生産ラインを緊急停止に追い込む、IoTデバイスのライブラリ改ざん：スマート工場に潜むサイバーセキュリティリスク（4）（1/2 ページ）

スマート工場化が加速する一方で高まっているのがサイバー攻撃のリスクである。本連載ではトレンドマイクロがまとめた工場のスマート化に伴う新たなセキュリティリスクについての実証実験研究の結果を基に注意すべきセキュリティリスクを考察する。第4回となる今回は、工場への導入が増えているRaspberry PiやArduinoなどを活用したIoTデバイスの導入が進む中、ユーザーはどのような点に気を付けるべきかを解説する。

[石原陽平／トレンドマイクロ，MONOist]

　工場でIoT（モノのインターネット）など先進のデジタル技術を活用するスマート工場化への動きが活発化している。しかし、一方で高まっているのが、サイバー攻撃のリスクである。トレンドマイクロは2020年5月11日、工場のスマート化に伴う新たなセキュリティリスクについての実証実験研究の結果をまとめたホワイトペーパーをリリースした。本連載では、この研究の結果をもとに、工場のスマート化を進める際に注意すべきセキュリティリスクを考察している。

≫連載「スマート工場に潜むサイバーセキュリティリスク」の目次

　第4回となる今回は、工場への導入が増えている産業用IoT（IIoT）デバイスに潜むセキュリティリスクについて解説する。Raspberry PiやArduinoなどを活用したIoTデバイスの導入が進む中、ユーザーはどのような点に気を付けるべきかを実験結果をもとに見ていく。

工場内でも利用が広がるRaspberry PiやArduino

　工場でのIoTデバイスの活用は、工場スマート化のトレンドの1つだといえる。ここでいうIoTデバイスとは、固有のIPアドレスを持ちインターネット接続が可能なエンドポイントデバイスと定義する。IoTデバイスは主にデータ収集などにおいて工場でも活用が進んでおり、自社開発プログラムや他のデバイスと組み合わせて導入が増えている。既に実証環境だけでなく、本番環境でも運用されており、本格的に活用が広がり始めたといえるだろう。

　産業用IoTデバイスとしては、Arduino Industrial 101、Industrial Shields、Industrino、Iono Arduino、Siemens Simatic IoT2000などが手軽に使えることから、市場に多く流通している。それに加えて、Raspberry Piなどのカスタム可能な小型シングルボードコンピュータもその柔軟性とコストメリットから人気がある。今回トレンドマイクロが実証で利用したスマート製造システムでもRaspberry Piを監視用センサーシステムに採用しており、製造ラインの温度、圧力、光、ノイズの監視などに使用されている。

写真1　産業用IoTデバイスの例。（左）がIono Arduino、（右）がIndustrial Shields（クリックで拡大）出典：トレンドマイクロ

ライブラリを利用したソフトウェア開発

　IoTデバイスにもさまざまな種類があるが、先述したようなRaspberry PiやArduinoなどを活用したIoTデバイスの魅力は、カスタム性に優れているところである。ほとんどの場合、ソフトウェアのカスタマイズが可能で、開発者はIoTデバイスのファームウェアを用途に応じて書き換えることができる。

　例えば、Raspberry Piと温度センサーを組み合わせたハードウェアを用意し、センサー用ドライバなどを含んだライブラリをファームウェアに組み込めば、工場ラインの温度を監視するスマートセンサーが出来上がる。今回の研究に際して、20人ほどの工場エンジニアにインタビューを実施したが、その多くが「ファームウェアをカスタムした産業用IoTデバイスを製造現場で使用している」と回答した。このように、IoTデバイスのカスタムはごく一般的であり、今後はカスタムIoTデバイスの工場への導入がさらに進んでいくものと予想される。

　利用が広がれば、IoTデバイスのカスタム開発の機会も増えるわけだが、スクラッチ（システム開発の際に、既存のシステムやひな型となるプログラムを応用せず、最初からオリジナルのシステムを開発すること）で全てを創り上げることはまれである。開発者はIoTデバイスをカスタマイズする際、多くの場合でライブラリを利用することになる。ライブラリとは、プログラミングをするときに使う部品の集まりのようなもので、ライブラリを活用することでプログラミングの手間を大幅に削減できる。ライブラリはメーカーからの提供や、サードパーティーのクラウドサービス上で多く提供されており、特にオープンソースライブラリは多種多様なライブラリを無料で利用できるところが魅力で、多くの開発者が利用している。

ソフトウェアサプライチェーンに潜むセキュリティリスク

　一方で、IoTデバイスのセキュリティリスクについての関心も高くなってきている。2019年に発覚したNASA Jet Propulsion Laboratory（JPL）の事例は、IoTデバイスが侵入経路となった顕著な例である（当該事例とそのセキュリティリスクについての詳細はこちらの記事を参照いただきたい）。IoTデバイスの導入時には、それらがシャドーデバイスとならないようなポリシー設定と管理体制が必要になるというのは、多くのユーザーが意識しているところだろう。

　しかしながら、スマート工場におけるIoTデバイスの潜在セキュリティリスクはこれだけではない。複雑さを増すソフトウェアサプライチェーンにも、大きなセキュリティリスクが潜んでいる。先述した通り、IoTデバイスの開発にはライブラリが活用される。では開発者はどこからライブラリをダウンロードしているのか。そう考えると、重大なセキュリティリスクが潜んでいるということが理解できるだろう。

　最新の組み込み開発エコシステムは非常に大きくかつ多様で、メーカーが提供している正規ライブラリもあれば、オープンソースプラットフォーム上で提供されているものもある。エコシステム内では、さまざまなリソース、チュートリアル、ライブラリなどのコンテンツが、コードリポジトリ（コードの集約・保管場所）などにアップロードされており、開発者はそれらを自身の開発のために利用している。

　加えて、開発者はライブラリを分解して変更し、別の場所（Stack Overflowなどのナレッジフォーラム）に再アップロードするという傾向がある。さらに、高度なスキルを持つ開発者は正規IDE（Integrated Development Environment：統合開発環境）に依存せず、PlatformIOなどのオープンソースかつマルチフレームワーク対応のIDEを好んで利用する。

　例えば、PlatformIOは7000を超えるライブラリカタログを提供する高度な開発環境で、誰でもライブラリをアップロード／ダウンロードが可能である。しかしながら、このオープンコミュニティーに実装されているセキュリティ対策は、ライブラリをHTTPS経由でダウンロードする必要があるというレベルにとどまり、リポジトリやコードの整合性を確認する方法はない。つまり、ライブラリをホストするソースリポジトリが危険にさらされているかどうか、または開発者が作成した元のコードがまだ含まれているかどうかを検出する方法は実装されていないということだ。ここに、産業用IoTデバイスの利用における隠れたサイバーセキュリティリスクが存在するのである。

　オープンソースであることと、誰でもカスタムが可能であるということには注意が必要だ。特に、注意したいのは、ライブラリに見せかけたマルウェアである。EWS経由で不正なライブラリがダウンロードされ、IoTデバイスのファームウェアに反映されると、何が起こるのだろうか。実際に検証した攻撃シナリオを見てみよう。