開発からフィールド導入・運用まで IoT デバイスをライフサ...

© 2019 Arm Limited

June 20, 2019

開発からフィールド導入・運用まで

IoTデバイスをライフサイクルにわたって守る

アーム株式会社 IoTサービスグループセールス＆事業開発ディレクター春田篤志

トレジャーデータ株式会社マーケティングマネージャー小林広紀

© 2019 Arm Limited2

>300%IoTデバイスのマルウェア感染の増加率 2

600%IoTデバイスを標的にした攻撃の増加率 1

産業用制御システムにおける脆弱性の増加率 1

29%

6兆ドルサイバー犯罪に関連して2021年までに生じる損害額 3

1 – Symantec Internet Security Threat Report 20182 – Kaspersky Labs, New Trends in the World of IoT Threats 20183 – Annual Cyber Crime Report, Cyber Security Ventures 2019

セキュリティ対策を怠ると……そのツケは莫大に!


IoTの本質：物理世界のリアルタイムデータに基づいて、ビジネス判断をデータの信頼性が、IoTの成功には必要不可欠

部品・素材（位置、

在庫、消費量）

環境（エネルギー、温度）

設備（メンテナンス、

異常、センサーデータ）

プロセス（品質トラッキング、パフォーマンス）

ロジスティクスアセット管理テレマティクスプロセス最適化

予知保全ビル管理サプライチェーン最適化

安全

データデータデータ

ヒト（位置、

物理アクセス、セキュリティ、災害）


信頼できるデータは、信頼できるデバイスからでは、「信頼できる」デバイスとは？

信頼できる入手元

信頼できるコンフィギュレーション

信頼できるネットワーク接続

信頼できるファームウェア

信頼できる運用

このデバイスは信頼できる

入手元から調達したものか？

適切な権限を持った担当者がコンフィギュレーションしたか？

このネットワーク接続は認証されたもので、かつ暗号化もされているか？

このデバイスのファームウェアは最新版に更新されているか？

このデバイスは想定通りに稼働しているか？


【課題2】デバイスのセキュリティ

【課題2】ネットワークのプロビジョニング

【課題1】デバイスのプロビジョニング

運用・管理フェーズ

アームのソリューション

• Mbed OS• PSA• プロフェッショナルサービス• HW/SWパートナー

実地配備フェーズ

【課題1】デバイスのライフサイクル管理


• Pelion IoTプラットフォーム• Pelionデバイス管理• Pelionデータ管理• Pelionエコシステム

【課題1】デバイスの多様性


• Pelionコネクティビティ管理• Pelionデバイス管理• MNOパートナー• SIパートナー

開発フェーズ

【課題2】デバイスデータへのアクセス

IoT実装の各フェーズでのソリューション


Platform Security Architecture (PSA)セキュアなシステム構築のためのレシピと実装のリファレンス

PSAの三要素複数のユースケースにまたがる

共通の指針

脅威モデル &セキュリティ分析

Analyse

ハードウェア & ファームウェアアーキテクチャ仕様

Architect

Implementファームウェアソースコード

セキュリティモデル10のゴール

デバイスのセキュリティレベル

PSA認定

https://www.psacertified.org/

https://www.psacertified.org/


PSAエコシステム：セキュリティは全階層のベンダーの共同責任

チップクラウドソフトウェアセキュリティシステム















開発フェーズ




Pelion IoTプラットフォームIoTのコネクティビティ、デバイス、データを包括的かつセキュアに管理するプラットフォーム

アプリケーション・エコシステム

(アプリケーション開発支援)

デバイス・エコシステムチップやモジュールに組み込まれたMbed OS

コネクティビティ管理サービス

デバイス管理サービス

データ管理サービス

デバイス・データ間セキュリティ

Pelion

エンタープライズ・データ＋

他のデータ

• あらゆる規模のIoTデバイスおよびデータを、シームレスかつセキュアに接続、管理• パブリックおよびプライベートクラウド、オンプレミス、ハイブリッド、いずれの環境でも動作するよう設計

コントロール

データ


Pelionデバイス管理サービスIoTデバイスをライフサイクルにわたってセキュアに管理

デバイス管理REST APISDK

Pelion Edge


X.509証明書

セキュアなデバイス認証Pelionデバイス管理サービスは標準規格「LwM2M」に準拠

秘密鍵公開鍵

署名

第三者認証局(CA)他のフィールド

デバイスID

デバイスの真正性を認証

鍵ペアはデバイスの外部で生成することも、セキュリティ向上のためデバイス内部で生成することも可能

PSA準拠のセキュアなデバイス


デバイスへのアクセス管理

➢ IoTデバイスは、セキュリティの境界線の外側に配備される場合も多々ある

➢ それでも、エンタープライズネットワークの一部であることは変わらない

パスワードの管理は事実上不可能

• 複数のデバイスや複数の担当者が同じパスワードを共用・共有してしまう

• 簡単に不正利用できる“バックドア”になりがち

デバイスへのアクセスが難しい場面では、不便かつ非実用的

どうやって、いつ、誰に、デバイスへのアクセスを許可するか


セキュアデバイスアクセス(SDA)IETFが定めるACE規格に準拠し、セキュアなコミッショニングを実現

デバイスがトークンを検証し、サーバー側で規定されたポリシーを実施（オフラインでも実行可能）

WAN IP接続

Pelionデバイス管理サーバー

デバイス（デバイス管理用クライアントを搭載）

担当者用ツール（プロキシ）

担当者• ユーザー• コントラクター• 顧客の顧客

サーバーがアクセス用トークン（ユーザーとデバイスのアクセスポリシーを定義）を発行36

顧客のIT環境（ユーザーの管理とアクセスポリシー）

担当者がログインし、デバイスへのアクセスをリクエスト

アクセス用トークンが担当者用ツールに配送4

1

5 認証2

トラストアンカー


セキュアコミッショニング

A B C

Secure Device Access Policy

Action: Commission_WifiUser: [email protected]: A, B

[email protected]

CPC1 Ground Floor

✓

✓0161d1ccc731001002f2

!

!0161c2894eef10010021b

✓

✓0161d1ebbb86100100330

TaroさんはデバイスCに対するコミッション権限が無い

セキュアデバイスアクセス(SDA)では、

モバイルアプリでデバイスをコミッショニング可能


セキュアなサーバー接続に必要なデバイスのコンフィギュレーション

• デバイス認証：デバイスをPelionデバイス管理サービスのサーバーに認証する

• サーバー認証： Pelionデバイス管理サービスのサーバーをデバイスに認証する

• サーバーURI、コンフィギュレーション情報、カスタム証明書（オプション）

顧客のアプリ

顧客のアプリ

Pelionデバイス管理サービス相互認証

サーバーに信頼された認証局

デバイスに信頼された認証局

電子署名

電子署名

デバイス間に信頼できる接続を確立


デバイスのオンボーディング2ステップ型のオンボーディング手法でセキュリティを強化

ブートストラップサーバー

デバイスブートストラップ

FCUCA

TLS

TLSブートストラップサーバーブートストラップ認証局

1. デバイスが、信頼された認証局から署名を受けたデバイスブートストラップ証明書を送信することで、自身を識別する認証要求を行う

デバイスLwM2M

LwM2MサーバーTLS

TLS

LwM2M認証局

LwM2M デバイス署名

LwM2Mサーバー

LwM2M認証局

1

2 3. ブートストラップサーバーが、LwM2Mのデバイス（クライアント）

証明書をデバイスに割当、配送する

2. その証明書をPelionのブートストラップサーバーが、CA証明書に格納されたデバイスの公開鍵と署名、証明書のパラメーターを使って検証


Pelionデバイス管理のPKIモデル

• 大規模なIoTシステムを構築・管理するために、必要不可欠な基盤• システムに関わる各エンティティのIDを確認し、エンティティ間で転送される情報の出元を検証

• デジタル証明書の生成、管理、配布、使用、保存、失効、ならびに公開鍵暗号の管理をするために、役割、ポリシー、手順を規定


IoTのセキュアソフトウェアアップデート

Pelionの

アップデート機能

デバイス側クライアントが

更新を適用

更新パッケージを準備

パッケージを発行

キャンペーンを設定

パッケージを配布

パッケージを検証コード開発適用リカバー

ソフトウェア開発者

デバイス管理者/サービス管理者

開発者がファームウェアを

リリース

アカウント管理者が

キャンペーンを管理

1 2 3

ネットワーク接続されたデバイス


フェイルセーフ保護

アンチロールバック

• 安全性(真正性)が不十分だったり互換性が無かったりするファームウェアイメージがインストールされてしまうことを防ぐ

• 関連するファームウェアマニフェストが現行よりも新しいバージョンだと確認できた場合のみ、更新を進める

パワーセーフ・アプリケーション

• 更新を適用している間、メインイメージをチェックし、破損があれば更新をもう一度適用し直す

• 更新の間に電源が落ちても、デバイスは機能不全にならない。デバイスは次の起動時に更新を再度適用する

（注：この機能は推奨しているブートローダーの機能に依存します）

アクシデント保護

• デバイスに搭載されたPelionデバイス管理のクライアントが、製造業者/モデル、リビジョンもしくはファームウェアに関わる他の属性情報をチェックし、当該デバイスに合致しない場合は更新を拒否

• クライアントがファームウェアイメージを適用前に検証


Pelionのデバイスイベントログ収集（開発中）

電池稼働時間を延長

デバイスのプロセッサ使用量が異常に高い

マルウェアを検知する

デバイスが非認可のタスクやスレッドを実行している

DDoS攻撃を予防する

デバイスが非認可のIPアドレスにパケットを送信している

サイバー攻撃や通常の挙動からの逸脱を検知することでデバイスが想定通りに稼働していることを確認


デバイスのヘルス指標を監視し、危機を検知

ダッシュボード

SIEMシステム

Pelionデバイス管理サービス

デバイスに搭載されたイベントログ収集クライアントがOSから

ヘルス指標を取得

サーバーがデバイスのヘルス指標を収集し、異常を検知

サーバーがシステム管理者やインシデント対応システムに通知

SIEM：Security Information and Event Management

1 2 3

イベントログを収集、想定外の挙動をレポート


Pelionのデバイスイベントログ収集GUI

指標データ収集セッション

インシデントレポートのリスト

ヘルス指標の履歴データ

12

3


信頼できる入手元

信頼できるコンフィギュレーション

信頼できるネットワーク接続

信頼できるファームウェア

信頼できる運用

データに基づいたビジネス判断を可能にするために信頼できるデータは、信頼できるデバイスから

デバイスのセキュアなライフサイクル管理について、詳しくは

https://www.pelion.com/iot-device-management/

Pelionデバイス管理サービスの利用を！

https://www.pelion.com/iot-device-management/


Pelion IoTプラットフォームIoTのコネクティビティ、デバイス、データを包括的かつセキュアに管理するプラットフォーム

アプリケーション・エコシステム

(アプリケーション開発支援)

デバイス・エコシステムチップやモジュールに組み込まれたMbed OS

コネクティビティ管理サービス

デバイス管理サービス

データ管理サービス

デバイス・データ間セキュリティ

Pelion

エンタープライズ・データ＋

他のデータ

• あらゆる規模のIoTデバイスおよびデータを、シームレスかつセキュアに接続、管理• パブリックおよびプライベートクラウド、オンプレミス、ハイブリッド、いずれの環境でも動作するよう設計

コントロール

データ















開発フェーズ




Pelionデータ管理（Treasure Data）とはIoTデバイスデータと、企業がITシステムに保有するデータ、サードパーティのデータを統合管理

アクション

収集統合記録前処理共有分析アクションIoT生データ

企業が保有するビジネス・産業

データ

Pelionデータ管理サービス

”活用できる“IoTデータの提供

パートナー / 顧客ソリューション

専門性の高いエコシステム

分析

ディスカバリ


事例：Intelligent Pilot 事故リスク予測プラットフォーム

データソース外部サービス

. . .

アプリケーション

IoTクラウド

Wi-Fi

コール

センター

SFA - CRM

BI

DMP

. . .

天気

地図

交通・渋滞

セールス

. . .

車ヘルスケア社会インフラ医療

車両事故

リスクDB

セキュリティデバイスマネジメント VoIP

API

ネットワーク

デバイスデータ

2G/3GLTE LANBluetooth

SDK

セキュリ

ティ

コント

ロール

メッセージ

ング

S/Wアップ

デート

修正パッチ

配布

データ

収集VoIP

データ分析

データクレ

ンジング機械学習


Pelionデータ管理のセキュリティ応用：PFP Cybersecurity


お問い合わせ

アーム株式会社

IoTサービスグループ

Eメール：[email protected]

電話：045-477-5260（代表）

開発からフィールド導入・運用まで IoT デバイスをライフサ...

Documents

Transcript of 開発からフィールド導入・運用まで IoT デバイスをライフサ...

開発からフィールド導入・運用まで IoT デバイスを ライフサ...

Documents

Transcript of 開発からフィールド導入・運用まで IoT デバイスを ライフサ...

開発からフィールド導入・運用まで IoT デバイスをライフサ...

Transcript of 開発からフィールド導入・運用まで IoT デバイスをライフサ...