Modbusセキュリティのベストプラクティス：産業用モノのインターネット保護システムの構築

はじめに：産業用サイバーセキュリティの重要性

インダストリー 4.0とモノのインターネット技術の急速な発展に伴い、産業用制御システムとインターネットの境界はますます曖昧になっています。Modbusは、産業オートメーション分野で最も広く使用されているCommunicationプロトコルであり、そのセキュリティは産業システム全体の安全で安定した動作に直結しています。しかし、Modbusプロトコルは当初セキュリティを考慮せずに設計され、認証、暗号化、完全性検証メカニズムが欠如しているため、Modbusベースの産業システムは深刻なセキュリティ課題に直面しています。 この記事では、Modbusプロトコルのセキュリティリスクについて詳しく説明し、ネットワーク分離、アクセス制御、データ暗号化からセキュリティ監視までの完全な保護ソリューションを提供し、企業や開発者が信頼性の高い産業用IoTセキュリティシステムを構築するのに役立ちます。

Modbusプロトコルのセキュリティリスク分析

1.1プロトコル設計の欠陥

認証メカニズムなし- Modbusプロトコルは認証メカニズムを含まない - デバイスに接続できるクライアントなら誰でもコマンドを送信できます - 攻撃者は正当なホストになりすます。暗号化保護なし- すべてのCommunicationデータは平文で転送される - 機密データ（制御パラメータ、本番データなど）が盗聴される可能性がある - 攻撃者はシステムの状態を簡単に取得できます完全性検証なし- データが改ざんされているかどうかを検出できない - 中間者攻撃は制御命令を変更できる - 機器の誤動作や破損の原因となるおそれがある

1.2通常の攻撃シーン

シナリオ1：不正アクセス

攻撃者-▶ Modbusデバイス（ポート502）
           │ │ │
           機密データ（プロセスパラメータ、生産データ）の読み取り
           制御パラメータ（設定点、しきい値）の変更
           危険なOperation（シャットダウン、再起動）を実行する。

実際のケース：2010 year、StuxnetウイルスはPLCパラメータを変更してイランの核施設の遠心分離機を損傷させた。

シナリオ2：中間者攻撃

駅→ →-攻撃者→ →駅から
       │ │ │
       ●通信内容の盗聴
       制御命令の改ざん。
       3.悪意のあるデータの注入

シナリオ3：サービス妨害攻撃

攻撃者-▶悪意のあるリクエスト-▶ Modbusデバイス
                              │ │ │
                              ▼ ▼ ▼
                         デバイスの過負荷
                              │ │ │
                              ▼ ▼ ▼
                         サービスの中断

1.3リスクレベルの評価

リスクの種類	可能性は	影響の程度	リスクのレベル
不正アクセスは	ハイ·ハイ	真面目に	CLARiXハイリスク
データの盗聴	中では	ミディアム·ミディアム	↓中危険です。
Commandの改ざん	中では	真面目に	CLARiXハイリスク
サービス拒否。	中では	ミディアム·ミディアム	↓中危険です。
リプレイ攻撃	低い。	ミディアム·ミディアム	低リスクです。

2.ネットワーク層のセキュリティ保護

2.1ネットワーク分離ポリシー

物理的な隔離

┌─ ── ── ── ── ── ── ── ── ┐     ┌─ ── ── ── ── ── ── ── ── ┐
│ネットワークオフィス         │ │ │     産業用制御ネットワーク     │ │ │
│ ITネットワーク       │ │ │     │ OTネットワーク       │ │ │
������������������     ������������������
│オフィスコンピュータ       │ │ │     タグ：PLC機器       │ │ │
│ -メールサーバ     │ │ │     タグ：SCADAシステム     │ │ │
タグ：ERPシステム       │ │ │     タグ：DCSシステム       │ │ │
3-----------------------------     3-----------------------------
         │ │ │                       │ │ │
         └ ── ── ── ── ── ┬ ── ── ── ── ── ── ┘
                    │ │ │
            ��-----------------
            │産業用ファイアウォール    │ │ │
            │一方向分離   │ │ │
            その― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ― ―

実装のポイント：1.オフィスネットワークと産業ネットワークの物理的分離 2.産業用ファイアウォールを使用した隔離 3.必要なトラフィックのみを許可する 4.単方向絶縁ゲート（データダイオード）の導入

VLAN分割

# Ciscoスイッチ例
vlan 10
  名前：IT-Network
vlan 20
  名前：SCDA-Network
vlan 30
  PLC-Networkの略。

インタフェースGigabitEthernet 0/1
  スイッチポートアクセスモード
  スイッチポートアクセスVLAN 20
  switchport port port-security
  switchport port-security最大2

2.2ファイアウォールルールの設定

iptablesの設定例

#!/ビン/bash
# Modbusセキュリティファイアウォールスクリプト

既存のルールをクリアする
iptables-F
iptables-X

#デフォルトポリシーの設定
iptables-P INPUT DROP
iptables-P Forward DROP
iptables-P OUTPUT ACCEPT

#ローカルループを許可する
iptables-A INPUT-i lo-j ACCEPT

#確立された接続を許可する
ipt-A-m--ESTABLISHED RELATED -j ACCEPT

#Modbusポートへのアクセスを特定のIPのみ許可する（502）
iptables-A INPUT-p tcp-s 192.168.1.100--dport 502-j ACCEPT
iptables-A INPUT-p tcp-s 192.168.1.101--dport 502-j ACCEPT

SSH 管理を許可する（管理セグメントのみ）
iptables-A INPUT-p tcp-s 192.168.100.0/24--dport 22-j ACCEPT

接続拒否の記録
iptables-A INPUT-p tcp--dport 502-j LOG--log-prefix "Modbus Denied"
iptables-A INPUT-p tcp--dport 502-j DROP

#ルールを守る
iptables-save/etc/iptables/rules.v4

Windowsファイアウォールの設定

#Power Shellの構成例

#インバウンドルールの作成
New-NetFirewallRule -DisplayName "Modbus TCP Secure" `
  - DireIn `
  - プロトコルTCP `
  -LocalPort 502 `
  -Action Allow `
  -RemoteAddress 192.168.1.100 192.168.1.101 `
  - プロフィールプライベート

#ログを有効にする
Set-NetFirewallProfile -Name Private `
  -LogAllowed True `
  -LogBlocked True `
  LogMaxSizeKilobytes 4096

2.3ポートセキュリティ強化

デフォルトポートの変更

#デフォルトのポート502を廃止し、非標準ポートを使用
# Modbus TCPサービスの設定例

#オリジナル設定
# ListenPort=502

#セキュリティ設定
ListenPort=50200

注意点：ポート隠蔽は真のセキュリティ対策ではなく、他のセキュリティメカニズムと併用する必要があります。

ポートスキャン保護

fail 2 banを使用してポートスキャンを防ぐ
cat/etc/fail2ban/jail.local EOF
[modbus-scan]
enabled = true
ポートポートポート     = 50 2
filterより   = modbus-scan
logpath = /var/log/syslog
maxretry = 3
バンタイム= 36 00
EOFと

三、アプリケーション層のセキュリティ保護

3.1認証メカニズムの実装

JWTトークン認証

package com.example.modbus.security;

import io.jsonwebtoken.*;
import java.util.Date;

public class ModbusAuthenticator {

    private final String secretKey = "your-secret-key-at-least-32-chars";

    public String generateToken(String username, String role) {
        return Jwts.builder()
            .setSubject(username)
            .claim("role", role)
            .setIssuedAt(new Date())
            .setExpiration(new Date(System.currentTimeMillis() + 3600000))
            .signWith(SignatureAlgorithm.HS256, secretKey)
            .compact();
    }

    public boolean validateToken(String token) {
        try {
            Jwts.parser()
                .setSigningKey(secretKey)
                .parseClaimsJws(token);
            return true;
        } catch (JwtException e) {
            return false;
        }
    }

    public Claims getClaims(String token) {
        return Jwts.parser()
            .setSigningKey(secretKey)
            .parseClaimsJws(token)
            .getBody();
    }
}

APIキー認証

import hashlib
import hmac
import time

class ModbusAPIKeyAuth:
    def __init__(self, api_key, secret):
        self.api_key = api_key
        self.secret = secret

    def generate_signature(self, timestamp, method, path, body=''):
        message = f"{timestamp}{method}{path}{body}"
        signature = hmac.new(
            self.secret.encode(),
            message.encode(),
            hashlib.sha256
        ).hexdigest()
        return signature

    def get_headers(self, method, path, body=''):
        timestamp = str(int(time.time()))
        signature = self.generate_signature(timestamp, method, path, body)
        return {
            'X-API-Key': self.api_key,
            'X-Timestamp': timestamp,
            'X-Signature': signature
        }

3.2アクセス制御リストACL

ロールベースのアクセス制御

パッケージcom.example.modbus.security;

import java.util. *;

パブリッククラスModbus Access Control {

    エナム·ロール
        OPERATOR、      //オペレーター：読み取り専用
        ENGINEER      //エンジニア：通常のレジスタの読み書き
        ADMINISTRATOR //admin：すべての権限
    }

    private final Map Role Set Integer readPermissions = new HashMap;
    ate final Map Role

    public ModbusAccessControl {
        //初期化権限
        readPermis.put Role.OPERATOR Set.of 0 1 2 3 4;
        readPermis.put Role.ENGINEER Set.of 0 1 2 3 4 5 6 7 8 9;
        readPermissions.put Role.ADMINISTRATOR Set.of; //すべて

        writePermissions.put Role.OPERATOR Set.of; //書き込み権限なし
        ePermis
        writePermissions.put Role.ADMINISTRATOR Set.of; //すべて
    }

    public boocanRead Role role int registerAddress {
        Set Integer allowed = readPermissions.get role;
        return allowed.isEmpty|| allowed.contains registerAddress;
    }

    public boolean canWrite Role role int registerAddress {
        Set Integer allowed = writePermissions.get role;
        return allowed.isEmpty|| allowed.contains registerAddress;
    }
}

IPホワイトリスト

class IPWhitelist:
    def __init__(self):
        self.allowed_ips = {
            '192.168.1.100': {'read', 'write'},
            '192.168.1.101': {'read'},
            '192.168.1.102': {'read', 'write'},
        }

    def check_permission(self, ip_address, operation):
        if ip_address not in self.allowed_ips:
            return False
        return operation in self.allowed_ips[ip_address]

    def add_ip(self, ip_address, permissions):
        self.allowed_ips[ip_address] = set(permissions)

    def remove_ip(self, ip_address):
        if ip_address in self.allowed_ips:
            del self.allowed_ips[ip_address]

3.3データの暗号化転送

TLS/SSL暗号化

パッケージcom.example.modbus.security;

import javax.net.ssl. *;
import java.io.FileInputStream;
import java.security.KeyStore;

public class SecureModbusClient {

    public SSLSocket createSecureConnection String host、intポート 
        throws例外{

        //キーストアの読み込み
        KeyStore keyStore = KeyStore.getInstance "JKS";
        keyStore.load new FileInputStream "client.keystore" 
                     "keystore-password".toCharArray;

        キーマネージャの初期化
        KeyManagerFactory kmf = KeyManagerFactory.getInstance "SunX509";
        kmf.init keyStore "key-password".toCharArray;

        //信頼基盤の読み込み
        KeyStore trustStore = KeyStore.getInstance "JKS";
        trustStore.load new FileInputStream "trustStore.jks" 
                       "truststore-password".toCharArray;

        信頼マネージャの初期化
        TrustManagerFactory tmf = TrustManagerFactory.getInstance "SunX509";
        tmf.init trustStore;

        //SSLコンテキストの作成
        SSLContext sslContext = SSLContext.getInstance "TLSv1.3";
        sslContext.init kmf.getKeyManagers tmf.getTrustManagers null;

        安全な接続を作成する
        SSLSocketFactory factory = sslContext.getSocketFactory;
        SSLSocket socket = SSLSocket factory.createSocket host port;

        //暗号化スイートの構成
        s.setEnabledCiphernew String[] {
            “TLS_AES_256_GCM_SHA384”
            “S_CHACHA20_POLY1305_SHA256”
        });

        socket.setEnabledProtocols new String[] {"TLSv1.3"});
        socket.setUseClientMode(true);

        return socket;
    }
}

アプリケーション層の暗号化

from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
from cryptography.hazmat.backends import default_backend
import os

class ModbusDataEncryptor:
    def __init__(self, key):
        self.key = key.encode().ljust(32)[:32]  # AES-256

    def encrypt(self, plaintext):
        iv = os.urandom(16)
        cipher = Cipher(algorithms.AES(self.key), modes.CFB(iv), 
                       backend=default_backend())
        encryptor = cipher.encryptor()
        ciphertext = encryptor.update(plaintext.encode()) + encryptor.finalize()
        return iv + ciphertext

    def decrypt(self, ciphertext):
        iv = ciphertext[:16]
        actual_ciphertext = ciphertext[16:]
        cipher = Cipher(algorithms.AES(self.key), modes.CFB(iv), 
                       backend=default_backend())
        decryptor = cipher.decryptor()
        plaintext = decryptor.update(actual_ciphertext) + decryptor.finalize()
        return plaintext.decode()

IV.セキュリティ監視と監査

4.1オペレーションログ

package com.example.modbus.logging;

import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import java.time.LocalDateTime;
import java.time.format.DateTimeFormatter;

public class SecurityAuditLogger {

    private static final Logger logger = LoggerFactory.getLogger(
        SecurityAuditLogger.class
    );

    private static final DateTimeFormatter formatter = 
        DateTimeFormatter.ofPattern("yyyy-MM-dd HH:mm:ss.SSS");

    public void logAccess(String username, String ip, String operation, 
                         int slaveId, int register, Object value) {
        String log = String.format(
            "ACCESS | time=%s | user=%s | ip=%s | op=%s | slave=%d | reg=%d | value=%s",
            LocalDateTime.now().format(formatter),
            username, ip, operation, slaveId, register, value
        );
        logger.info(log);
    }

    public void logViolation(String username, String ip, String reason) {
        String log = String.format(
            "VIOLATION | time=%s | user=%s | ip=%s | reason=%s",
            LocalDateTime.now().format(formatter),
            username, ip, reason
        );
        logger.warn(log);
    }

    public void logAttack(String ip, String attackType, String details) {
        String log = String.format(
            "ATTACK | time=%s | ip=%s | type=%s | details=%s",
            LocalDateTime.now().format(formatter),
            ip, attackType, details
        );
        logger.error(log);
    }
}

4.2異常動作の検出

輸入時間の延長
from collections import dict deque

class AnomalyDetector
    ___
        self.request_counts = dict deque =100
        self.thresholds = {
            'requests_per_second' 50
            'failed_auth_per_minutes' 10
            'unique_sl_per_minute' 20
        }

    record_request
        self.request_counts[ip_].append timestamp

    def detect_anomaly self ip_address
        now = time.time
        requests = self. request_counts [ip_]

        #リクエスト頻度の検出
        recent_requests = [t for t in requests if now-t 1.0]
        if len recent_requests self.thresholds ['requests_per_second']
            return 'HIGH_FEN_EST'

        #スキャン動作の検出
        if len recent_requests 100
            return 'POSSIBLE_SCAN'

        リターンなし

    get_bl
        return [ip for ip in self. request_counts] 
                if self. detect_anomaly ip is not None]

4.3リアルタイム監視ダッシュボード

Grafana + Prometheusでのモニタリング
//prometheus.ymlの

al
  scrape_int15s

scrape_s
  - job_name 'modbus-gateway'
    static_configs
      - targets ['192.168.1.50 9090']
    metrics_path '/metrics'

// Node.jsメトリックエクスポート
const client = require 'prom-client';

const modbuss = new.Counter {
  name 'mod_requests_total
  help 'number of requests
  labelNames ['type''slave_id''status']
});

const modbusLatency = new client.Histogram {
  name 'mod_request_ency_sec
  help 'request ency
  labelNames ['type']
  buckets [0.01、0.05、0.1、0.5、1.0]
});

const securityViolations = new client.Counter {
  name 'security_violations_total
  help 'Total number of security violations'
  labelNames ['type''ip_address']
});

五、安全強化チェックリスト

5.1ネットワーク層のチェック

• [ ]産業用ネットワークとオフィス用ネットワークの分離
• [ ]ファイアウォールルールが設定され、有効になっています
• [ ]必要なポートのみを開く
• [ ] VLANを使用した論理分離
• [ ] IDS（侵入検知システム）の導入
• [ ]ネットワークトラフィック監視を有効にする
• [ ]ネットワークデバイスのファームウェアを定期的に更新する

5.2デバイス層のチェック

• [ ]デフォルトパスワードの変更
• [ ]未使用のサービスとポートを無効にする
• [ ]デバイスアクセスログの有効化
• [ ]アクセス制御リストACLの
• [ ]デバイス構成の定期的なバックアップ
• [ ]ファームウェア署名検証を有効にする
• [ ] 物理的なセキュリティ対策

5.3アプリケーション層のチェック

• [ ]認証メカニズムの実装
• [ ]ロールベースのアクセス制御の設定
• [ ]アクション監査ログの有効化
• [ ]機密データの暗号化ストレージ
• [ ] Communicationデータ暗号化転送
• [ ]異常動作検出の実装
• [ ] 定期的なセキュリティ脆弱性スキャン

5.4マネジメントチェック

• [ ]セキュリティポリシーと手順の策定
• [定期的な安全訓練
• [ ]緊急対応計画の策定
• [定期的なセキュリティ監査
• [ ]システムとソフトウェアを最新の状態に保つ
• [ ]変更管理プロセスの確立
• [定期的なペネトレーションテスト

6.実際のケース：セキュアなModbusゲートウェイの実装

6.1システムアーキテクチャ

�������������     ������������     �������������
│ Modbusデバイス   │----│セキュリティゲートウェイ         │----│クライアント       │ │ │
│駅から。      │ │ │     │認証+暗号化+監査│     │メイン駅↓      │ │ │
3-------------------     3----------------------------     3-------------------
                           │ │ │
                           ▼ ▼ ▼
                    �������������
                    │セキュリティログ     │ │ │
                    │監視システム     │ │ │
                    3-------------------

6.2完全な実装コード

from flask import Flask request jsonify
functoolsからのインポートwraps
jwtのインポート
インポート·ログ
datetimeからインポート

app = Flask__name__
app.config ['SECRET_KEY']= 'your-secret-key'

#ログの設定
logging.basicConfig
    level= logging.INFO、
    format =' % asctime s - % name s - % levelname s - % message s'
    ハンドラー =[
        logging.FileHandler 'security_audit.log'
        log.
    ]
)
logger = logging.getLogger 'modbus-security'

# IPホワイトリスト
WHITELISTED_IPS =['192.16 8.1.100''192.16 8.1.101']

#アクセスコントロール
def require_auth f。
    @wraps f
    def decorated *args **kwargs
        token = request.ers.get ization '
        tokenでなければ
            logger.warning f"不正アクセス試行{request.remote_addr}"
            return jsonify {'error''Missing token'} 401

        try
            data = jwt.decode token app.config ['SECRET_KEY'] 
                            algorithms=['HS 256']
            request.user = data
        except jwt.InvalidTokenError
            logger.warning f"无効な{request.ote_}"
            return jsonify {'error''Invalid token'} 401

        if request.remote_addr not in WHITELISTED_IPS
            logger.warning f"IPがホワイトリストにありません{request.ote_}"
            return jsonify {'error''IP not allowed'} 403

        return f * s ** kws
    リターン·デコレイテッド

app.route '/api/mod/readods =[' POST ']
require_auth
def read_register
    データ= request.json
    slave_id = data.get('slave_id')
    register = data.get('register')

    logger.info(f"READ | user={request.user['username']} | "
               f"ip={request.remote_addr} | slave={slave_id} | "
               f"register={register}")

    # 实际 Modbus 读取逻辑
    # value = modbus_client.read_register(slave_id, register)

    return jsonify({'status': 'success', 'value': 0})

@app.route('/api/modbus/write', methods=['POST'])
@require_auth
def write_register():
    data = request.json
    slave_id = data.get('slave_id')
    register = data.get('register')
    value = data.get('value')

    # 检查写权限
    if request.user['role'] == 'operator':
        logger.warning(f"写操作被拒绝：user={request.user['username']}")
        return jsonify({'error': 'Insufficient permissions'}), 403

    logger.info(f"WRITE | user={request.user['username']} | "
               f"ip={request.remote_addr} | slave={slave_id} | "
               f"register={register} | value={value}")

    # 实际 Modbus 写入逻辑
    # modbus_client.write_register(slave_id, register, value)

    return jsonify({'status': 'success'})

if __name__ == '__main__':
    # 使用 HTTPS
    app.run(
        host='0.0.0.0',
        port=502,
        ssl_context=('cert.pem', 'key.pem')
    )

VII.コンプライアンスと基準

7.1関連する安全基準

標準規格は	名前は	適用範囲は
IEC 62443	産業通信ネットワークセキュリティ	産業用オートメーションおよび制御システム
NIST SP 800-82	産業用制御システム安全ガイド	アメリカ合衆国の連邦機関
ISO/IEC 27001	情報セキュリティマネジメントシステム	共通情報セキュリティ
NERC CIP	重要インフラの保護	北アメリカの電力システム

7.2コンプライアンスチェックポイント

1. リスク評価定期的なセキュリティリスクアセスメント
2. アクセス制御最小権限の原則の適用
3. 安全監査の概要少なくとも6 ヶ月間の運用ログの保持
4. インシデント対応セキュリティインシデント対応プロセスの確立
5. 継続的な監視ネットワークと機器のリアルタイム監視
6. 定期テストの実施少なくともyearに1回のペネトレーションテスト

VIII.総括と展望

8.1安全保護の基本原則

1. 深い防御。単一のセキュリティ対策に依存しない多層保護
2. 最小限の権限必要なアクセス権限のみを
3. デフォルトの拒否すべてのアクセスを禁止し、明示的に許可されたトラフィックのみを許可する。
4. 継続的な監視すべてのオペレーションをリアルタイムで監視·監査
5. タイムリーな対応セキュリティインシデントの迅速な検出と対応

8.2今後の動向

1. ゼロトラストアーキテクチャ内部または外部のネットワークを信頼しない
2. AI主導のセキュリティ機械学習を用いた異常挙動の検出
3. ブロックチェーン監査ブロックチェーンを使用してログを不変にする
4. 量子暗号化量子コンピューティングがもたらすセキュリティ課題への対応
5. 自動応答ですセキュリティ脅威の自動分離と修復

8.3行動の提案

直ちに行動する：- すべてのデフォルトパスワードの変更 - ファイアウォールルールの設定 - アクション·ログの有効化 - セキュリティ脆弱性スキャン短期プログラム（1-3 ヶ月）：- ネットワーク分離の実装 - 認証システムの導入 - 安全監視システムの構築 - セキュリティ戦略の策定長期計画（6-12 ヶ月）：- セキュリティコンプライアンス認証取得 - セキュリティ·オペレーション·センター（SOC）の構築 - ゼロトラストアーキテクチャの実装 - 定期的に赤と青の対戦練習

---

付録：セキュリティツールの推奨事項

A.1スキャンツール

• Nmapネットワークスキャンおよびポート検出
• ModbusScanEqualLogic専用Modbusデバイスのスキャン
• WiresharkCelerraネットワーク·プロトコルParse
• MetasploitNetWorkerペネトレーション·テスト·フレームワーク

A.2監視ツール

• SnortCLARiX侵入検知システム
• OSSECホスト侵入検出
• Grafana + Prometheus: 监控仪表板
• ELK StackCLARiXログ分析プラットフォーム

A.3強化ツール

• LynisCLARiXセキュリティ監査ツール
• OpenSCAPCLARiXコンプライアンスチェック
• Fail2banCLARiXの侵入防止
• UFW/iptablesCelerraファイアウォール管理

---

キーワード：keywordsModbusセキュリティ、産業用ネットワークセキュリティ、アクセス制御、データ暗号化、セキュリティ監査、IEC 624 43、侵入検知単語の数約12，000語。