• English

PRESS RELEASE （技術）

2018年5月28日
株式会社富士通研究所

IoTデバイスへのサイバー攻撃の影響を最小化するネットワーク制御技術を開発

現場のIoTネットワークの安全運用を実現

開発の背景

近年、様々な産業分野へのIoT導入が進み、センサーや製造装置などのIoTデバイスがネットワークに接続されるようになり、これらのIoTデバイスがマルウェアにより攻撃されることにより被害を受ける事例が世界中で発生しており、IoTデバイスへのセキュリティ対策が急務となっています。

しかし、IoTデバイスでは、CPUやメモリ、OSの制約でウイルス対策ソフトウェアの適用ができない場合が多く、ウイルス対策ソフトを導入しても稼働中のIoTデバイスを停止できないために再起動を伴うソフトウェア更新が実行されないままになっている場合もあります。このように、現状では、IoTデバイスのセキュリティ対策が不十分なまま運用されていることが多くなっています。

課題

この問題に対し、IoTデバイスが接続されるネットワークと通常のパソコンやサーバなどが接続されるネットワークをゲートウェイで分離する対策が、コンソーシアムやネットワーク機器ベンダーによって提案されています（図1）。これにより、外部ネットワークからのサイバー攻撃はゲートウェイで保護されますが、IoTデバイスが接続されるネットワーク内においてマルウェアに感染した機器が接続された場合は、ゲートウェイを経由せずにサイバー攻撃が実行されるため、感染デバイスからのサイバー攻撃に対して保護することができませんでした。

開発した技術

今回、IoTデバイスやネットワーク機器の運用情報をゲートウェイ機器が収集して、IoTデバイスが接続されるネットワークのトポロジー（注3）を推定し、この情報に基づいて適切なネットワーク機器を制御する技術を開発しました（図2）。この技術により、トポロジーから想定されない経路で通信するIoTデバイスを不審なデバイスとし、このIoTデバイスがほかのIoTデバイスと通信できないようにすることでサイバー攻撃の影響を最小化することができます。

開発技術の特徴

1. 多様なインターフェースをもつ機器に対応したトポロジー管理技術

   IoTデバイスやネットワーク機器から得られる様々な形式の隣接機器の情報を集約し、リアルタイムに変化するIoTネットワーク全体のトポロジーを推定します。機器の通信方式やデータ形式といったインターフェースはそれぞれ異なるため、ゲートウェイで標準的なインターフェースに変換することで、トポロジー推定を可能にしました。これによりIoTデバイスが許可される通信経路を求め、ネットワーク機器から実際の通信経路を収集し、それらを比較することで、サイバー攻撃などで発生する不正通信と、それを行う不審IoTデバイスの発見が可能になります。

2. 不審デバイスの通信を遮断するネットワーク制御技術

   ゲートウェイはトポロジー情報を利用して経路上のネットワーク機器を制御することで、不審デバイスとほかのデバイスとの通信を遮断します。デバイス接続には有線以外に、無線も利用されるために、接続経路が時々刻々と変化し、時には通信が途絶える状況の中で、適切なネットワーク機器の制御が必要になります。本技術では、変化するトポロジーやデバイス状況の変化を考慮してネットワーク機器を選択し、接続デバイス単位、グループ単位で制御することで、不審デバイスの通信を遮断し、正常デバイスへの通信への影響を最小化することができます。

効果

擬似マルウェアを使用したシミュレーションにより、本技術を実装したゲートウェイが既存のネットワーク機器と連携動作し、不審デバイスの通信を遮断可能なことを確認しました。この結果、サイバー攻撃の影響の最小化をゲートウェイで実現できるめどが得られました。

これにより、工場などの耐用年数の長い生産設備や設備を稼働し続ける必要がある現場で、セキュリティ対策済みのIoTデバイスを導入・交換することなく、従来の構成のままでセキュアな運用を実現することができます。

今後

ネットワーク製品「FUJITSU Network Virtuora」シリーズのゲートウェイ機能として、2018年度内の実用化を目指します。また、工場など製造業だけでなく、安心安全なIoTシステムの運用管理が求められる様々な産業領域への展開を視野に技術開発していきます。

商標について

記載されている製品名などの固有名詞は、各社の商標または登録商標です。

注釈

注1 株式会社富士通研究所：

本社 神奈川県川崎市、代表取締役社長 佐々木繁。

注2 富士通株式会社：

本社 東京都港区、代表取締役社長 田中達也。

注3 トポロジー：

IoTデバイスやネットワーク機器の搭載情報などのプロファイルおよび接続構成

---