Upgrade to Pro — share decks privately, control downloads, hide ads and more …

現場に置かれた IoT デバイス どうやって守ろうか? ― AWS と SORACOM で実現...

SORACOM
March 28, 2020

現場に置かれた IoT デバイス どうやって守ろうか? ― AWS と SORACOM で実現する IoT デバイスセキュリティ/security-for-iot-devices-with-aws -and-soracom-services

JAWS DAYS 2020 オンラインで、ソラコムのテクノロジー・エバンジェリスト 松下(ニックネーム=Max)が発表した IoT デバイスセキュリティのリスク分析から対策の考え方、SORACOM Beam/Funnel/Funk や SORACOM Junction、 AWS IoT Device Defender の解説をしています。

SORACOM

March 28, 2020
Tweet

More Decks by SORACOM

Other Decks in Technology

Transcript

  1. 現場に置かれた IoT デバイス どうやって守ろうか? ― AWS と SORACOM で実現する IoT

    デバイスセキュリティ ― JAWS DAYS 2020 オンライン Mar. 28, 2020 / ライブ配信 株式会社ソラコム テクノロジー・エバンジェリスト 松下 享平 (Max / @ma2shita)
  2. 自己紹介 株式会社ソラコム / テクノロジー・エバンジェリスト 松下 享平 (まつした こうへい) “Max” 静岡県民

    新幹線通勤族 経歴: 東証二部ハードウェア・メーカーで 情シス部門、EC事業責任者、IoT事業開発を経て現職 講演や執筆を中心に活動、登壇回数は140+回 (2018年実績) 好きな AWS サービス • AWS IoT Core • AWS IoT Greengrass Facebook, Twitter: ma2shita
  3. 今日紹介する事、しないこと する事 • IoT におけるセキュリティ リスク • IoT デバイス内の 「価値ある情報」とは

    • IoT デバイスに対する 攻撃経路と対策 • AWS IoT Device Defender しない事 • セキュリティと セーフティーの違い • クラウド側のセキュリティ • 3G/LTE のセキュリティ • システム停止を目的とした デバイス破壊対策 • 組み込みシステム開発に おけるセキュリティ実装
  4. お客様事例: ソースネクスト様 グローバル向け Air SIM eSIM内蔵で 世界133カ国で使える 74の言語*で双方向の コミュニケーションを 実現、AI通訳機

    * 55言語では音声とテキストに、19言語ではテキストに翻訳します。 詳細は製品ウェブサイトをご確認ください。(2019年11月時点)
  5. IoT は「テクノロジーの総合格闘技」 デジタル化 対象 デバイス ネットワーク クラウド 利用者 アプリケーション ストレージ

    データ 処理 ゲートウェイ パケット交換 (ISP/IX) バックホール アクセス ポイント 通信 モジュール マイコン センサー 全てがつながって 「IoT」 ロジスティクス ペイメント オペレーション セキュリティ Amazon S3 Amazon Kinesis Data Firehose AWS IoT Core AWS Amplify
  6. クラウド ネットワーク センサー/デバイス “モノ” IoT におけるセキュリティリスク クラウドリソースの 不正利用 ネットワークリソースの 不正利用

    デバイスから得られた情報を基に 他のデバイスの不正利用 デバイス自体の 不正利用 最もリスクにさらされるのがデバイス
  7. 出荷時の情報 • ソフトウェア本体とその設定情報 運用で得られる情報 • データそのもの • ログ • ネットワーク接続の設定や認証情報

    • クラウド接続の設定や認証情報 設定情報の価値が高い しかし カジュアルに配置されるのが IoT の現場
  8. クラウド ネットワーク センサー/デバイス “モノ” リモート攻撃への加担を防ぐ 現場での 直接攻撃 インターネットからの リモート攻撃 リモート攻撃への

    加担 アドレス隠蔽化 (NAPT 等) や 閉域網化 通信監視による 早期検知や通信制限 「ネットワーク管理」の知見が利用可能
  9. SORACOM Junction: VPG に追加される3つのトラフィック処理機能 Inspection Redirection パケットフローの統計を SORACOM で計測し、結果を SORACOM

    Funnel で出力 パケットを指定の 宛先(インスタンス)に転送 VPG VPG パケットを指定の 宛先(インスタンス)にコピー Mirroring VPG ※ SORACOM Funnel
  10. https://aws.amazon.com/jp/iot-device-defender/ 定義したポリシーとの検証を自動化 監査 《設定を検証》 例) ✓ デバイス証明書の有効期限が切れます ✓ デバイス証明書が共有されました •

    別々のデバイスから同じ X.509 証明書によ る接続があった → X.509 証明書の埋め込 みでミスがあった可能性がある 例) ✓ 送信元 IP ✓ 受信したメッセージ 検出 《動作を検証》
  11. AWS IoT Device Defender の セキュリティプロファイルはホワイトリスト形式 セキュリティプロファイル = 「想定される動作」を記述 Amazon

    SNS AWS IoT Device Defender 10.0.0.78 172.16.0.12 想定通りの動作 → 何も起こらない AWS IoT Core 想定外の動作
  12. クラウド ネットワーク センサー/デバイス “モノ” 現場での直接攻撃に備える 現場での 直接攻撃 インターネットからの リモート攻撃 リモート攻撃への

    加担 アドレス隠蔽化 (NAPT 等) や 閉域網化 通信監視による 早期検知や通信制限 無意味化 難読化 排除
  13. ポリシーによる権限設定 証明書を複製されたとしても 影響を限定 権限内の事は可能 完全回避は困難 { "Version": "2012-10-17", "Statement": [

    { "Effect": "Allow", "Action": [ "iot:Connect", "iot:Publish" ], "Resource": "arn:aws:iot:us-west-2::topic/YOUR_TOPIC" } ] } AWS IoT Device Defender の監査と組み合わせて 早期の発見と行動
  14. セキュア・エレメント 情報を安全に格納するメモリや、暗号化を補助するロ ジックや乱数生成が実行可能なモジュール ハードウェア的な特性 《耐タンパー性》 • 物理的な破壊によって、内部情報が消滅 ソフトウェア的な特性 《厳重なアクセス制御》 •

    決められた手続きでのみ内部情報にアクセス可能 SIM もセキュア・エレメント 別途、セキュア・エレメントを デバイス実装する必要がなくなる SIM の固有情報を「鍵」として 利用できる
  15. #あのボタン の実装 SORACOM LTE-M Button powered by AWS チップ型 SIM

    AWS IoT 1-Click への接続設定 • クレデンシャル (認証情報) • (AWS への) エンドポイント情報 SORACOM サービスへの エンドポイントのみ 情報が排除されている
  16. SORACOM Funk SORACOM Beam / Funnel / Funk による デバイス開発の工数削減

    デバイス セキュア&クラウドネイティブな プロトコル • メガクラウド PaaS / SaaS • パートナー ソリューション SORACOM Beam SORACOM Funnel プリミティブな プロトコル • SIM を鍵としてクラウドの認証情報との紐づけ • クラウド向けプロトコルへ変換 HTTP, MQTT, TCP, UDP HTTPS(+JSON), MQTTS, TCPS SDK や認証情報をデバイスから取り払ってシンプル化 デバイス開発の工数や 運用の手間を削減
  17. SOARCOM Funk でダイレクトに AWS Lambda を実行 データ転送サービス SORACOM Beam クラウドファンクション

    SORACOM Funk Amazon API Gateway AWS Lambda AWS Lambda SORACOM Beam SaaS API や Webhook 呼び出しで引き続き有効 SORACOM Funk AWS Lambda を実行する ベストプラクティス
  18. 非機能要件だからこそ AWS IoT のマネージド・サービスを SIM テクノロジー + SORACOM プラットフォームで 守るから

    無くすへ AWS IoT Device Defender 定義したポリシーと動作の検証 AWS IoT Events デバイスの状態管理と実行 AWS IoT Events はステートマシンですから。 - Slideshare