【テクニカル・上級編】 BACnetプロトコル（ポート47808/UDP）を標的としたビル管理システムへのマルウェア感染拡大 – サイバーセキュリティとプライバシー保護実践ガイド

ビル管理システム（BMS）の急所：BACnet（UDP 47808）を狙うサイバー・キルチェーンと、境界防御の極限最適化

オフィスの快適な室温、自動で稼働する空調、そして厳重に管理されているはずのセキュリティゲート。私たちが何気なく過ごしているスマートビルディングの裏側では、IT（情報技術）とOT（制御技術）の境界線上で、常に静かなる攻防が繰り広げられています。

近年の標的型攻撃やランサムウェアの傾向を見ていると、サイバー犯罪者たちはもはや企業の基幹系サーバーやクラウド環境だけを狙っているわけではありません。彼らが新たな「柔らかい標的（Soft Target）」として目を付けているのが、ビルオートメーションの標準規格である BACnet（Building Automation and Control networks） です。

特に、UDPポート 47808 を用いたネットワークトポロジーの脆弱性や、プロトコル自体が持つ「認証の欠落」は、ITネットワークを踏み台にした攻撃者にとって、OTネットワーク（制御システム）へ侵入するための最高の踏み台となります。

今回は、ネットワークパケットの深層からLinuxカーネルのチューニング、そしてゼロトラストに基づく実践的な防御策まで、生粋のネットワークエンジニアが執筆するつもりで徹底的に紐解いていきましょう。

—

1. 現場の現実：なぜBACnet/IPは狙われるのか

BACnetは、ASHRAE（米国暖房冷房空調学会）によって策定された、異なるメーカーの空調・照明・防災機器を相互接続するためのオープンプロトコルです。歴史的背景もあり、このプロトコルは「同一セグメント内の機器はすべて信頼できる」という性善説（Implicit Trust）に基づいて設計されています。

標準では、BACnet/IPは UDPポート 47808（0xBAC0） を使用し、ネットワーク内のデバイスを発見（Discovery）するためにブロードキャストやマルチキャストを多用します。

[ITネットワーク (例: 192.168.10.0/24)]
  │ (感染PC / シャドーIT)
  ▼
[境界ルーター / ファイアウォール] ※UDP 47808がスルー設定またはミスコンフィグ
  │
  ▼
[OTネットワーク (BACnet/IPセグメント: 10.20.30.0/24)]
  ├─ 0xBAC0 (UDP 47808) ──> [空調コントローラー (認証なしでコマンド受付)]
  └─ 0xBAC0 (UDP 47808) ──> [BMSサーバー (ランサムウェア暗号化の標的)]

攻撃者は、フィッシングメール等で企業のITネットワーク内のPCをまず陥落させます。その後、内部ネットワークスキャンを行い、UDP 47808 が空いているルーターのミスコンフィグや、IT/OT間を繋ぐ不適切なブリッジ（VPNやフラットなLAN配線）を発見します。

ここからが彼らの真骨頂です。BACnetには強力な暗号化やセッション管理が標準で組み込まれていないため（※拡張規格であるBACnet/SCへの移行はまだ道半ばです）、ネットワーク内に侵入したマルウェアは、単純な Who-Is ブロードキャストパケットを投げるだけで、セグメント内のすべてのコントローラーのIPアドレスとデバイスIDを秒速で把握できてしまうのです。

—

2. パケットレベルで見る攻撃ベクトルの内部挙動

実際に、攻撃者がどのようにBACnetプロトコルを悪用してOT側へ侵入し、システムを乗っ取るのか。そのパケットの振る舞いを分解してみましょう。

デバイスディスカバリー（Who-Is / I-Am）の悪用

攻撃者のスクリプトやカスタムマルウェアは、まずターゲットのサブネットに向けて Who-Is サービス要求をブロードキャスト（またはユニキャスト）します。

  • APDU (Application Protocol Data Unit) レイヤーにおいて、サービス選択は Unconfirmed-Request の Who-Is（タグID: 8）として送信されます。
  • これに対し、ビル内の何百ものコントローラー（VAVボックス、AHUコントローラーなど）が一斉に I-Am パケットを返信します。これで攻撃者は、どのIPアドレスにどのような制御機器が存在するかを完全にマッピング完了します。

認証バイパスとコマンドインジェクション

機器の物理的アセットを特定したマルウェアは、次に Write-Property サービス（サービスID: 15）や Atomic-Write-File などを悪用し、コントローラーの不揮発性メモリ（フラッシュROM）に不正なファームウェアを書き込んだり、温度や圧力のしきい値を意図的に異常値へ書き換えたりします。

これにより、物理的な設備破損（ボイラーの空焚きや冷凍機の過負荷運転など）を引き起こす物理攻撃、あるいはBMSサーバー自体のOSをランサムウェアで暗号化し、身代金を要求するインシデントへと発展します。

—

3. パフォーマンスとセキュリティのジレンマ：トランスポート層の最適化

インフラアーキテクトにとって悩ましいのは、BMSネットワークが「リアルタイム性」と「低遅延（低RTT）」を極限まで求められる点です。空調制御などはミリ秒単位の応答遅延が命取りになることがあり、過剰なセキュリティアプライアンスの導入や重い暗号化処理が、パケットドロップやジッター（ゆらぎ）を引き起こす原因になります。

ここで、Linuxカーネルレベルでのネットワークスタックのチューニングと、セキュリティを両立させるアプローチを見ていきます。

LinuxカーネルのUDPバッファチューニング（sysctl設定）

大量のBACnetブロードキャストやポーリングが飛び交うBMSゲートウェイサーバー（Linuxベース）では、カーネルのUDP受信バッファ溢れ（パケットロス）を防ぐために、/etc/sysctl.conf を適切にチューニングする必要があります。

# /etc/sysctl.conf - BMSゲートウェイ向けネットワーク最適化設定

# UDP受信/送信バッファの最大値を拡張（デフォルトの数倍に設定）
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216

# ソケットごとのデフォルトバッファサイズ
net.core.rmem_default = 262144
net.core.wmem_default = 262144

# ブロードキャストトラフィック処理時のSYN/UDPドロップを防ぐためのバックログ拡張
net.core.netdev_max_backlog = 10000

# パケット処理の効率化（ソフトIRQの負荷分散）
# ※マルチコア環境で割り込みを分散させ、RTTを最小化する

この設定により、突発的な大量の Who-Is リクエストやセンサーからのデータストリームを受け取った際も、カーネル空間でのドロップを最小限に抑え、リアルタイム制御の応答性を維持できます。

—

4. 実戦で使える防御策：IT/OT境界の要塞化とBACnet/SCへの移行

「じゃあ、古いBACnet機器をすべて買い換えるのか？」という現実的ではない疑問が湧いてきますが、答えはノーです。既存のレガシーなBACnet/IP環境を保護しつつ、次世代のセキュリティ基準へ移行するための現実解を提示します。

1. ステートフル・ファイアウォールによるUDP 47808の厳格な制限

大原則として、ITネットワークからOTネットワークへ向かうトラフィックにおいて、UDPポート 47808 の無条件な通過は絶対に禁止します。ファイアウォール（または次世代FW）では、正当なBMS管理サーバーからの通信以外をすべてドロップするようにアクセスリスト（ACL）を絞り込みます。

2. Linux iptables / nftables によるホストベースのマイクロセグメンテーション

もしBMSサーバーやプロキシゲートウェイがLinuxで稼働している場合、以下のように nftables を用いて、許可されたマネジメントIP以外からのBACnetトラフィックを完全に遮断します。

# /etc/nftables.conf の設定例
table inet bms_filter {
    chain input {
        type filter hook input priority filter; policy drop;

        # ループバックと確立済みセッションの許可
        iif "lo" accept
        ct state {established, related} accept

        # 指定された管理端末からのSSH等管理トラフィックのみ許可
        ip saddr 192.168.100.50 tcp dport 22 accept

        # 許可されたOTセグメントからのBACnet/IP (UDP 47808) のみ受け入れ
        ip saddr 10.20.30.0/24 udp dport 47808 accept

        # その他すべてのUDP 47808トラフィックをログに記録してドロップ
        udp dport 47808 log prefix "BACnet-Attack-Attempt: " drop
    }
}

3. 次世代規格「BACnet/SC (Secure Connect)」へのロードマップ策定

長期的な根本解決策は、従来の平文かつUDPベースのBACnet/IPから、BACnet/SCへの移行です。
BACnet/SCは、WebSocketをベーストランスポートとして採用し、TLS 1.3による相互認証（Mutual TLS: mTLS）を標準実装しています。これにより、以下のようなアーキテクチャ上の安全性が確保されます。

  • 暗号化の強制: すべての制御コマンドとデータがTLS 1.3で暗号化され、パケットスニッフィングや改ざんが無効化されます。
  • 証明書ベースのデバイス認証: ネットワークに参加するすべてのデバイス（コントローラー、サーバー）がデジタル証明書を所持し、未知の不正デバイスやマルウェア化された端末の接続を拒絶します。
  • NAT越えとファイアウォール親和性: 従来のブロードキャスト依存から、ハブ＆スポーク型のWebSocket接続に切り替わるため、セキュアなファイアウォールポリシー（TCP 443などの既存のアウトバウンドポートの利用）に統合しやすくなります。

—

5. まとめ

ビル管理システム（BMS）へのマルウェア感染は、もはやSFや絵空事ではなく、インフラを揺るがすリアルな脅威です。BACnetプロトコルが持つ歴史的な「信頼の構造」は、現代のサイバー犯罪者にとっては格好の侵入経路となっています。

インフラアーキテクトやテックリードに求められるのは、単に「ベンダーの言う通りに機器を設置する」ことではなく、パケットの挙動を見極め、カーネルレベルのチューニングでパフォーマンスを担保しつつ、ネットワークの境界防御とゼロトラスト原則（「誰も信頼せず、すべてを検証する」）をOT環境にまで泥臭く適用していくことです。

あなたの管理するビルネットワークは、今この瞬間も、ポート 47808 からの静かなる侵入者を完璧に遮断できていますか？ 今一度、ルーティングテーブルとファイアウォールのログを確認する夜を作ってみても良いかもしれません。

スポンサーリンク

コメント

タイトルとURLをコピーしました