エッジにおけるIoTのセキュリティ確保：
セルラールーターセキュリティの実践ガイド
ホワイトペーパー – エグゼクティブサマリー
ブリーフ
IoTの導入が拡大するにつれ、セルラールーター（3G/4G）は産業用接続の基盤となり、PLC、カメラ、コントローラー、機械をクラウドに接続している。しかし、これらのデバイスはセキュリティ面で最も脆弱な部分であることが多い。パブリックIP SIMカード、管理不十分なポート、暗号化されていないリンクは、サイバー攻撃、データ窃盗、さらには制御不能な接続コストの発生を招く機会を生み出す。
このホワイトペーパーは、IoT環境におけるセルラールーターのセキュリティ確保に向けた明確かつ実践的なロードマップを提供します。SIMカードのベストプラクティス、物理的保護対策、VPNアーキテクチャ、ロバステル独自組み込みセキュリティ機能について解説します。実世界の知見に基づき、組織が資産を保護し、リスクを低減し、自信を持って大規模なIoT展開を実現する方法を示します。
学べる内容
- パブリックIP SIMカードが重大な脅威となる理由と、プライベートIPアドレスおよびセキュアなAPNによる対策方法
- SIMプロバイダーとの連携によるペネトレーションテスト、TACロックダウン、ネットワーク保証の実施方法
- ルーターの物理的な強化のための実践的な手順：未使用のイーサネットポートの無効化からUSB設定インターフェースの保護まで。
- 無線セキュリティを強化する方法：SSIDの非表示からWPA-Enterprise、MACアドレスアクセス制御リストまで
- VPN（エンドツーエンド、ルーターからクラウド、SIMプロバイダー管理型）がIoTデータトラフィックを保護する役割。
- ロバステル 、暗号化された診断ファイルからマルチロール管理、TLS暗号化プロトコルに至るまで、セキュリティ・バイ・デザインをRCMSプラットフォームとルーターにロバステル する方法。
はじめに
「IoTセキュリティ」は広範な概念である。あまりに広範すぎて、それ自体では意味をなさないとも言えるほどだ。本稿の冒頭において、その範囲と目的を定義し、IoTの階層構造における位置付けを明確にしておく必要がある。
本記事では、ロバステル 世界中のメーカーが販売するセルラー（3G/4G）ルーターやゲートウェイの導入に関連するセキュリティ概念の一部を紹介します。
このような展開のアーキテクチャは通常、ルーター、SIMカード、およびエッジ側にあるPLC、IPカメラ、BMSコントローラー、メディアプレーヤーなどの接続デバイスで構成され、公開されているセルラーネットワークを利用してエッジからクラウドへデータを転送する。
データとインフラストラクチャ自体が悪意のある行為に対して脆弱であり、本記事ではこれらのIoTセキュリティ課題に対する一般的な解決策とロバステル解決策について実践的な視点で考察する。
SIMセキュリティ
皮肉なことに、ルーター導入において最も重要なセキュリティ上の考慮事項はSIMカードである。
SIMカードは、ルーターのWANインターフェースに関連付けられたIPアドレス指定方式に直接責任を負う。
この概念の最も顕著な例の一つは、設置業者がパブリックIPアドレス対応SIMカード（世界中のいくつかのMNO/MVNOから依然として入手可能）を使用する場合です。SIMにパブリックIPアドレスが割り当てられていると、インターネット上の誰でもルーターの「玄関口」を覗き見できます。ルーターでポート転送が有効化されている場合、ルーター本体が直接アクセス可能になるだけでなく、ルーターのLAN側に接続されたデバイスも丸見え状態になるのです！
より精通したネットワーク設計者は、リモートアクセスを無効化（ルーターおよび接続デバイス上でHTTP/HTTPS/SSHをブロック）し、ポート転送にあまり知られていないポート番号を使用すれば、セキュリティリスクは軽減されると主張するかもしれない。そして、ある程度これは正しい。
ただし、ルーターのパブリックIPに対するブルートフォース攻撃は、ルーターのWANインターフェースのファイアウォールで遮断される前に、3G/4Gネットワークを経由する必要があります。これは、データが一方方向に通信事業者のネットワークを通過したことを意味します。つまり、このような（要求されていない）データ通信はすべて、SIM契約を締結した人物に対して課金対象となります。 組織的な攻撃では、月間数GBのデータ通信量が発生する可能性があります。これを多数のルーターに拡大し、さらに高額なSIM料金と掛け合わせると、セキュリティ上の災害は軽減できたとしても、商業的な大惨事となるでしょう。
ヒント #1: 公共IP SIMカードは避ける
セキュリティ対策の第一歩は簡単です。SIMカードがパブリックIPアドレスではなくプライベートIPアドレスを使用していることを確認してください。
一部の専門SIMプロバイダーは、固定または動的なプライベートIPアドレスを提供します。当該プロバイダーが自社のインフラストラクチャにおいて適切なセキュリティ対策を整備し、管理体制が整っている限り、固定IPと動的IPのどちらを選択しても問題ありません。いずれも十分なセキュリティレベルを提供します。
図1.1は、「モノ」がクラウド（より具体的にはインターネット上のアプリケーションサーバー）と通信する仕組みを簡略化した図です。ここで重要なのは「APN」です。
APN（アクセスプロバイダ名）はかなり抽象的な概念であり、ネットワーク事業者によってあまり公に議論されることはありませんが、IoTデータが毎日辿る経路です。 皮肉なことに、この「空に浮かぶ巨大なルーター」について知られていることはごくわずかでありながら、アプリケーションの成功に極めて重要な役割を果たしています。簡単に言えば、APNはインターネットおよびインターネット経由で接続可能な他のネットワークへのゲートキーパーです。固定IPアドレスであれ静的IPアドレスであれ、最終的にあなたのIPアドレス割り当てを管理する責任を負っています。
つまり、3G/4Gネットワークを利用する場合、データ通信の性能とセキュリティは選択した通信事業者に大きく依存します。したがって、その事業者のセキュリティ品質が、そのままあなたのセキュリティ品質となるのです。
ヒント2：SIMプロバイダーに、自社ネットワークにおける「侵入テスト」の実施状況や、データが適切に保護されていることを保証する同様の措置について問い合わせましょう。ネットワークの構造をより深く理解したい場合は、ネットワーク図の提供を依頼してください。
3Gおよび4Gネットワークの無線伝送暗号化は、セルラー通信の詳細なセキュリティ分析の中核をなす課題である。ただし本稿では、現行の暗号化規格がほとんどのIoTアプリケーションの目的には十分であるという前提を置く。読者が無線伝送暗号化に懸念を抱く場合、以下の2つの選択肢がある：
- 様々な無線アクセスネットワーク（RAN）の仕様を詳細に調査するか、セキュリティの専門家に相談し、どの暗号規格が解読されたか、またそれが自社にどのような影響を及ぼす可能性があるかを確認してください。
- アプリケーションにエンドツーエンド暗号化を実装してください。これにより、暗号化キーが破られても、別の暗号化トラフィック層が露見するだけです。3G/4Gルーターでこれを実現する一般的な方法は、ルーター本体で直接利用可能なVPNサービスのいずれかを使用することです。VPNについては後述のセクション4で説明します。
SIMカード自体の物理的なセキュリティも重要な考慮事項となり得る。盗難されたSIMカードはIPネットワークへの侵入につながる可能性がある（可能性は低い）が、より現実的な脅威は、SIMカードが紛失したまま利用停止措置が取られていない間に、データ通信料や通話料が発生するリスクである。
ヒント3：SIMプロバイダーに、TACコードなどでSIMをロックできるか確認してください。これにより、対象の端末以外ではSIMがネットワークにアクセスできなくなります。
物理的セキュリティ
適切なSIMを選択すれば、ルーターのWAN側からの攻撃は大幅に減少するため、物理的なセキュリティに焦点を移す。具体的には、物理的なアクセス権を持つ者がデバイスに対してどのような行為を行い得るか、そしてそうした脅威をどのように軽減するかである。
イーサネットポートを無効化し、イーサネットポート上のDHCPを無効化する
イーサネットポートは攻撃を受ける重要な媒体です。使用する必要がない場合は、システム設定を通じてオフにすることで、PCやノートパソコンを接続した悪意のあるアクセスを回避できます。少なくとも1つのイーサネットポートを使用する必要がある場合、接続されたデバイスがインターネットアクセスを得るのに適切な範囲のIPアドレスを自動的に取得しないよう、ルーターのLAN側でDHCPをオフにするのが良い方法です。 この対策の論理的延長として、ルーターのLAN側に小さく目立たないサブネットを選択する方法があります。これにより、通りすがりの者が偶然正しい設定を推測する可能性を極めて低く抑えられます。
USBインターフェースキーの検証
多くの3G/4Gルーターは、USBメモリを介した設定更新のための非常にシンプルな仕組みを提供しています。
USBインターフェースも物理メディア攻撃の対象となる。ロバステル OSによって生成された独立した鍵を持ち、USBディスクが挿入されるたびに認証用の鍵を要求する。USBディスクはこの鍵を保存してファイルを更新する必要がある。これによりUSBポートは単一機能（自動設定更新）を安全な方法で提供できる。
コンソールアクセスを無効にする
現代のルーターおよびそれらに接続された多くの機器は、ウェブGUI（HTTP/HTTPS）、SSH、または類似の手段を通じて外部世界に対してユーザーインターフェースを提供します。このようなコンソールは、必要でない限り無効化することが望ましいです。必要な場合には、コンソールアクセスが可能な関連するIPサブネットに、許可されたユーザーのみがアクセスできるようにしてください。
ヒント4：LAN側の問題をシステム管理者に通知する便利な手法として、イーサネットケーブルが抜かれたことを検知するアラートを設定する方法があります。RCMSのようなクラウドプラットフォーム上、またはルーターから直接（SMS/メール）設定可能です。悪意のある行為か否かは、その後迅速に判断できます。
Wi-Fiセキュリティ
Wi-Fiを保護する最も効果的な方法は、使用しないことです。どうしても使用する必要がある場合は、最低限WPAセキュリティが使用されていることを確認してください。
WPA-Enterpriseは追加のRadius認証機能を提供しますが、設定が複雑になる場合があります。
個々のWiFiクライアントを管理するより単純な（ただし拡張性に劣る）方法は、アクセス制御リスト（ACL）を使用することです。これにより、ホワイトリストに登録されたMACアドレスのみが、該当するSSID（無線ネットワーク）への接続を許可されます。
ヒント5：ルーターのアクセスポイントで「SSIDブロードキャスト」を無効化することは、セキュリティ強化の賢い方法です。これにより、ネットワーク名をスキャンする通行人にはネットワーク名が表示されなくなりますが、適切な設定とパスワードを持つユーザーは引き続きWi-Fiにアクセスできます。
VPNセキュリティオプション
OpenVPN、PPTP、L2TP、IPSECなどのVPNは、様々な方法で利用することができます。
重要な考慮点は、VPNエンドポイントが正確にどこに存在し、どの管轄区域に属しているかです。セクション1で強調したように、全体像を理解するには、SIMプロバイダーのネットワーク環境におけるルーター接続を考慮することが不可欠です。以下に、最も一般的に使用されるVPNアーキテクチャを説明します。
a) エンドツーエンドVPN
この例では、VPNはエッジからクラウドまで完全に通過します。通常、エッジ側のデバイス（Thing）はVPNクライアントを実行し、アプリケーションサーバーはVPN接続の終端処理を行うVPNサーバーをホストします。
この例では、選択したVPNタイプが通信事業者のAPNを経由することを許可されている限り、SIMプロバイダーへの依存関係はありません。これは重要な障害点となり得るため、接続設定を試みる前にSIMプロバイダーに確認する価値があります。
この種の接続の実環境導入では、通常、アプリケーションサーバーの直前にVPNアプライアンスを設置し、ネットワーク構成要素の論理的な境界を提供します。
多くの「デバイス」はVPNエンドポイントとして動作する能力を持たない（例：RS232デバイス）ため、この場合、オプション(b)が使用される可能性がある。
ヒント #6: 一部のAPNは、ファイアウォールと同様に特定のポートやプロトコルをブロックする場合があります。ご使用のSIMプロバイダーに、そのAPNが該当するか確認してください。
b) ルーターからクラウドへのVPN
この例では、VPNはルーターからクラウド（クラウド上のアプリケーションサーバーまたはVPNアプライアンス）へと通過します。これは多くの点で（a）よりもリソースのより論理的な活用法であり、デバイスを可能な限り安価で単純化し、通信要素をルーターが担うことを可能にします。
ごく稀に、より細かいことにこだわるセキュリティ監査担当者に引っかかることがあります。彼らは、上記のアーキテクチャでは、モノからルーターへケーブルを介して送られるデータがVPNで保護されていないため、セキュリティリスクが生じると主張します。この反論に対処する一般的な方法は以下の通りです：
- VPNの代わりに、またはVPNに加えてアプリケーション層セキュリティを実装し、Thing to Router間のデータが暗号化されるようにする
- もし誰かがルーターと接続ケーブルに物理的にアクセスできたなら、あなたのビットやバイトが見られるかどうかを心配するよりも「もっと重要な問題」があると言えるでしょう！
セキュリティは費用対効果の計算であることを改めて認識させる事例であり、選択肢(ii)は一部の用途では妥当な主張ではあるものの、医療や軍事プロジェクトでは受け入れられる可能性は低い。
c) 専門のM2M/IoT SIMプロバイダーによるVPNソリューション
この種のサービスは、顧客へのサービス提供を強化し、少額の料金と引き換えにソリューションのより多くの部分を担いたいMVNOによって一般的に提供されています。
ほとんどの場合、IPSEC VPNトンネルはSIMプロバイダーのAPNと顧客のVPNアプライアンス／サーバーの間に構築する必要があります。耐障害性を高めるためにデュアルIPSECを設定することも可能ですが、その代償としてアーキテクチャの複雑さが増します。
この解決策には以下のような長所と短所があります：
長所
- ルーターやThingへの変更は一切不要です。
- 顧客は多数のVPN（各ルーターから1つずつ）を終了させる可能性を考慮する必要はなく、SIMプロバイダーのインフラからサイト間VPNを1つ用意するだけでよい。
- SIMプロバイダーが十分なサポートを提供すれば、設定は非常に簡単です。
欠点
- VPNは接続の無線部分をカバーしないため、無線技術の傍受によりデータが保護されない可能性がある——これは確かに異議となるが、認められることは稀である
- SIMプロバイダーの対応が不十分だと、所有するすべての端末が危険に晒される！
ロバステル
RCMS – クラウドデバイス管理プラットフォーム
ロバステル自社のルーター管理サービス「RCMS」を確保するための主要戦略ロバステル、Microsoft Azureが提供する世界クラスのIaaSおよびSaaS機能を活用することである。
RCMSアプリケーションソフトウェアがMicrosoft Azureプラットフォームとの深い統合により、サイバー攻撃に対する多層防御を実現している詳細なチュートリアルが用意されています。このドキュメントのコピーは、ロバステル 担当者へご請求いただければご提供いたします。
RobustOS – ルーター用オペレーティングシステム
- ソフトウェアライフサイクルのトレーサビリティ
ロバステル ライフサイクルの全段階にセキュリティをロバステル 。これには、ファームウェア設計、ソースコードの安全な保管とトレーサビリティ、コードレビューおよび分析が含まれる。
- Radius、Tacacs Plus、LDAP、LDAP X509認証
サードパーティ製サーバー認証をサポートし、柔軟な認証メカニズムを備えています。クライアントとサーバー間の通信は共有鍵によって検証され、送信されるユーザーパスワードはすべて暗号化されます。
- 暗号化された診断ファイル
エクスポート可能な診断ファイルにはログと設定情報が含まれており、完全に暗号化されているため、ロバステル チームと共有して分析を行うことが可能です。これにより、情報が漏洩するリスクを完全に排除できます。
- ユーザーロール管理
マルチロール管理では、異なる役割ごとに管理権限のレベルが異なります。「ゲスト」アカウントはデバイスの状態を閲覧するのみ（読み取り専用）です。「編集者」は読み書きが可能ですが、ユーザー管理権限は持ちません。「管理者」は全ての管理権限を有します。
- 電子メールのTLS暗号化
イベントリマインダーがメールで通知される場合、データはTLSプロトコルで送信され、機密性と完全性が確保されます。
- ModbusデータのTLS暗号化
産業用途では、収集されるデータは非常に機密性の高い場合があります。Modbus RTUデータは、最大限のセキュリティを確保するため、TLSで保護されたMQTTプロトコルを介してサーバーへ送信されます。アプリケーション層セキュリティの好例です。注：RobustOSに「Modbus MQTT」アプリがインストールされている必要があります。
- パケットフィルタリング、ファイアウォール、およびDMZ
IPアドレス、MACアドレス、プロトコルでデータパケットをフィルタリングし、転送される各IPパケットを監視して内部ネットワークの安全性を確保する。
ロバステルと提携： 安全で回復力のあるネットワークを展開
IoTセキュリティは、最も脆弱な接続部分によってその強さが決まります。そして、セルラールーターは最も見過ごされがちな要素です。ロバステル 、深い専門知識、堅牢な製品、実証済みのベストプラクティロバステル 、導入速度を落とすことなくネットワークのセキュリティを確保します。今すぐ当社と提携し、IoTインフラを保護し、リスクを軽減し、世界中で自信を持って接続されたオペレーションを実行してください。
