機器を検知して一覧表示する機能を持つ。また、接続されている機器をスキャンして脆弱性があるかユーザーに提示する。そこで、ホームネットワーク内に認証が必要な管理
Web UI を有する機器を用意するとともに、Telnet サービスが動作している機器に対して弱いログイン ID/
パスワードを設定した。実験の結果、通信観測部で観測した通信を分析したところ、製品 A は内蔵する
ID/パスワードセットリストを用いて家庭内の IoT 機器の Web UI にログイン試行を行い、脆弱性チェックを行っていた。製品 A は IoT 機器のベーシック認証[29]の Web UI の弱い ID とパスワードを指摘することに成功した。しかし、製品 B は検知することができなかった。

以上の結果から、製品 A はいくつかの項目において攻撃を検知したが、検知できない攻撃も多数確認された。一方、製品 B についてはフィッシングサイトのブロック以外に攻撃を検知できなかった。このことから、いずれの製品もホームネットワークへの攻撃を検知する能力や家庭内の Wi-Fi ルーターを保護する能力が十分ではない可能性がある．

34

表 14 ホームネットワークセキュリティ製品の評価結果
大項目

項目

その他

製品 B の反応

Nmap で IoT デバイスに ルーターへのスキャ 検知せず
全ポートスキャンを行っ ンのみ検知・遮断た

脆弱性 scanMetasploit で家庭内の 検知せず
IoT デバイスにスキャン
した

検知せず

access Metasploit で家庭内の 検知せずデバイスに telnet 試行を
行った

検知せず

Remote(telnet)

外→内製品 A の反応

Port scan

内→内

内→外

実施方法

DoS

マルウェア/hping3

検知せず

検知せず

Port scan

Nmap でグローバル IP 検知せずに全ポートスキャンを行
った

検知せず

脆弱性 scanMetasploit で家庭 Wi-Fi 検知せず
ルーターにスキャンした

検知せず

Remote access(telnet)Metasploitで外のデバイ セッション確立時に 検知せず
スに telnet 試行を行った 検知

DoS

マルウェア/hping3

検知せず

検知せず

URL BlockPhishTank の一週間分 検知確率
URL list （ URL 総 数 1684/2088
2088）

検知確率
1612/2088

Port scan

Nmap で家庭 Wi-Fi ル 検知せず
ーターWAN側に全ポー
トスキャンした

検知せず

脆弱性 scanMetasploit で外部から家 検知せず
庭 Wi-Fi ルーターにス
キャンした

検知せず

Remote access(telnet)Metasploit で外部から家 検知せず
庭 Wi-Fi ル ー タ ー にtelnet 試行を行った

検知せず

DoS

マルウェア/hping3

検知せず

検知せず

悪意サイトの誘導 ルーターWAN 側からル 検知せず
ーティングを改ざんする

検知せず

実攻撃の検知マルウェア/実攻撃の引 感染時に検知
き込む

検知せず

脆弱性診断

脆弱な機器を設置する

35

管理 UI の検知せず
脆弱なベーシック認
証検知

3-7

まとめと今後の課題
本研究では、一般消費者の家庭環境を模擬した 16 種類のネットワーク接続可能な機器からなるテスト
ベッドを構築し、疑似的な攻撃をテストベッド内で試行することで家庭内の機器への影響を検証した。実験の結果、家庭内の多くの機器が影響を受けた。また、Wi-Fi ルーターを経由してホームネットワーク内の機器への疑似攻撃を行い、ホームネットワークに一定の影響を与えることで機器の動作を阻害することができた。インターネットからホームネットワークへの攻撃を明らかにするため、 IoT マルウェアの通信
ログを分析して LAN 側へスキャンを行う検体を特定し、実際にテストベッド内の Wi-Fi ルーター上で実行して攻撃を再現した。実験の結果、家庭内の機器への攻撃を確認することができた。一方、インターネットからの攻撃をテストベッドに引き込む観測実験を一週間行ったが、ホームネットワーク内への攻撃の侵攻は確認されなかった。これらの結果に基づき、ホームネットワークにおける評価項目を検討し、現在市場で販売されているホームネットワークセキュリティ製品に対する評価実験を行った。実験の結果、実験に用いた 2 種類のホームネットワークセキュリティ製品はホームネットワークへの攻撃に対する検知能力および Wi-Fi ルーターを保護する能力が十分でない可能性があるため、今後の機能強化などの対策は必要であると言える。
本研究の実攻撃の観測のデータは十分でないため、インターネットから家庭ルーターを経由して届く攻撃の実態を把握するために攻撃観測用の IP アドレス数を増やし、長期間の観測を行うことが今後の課題である。さらに、インターネットからホームルーターを経由して届く攻撃の実態把握、UPnP 等により
ホームルーターのポートフォーワーディング設定を自動的に行うことでインターネットからの攻撃を直接家庭内に引き入れてしまう機器の影響の分析が今後の課題である。

4. 提言
当研究プロジェクトの最終報告のまとめとして、IoT 機器のメーカーおよびサービス事業者に向けて、安全な
IoT 機器のセキュリティ対策に関する提言をします。
■家庭用 IoT 機器のセキュリティ対策に関する 3 つの提言
１. 家庭内のルーター機器、IoT 機器の保護機能の強化
ルーター機器やスマート家電など IoT 機器提供各社においては、機器が使用する OS や各種ソフトウ
ェア,ライブラリの脆弱性に対応すると共に、Telnet などのユーザーが認知しえないバックドアを設けないなど、サイバー攻撃への対策が採られる必要がある。また一旦利用開始されると放置されがちであるルーター機器や IoT 機器は、初期設置時に管理機能へアクセスする ID、パスワードの設定を変更するよう促すユーザーインターフェースの導入が望ましい。脆弱性が発見された場合のアップデートを自動的に実行する、もしくはパソコンやスマートフォンなどに通知し、アップデートの実行を促す仕組みの導入も望まれる。
一般消費者においては、脆弱性の公開やアップデートなどセキュリティ対策を継続的に行っているメーカーの機器を選択することを推奨する。
２. IoT 機器の通信の暗号化、認証機能の実装とガイドラインの整備
安価な IoT 機器は、セキュリティ面での機能が十分に考慮されていないものが多い。通信が平文で行われている、遠隔操作における認証が行われない機器は、容易に不正操作を行われる危険性がある。
IoT 機器のメーカーによる通信の暗号化と認証機能の実装が望まれる。
一般消費者においては、遠隔操作機能のある IoT 機器においては、操作コマンド通信の暗号化や認証機能により、不正操作への対策が採られていることを確認することを推奨するが、実際には一般消費36

者がこのような確認を行うことは技術的に困難である。今後、このような遠隔操作機能のある機器のセキュリティ要件を検討し、ガイドライン等として定め、それに従っていることを一般消費者が判断可能となるような認証等の制度の整備が望まれる。
３. IoT マルウェア対策への継続した評価
従来の PC やモバイル機器を対象とするウイルス対策では、これらの IoT 機器に対するマルウェアや脅威への対応を行うことはできない。このため、まず最初に家庭内の LAN に接続されている IoT 機器す
べてを把握し、IoT 機器に脆弱性や不正な通信がされていないか、未確認の不正な機器が接続されていないかなどを把握することが重要といえる。
2017 年より登場しているホームネットワークセキュリティ製品は、接続機器を可視化し、機器の脆弱性検知や設定変更やアップデートを促したり、不正なトラフィックを監視する機能を備えている。このようなネットワーク保護機能を有したセキュリティ製品の導入は、家庭内のネットワーク接続機器を把握し、それらのセキュリティ状態を把握する上で一定の効果が期待されるが、変遷を続けるサイバー攻撃に追随する防御機能を有するかについては継続した評価が必要といえる。

37

参考文献
[1] “Mirai: New wave of IoT botnet attacks hits Germany”.
http://www.symantec.com/connect/blogs/mirai-new-wave-iot-botnet-attacks-hits-germany, (参照 201708-04).
[2] “Source Code for IoT Botnet‘ Mirai’ Released”.
https://krebsonsecurity.com/2016/10/source-code-for-iot-botnetmirai-released/, (参照 2017-08-04).
[3] “DDoS on Dyn Impacts Twitter, Spotify, Reddit”,
https://krebsonsecurity.com/2016/10/ddos-on-dyn-impacts-twitterspotify-reddit/, (参照 2017-08-04).
[4] “ モ バ イ ル 向 け ラ ン サ ム ウ ェ ア 「 FLocker 」 ， ス マ ー ト テ レ ビ に も 影 響 ”.
http://blog.trendmicro.co.jp/archives/13453, (参照 2017-08-08).
[5] Yin Minn Pa Pa, S. Suzuki, K. Yoshioka, T.Matsumoto, T.Kasama, and C.Rossow, “IIoTPOT:Analaysing
the Rise of IoT Compromises, “ 9th USENIX Workshop on Offensive Technologies (USENIX WOOT 2015),
2015.
[6] 鈴木将吾, インミンパパ, 江澤優太, 鉄穎, 中山颯, 吉岡克成, 松本勉. 組込み機器への攻撃を観測するハニーポット IoTPOT の機能拡張. 電子情報通信学会 信学 技報, vol.115, no.488, ICSS2015-47,
pp.1-6, 2016.
[7] 中山颯, 鉄穎, 楊笛, 田宮和樹, 吉岡克成, 松本勉. IoT 機器への Telnet を用いたサイバー攻撃の分
析. 情報処理学会コンピュータセキュリティシンポジウム 2016, セッション 3E1, 2016.
[8] 楊笛, 保泉拓哉, 中山颯, 鉄穎, 吉岡克成, 松本勉. IoT マルウェアによる DDoS 攻撃の動的解析による観測と分析. 暗号と情報セキュリティシンポジウム 2017, セッション 3E1-3, 2017.
[9] April, Manos Antonakakis Tim, et al.. Understanding the Mirai Botnet. USENIX Security Symposium,
2017.
[10] “制御システムセキュリティの脅威と対策の動向および CSSC の研究概要について”. http://www.csscenter.or.jp/pdf/about_CSSC.pdf, (参照 2017-08-04).
[11] 宮地利幸, 中田潤也, 知念賢一, 三輪信介, 岡田崇, 三角真, 篠田陽一. StarBED: 大規模ネット
ワーク実証環境. 情報処理 2008, 49(1), 57-70.
[12] 岩橋紘司, 井上朋哉, 篠田陽一. Internet of Things を対象とした大規模実証実験環境構築に関する研究. マルチメディア, 分散協調とモバイルシンポジウム 2014 論文集 2014, 1258-1263, 2014-07-02..
[13] 目黒有輝, 村瀬一郎, 細川嵩. スマートメーターシステムのセキュリティ確保に向けた CSSC の取り組み. 自動制御連合講演会講演論文集 第 59 回自動制御連合講演会, 2016.
[14] “ ス マ ー ト ホ ー ム を 想 定 し た 連 携 IoT 機 器 の セ キ ュ リ テ ィ 検 証 用 テ ス ト ベ ッ ド の 構 築 ”,
http://www.soumu.go.jp/main_content/000423702.pdf, 3p, (参照 2016-06-28).
[15] “Openwrt”, https://openwrt.org/,(参照 2017-12-11)[16] “MQTT - A lightweight messaging protocol for small sensors and mobile devices”, http://mqtt.org/, (参照 2017-03-15)[17] Wagner, David, and Bruce Schneier. Analysis of the SSL 3.0 protocol , The Second USENIX Workshop
on Electronic Commerce Proceedings. Vol. 1. No. 1. 1996.
[18] “Iptables”, https://linux.die.net/man/8/iptables,”(参照 2017-12-11)[19] “MIPS”, https://en.wikipedia.org/wiki/MIPS_architecture,(参照 2017-12-11)[20] “MIPSEL”, https://fr.wikipedia.org/wiki/MIPSel,(参照 2017-12-11)[21] “Dr. Web”, https://en.wikipedia.org/wiki/Dr._Web,(参照 2017-12-11)[22] 田宮 和樹，中山 颯，江澤 優太，鉄 穎，呉 俊融，楊 笛，吉岡 克成，松本勉, “IoT マルウェア駆除と感染防止に関する実機を用いた実証実験”，暗号と情報セキュリティシンポジウム 2017 7, セッション
3E1-5, 2017 (SCIS 論文賞).
38[23] “新たなサーバー攻撃から家を守るための’ホームネットワークセキュリティ’とは〜機器ごとではなく丸ごと保護”
http://internet.watch.impress.co.jp/docs/special/1069738.html, (参照 2017-12-2).
[24] “Nmap”, https://nmap.org/, (参照 2017-12-2).
[25] “Metasploit”, https://www.metasploit.com/(参照 2017-12-2).
[26] “BitDefender” https://en.wikipedia.org/wiki/Bitdefender,(参照 2017-12-13)[27] “Hping - Active Network Security Tool”, www.hping.org, (参照 2017-12-13)[28] “PhishTank”, https://www.phishtank.com/,(参照 2017-12-2).
[29] “Basic 認証(基本認証)でアクセス制限をかける方法”,
https://allabout.co.jp/gm/gc/23780/, (参照 2017-12-10).
[30] Symantec: IoT devices being increasingly used for DDoS attacks
https://www.symantec.com/connect/blogs/iot-devices-being-increasingly-used-ddos-attacks, ( 参 照2017-12-10).
[31] VirusTotal, https://www.virustotal.com/ja/, (参照 2018−1−30).

本共同研究に関する対外発表
1) 熊佳、楊志勇、鉄穎、中山颯、江澤優太、藤田彬、吉岡克成、松本勉、"実攻撃の観測と疑似攻撃の試行に基づくホームネットワークセキュリティ評価フレームワークの検討," 2018 年暗号と情報セキュリティシン
ポジウム, セッション４Ｅ２−４, 2018.
2) 楊志勇, 熊佳, 鉄穎, 田宮和樹, 西田慎, 楊笛, 藤田彬, 吉岡克成, 松本勉, "ホームネットワークテスト
ベッドによるサイバー攻撃の観測と検証," 情報処理学会コンピュータセキュリティシンポジウム 2017, セッション１C４−２, 2017.

39

【別紙】本共同研究に関する報道等
2017 年 6 月 27 日
2017 年 6 月 28 日
2017 年 6 月 29 日
2017 年 6 月 30 日
2017 年 7 月 3 日
2017 年 7 月 10 日
2017 年 7 月 18 日
2017 年 7 月 27 日
2017 年 8 月 16 日
2017 年 9 月 21 日
2017 年 9 月 6 日
2017 年 9 月 21 日
2017 年 9 月 26 日
2017 年 9 月 28 日
2017 年 10 月 3 日
2017 年 10 月 9 日
2017 年 11 月 1 日
2017 年 11 月 20 日
2017 年 12 月 19 日
2017 年 11 月 20 日
2017 年 11 月 21 日
2017 年 11 月 24 日
2017 年 11 月 26 日
2017 年 11 月 27 日
2017 年 12 月 3 日2018 年 12 月 18 日
2017 年 12 月 19 日
2018 年 1 月 23 日

Yahoo! Japan、日本経済新聞（Web)日本経済新聞（本紙）、日経産業新聞、ASCII.jp
CNET JAPAN、SankeiBiz
マイナビニュース
INTERNET Watch、電経新聞
電波タイムズ
NHK「おはよう日本」、NHKBS「BS ニュース」、NHK NEWS WEB
日経産業新聞読売新聞
InternetWatch、ScanNet Security
Wirelesswire
INTERNET Watch
Wirelesswire
大学ジャーナルIoT News
調査のチカラ（IT Media）
InternetWatch、ScanNet Security、Security Insite
Excite News
ScanNet Security、
IoT News
IoT Today、ScanNet Security
NHK NEWS WEB
NHK スペシャル「あなたの家電が狙われている ～インターネットの新たな脅威～」
ScanNet Security、Resemom
NHK サイエンス ZERO「家電が狙われる！？新たなサイバー犯罪の脅威」
ZDnet、BIFLOBE News
Security Insite、ScanNetSecurity
Cnet＜誤表記に関する修正＞2018.04.13
P11 の表３の誤表記を修正

P14 の文中の誤表記を修正

誤「18 位イギリス」
正「18 位ギリシャ」
誤 「ユニークな攻撃ホスト数は 204,256 であった。」
正 「ユニークな攻撃ホスト数は 304,256 であった。」

40