Internet of Things（IoT）の脆弱性
IoT の背景
テクノロジーの進歩によりコンピューティング システムは小さく安価になり、消費電力も減っています。こうしたマイクロ コンピュータを日常使用するモノに組み込み、ユビキタスなワイヤレス接続と組み合わることで、「Internet of Things（IoT）」が形成されます。IoT には生活を改善する潜在力がありますが、それを引き出すにはデバイスのセキュリティ リスクを適切に管理する必要があります。
Gartner によれば
、2016 年にはコネクテッド デバイスが世界中で 64 億台使用されており、2020 年には 208 億台に達する見込みです。これは、今後 4 年間で 1 日あたり 1 千万台近くのデバイスが増える計算になります。これに伴い、保護されていないデバイスという潜在的な攻撃対象も桁違いに増えることになります。このようなシステムを導入し、運用の改善や IoT を中心にしたビジネス戦略について決断する際に考慮すべき点は、デバイスの脆弱性と生成データの正確性です。
シスコと Talos は IoT のセキュリティを注視しています。イノベーションによる防御措置の一環として、ベンダーとの協力の下で脆弱性を（悪用される前に）修正することを目指しています。過去の例では、Trane サーモスタットの中でハード コードされたクレデンシャルを特定したことがあります。攻撃者がこれを見つけていれば、リモートからサーモスタットにログインしてデバイスを完全に制御し、そこからローカル ネットワークが偵察・攻撃される危険性がありました。もちろん Talos ではお客様の保護を優先しており、修正パッチがベンダーからリリースされてから脆弱性を公表しました。
セキュアでない IoT デバイスが社内ネットワークに接続されていれば、それは攻撃者の侵入口になります。それがいったん侵害されると、IoT デバイスを介してネットワーク内の情報が収集され、他のシステムが攻撃されることになります。しかしネットワークに接続されたコンピュータとは異なり、IoT デバイスにウイルス対策ソフトウェアやセキュリティ ソフトウェアがインストールされていることはほぼ皆無です。つまり攻撃者は、発見されるリスクがほとんどない状態で、長期にわたって IoT デバイスに潜伏できることになります。
攻撃者はこのようなチャンスをよく認識しています。過去の例では、セキュリティが甘い IoT デバイスを特定して Mirai ボットネットを構築し、史上最大の Denial of Service（DoS）攻撃を仕掛けたこともあります。盗んだコンピューティング能力とセキュアでないデバイスのインターネット接続を利用して、Twitter、Paypal や Spotify などのサービスを丸一日にわたって断続的に中断したのです。また、監視カメラで使用されているデジタル ビデオ レコーダーの脆弱性が突かれたこともあります。自分に不利な監視カメラの映像を消去したのではなく、マルウェアをインストールして処理容量を盗用し、金儲けのためにビットコインのマイニングに当てようとしたのです。
デバイス自体が脆弱な場合だけでなく、IoT デバイスから収集されたデータを使用するシステムを悪用した、巧妙な攻撃が行われることもあります。たとえばイスラエルのある研究チームでは、ニセの IoT デバイスから交通データをスプーフィングすることで、交通情報システムを騙して、存在しない交通渋滞を「作り出せる」ことを発見しました。
物理世界と通じているセキュアでない IoT デバイスは、侵害によって機能を改ざんされる危険性すらあります。たとえばホテルの電子ロックでは、宿泊客が入室する際にカードキーを使用します。しかしカードキーのシステムに脆弱性があれば、ハッキングによりデバイスの通信ポートが悪用され、必要な知識があれば誰でも解錠できてしまいます。
玩具や家庭用品など、従来は考えられなかった分野にまで IoT は拡大しており、その中にネットワーク上の脆弱性が発見される可能性もあります。たとえば接続されたバービー人形をハッカーが侵害して監視の道具にしたり、ベビー モニタの機能を改ざんして、親と子供の様子を盗み見たりすることが可能になります。さらにスマート TV を通じて自分自身が監視されてしまう危険性すらあります。
IoT のセキュリティ問題への取り組みは必須
インフラ構築と IoT デバイスの導入が世界で進む中、今こそ、数十年にわたるインターネットの発展の過程で得た教訓を活かすべき時です。セキュリティの重要性に関する手痛い教訓も同様です。
IoT では、あらゆる場所で多数の安価なデバイスが接続されることが前提になっています。市場が発展する中、デバイスの製造元は可能な限り低価格で供給することを重視しています。調達の過程でセキュリティ要件が重視されることはほぼ皆無です。つまり多くの IoT 製品は、既知の脆弱性を抱えたまま販売されているのです。セキュリティ上の問題を修復する更新プログラムの提供は完全に二の次です。
設計フェーズの早い段階でセキュリティ上の問題を考慮すれば、システムに保護を組み込むことができます。デバイス自体から、ワイヤレス通信、ユーザ インターフェイスや管理インターフェイスに至るまで、IoT システムの各機能には特徴的な弱点が存在しており、それらはよく知られています。同時に、これらの弱点から守る方法もよく知られています。つまり、システムではそれらの弱邸を考慮することが必須です。必要な保護を組み込むことで、耐障害性やセキュリティに優れ、侵害が発生しても大きな損失がなく、侵害を検出して簡単に問題を修復できるシステムが実現します。
セキュリティ上の問題に対処しなければ、それは多大なコストになって返ってきます。電子ロックを設置しても、それがセキュアでなければ誰でもハッキングして開けられるため未施錠も同然です。セキュアでないデバイスを導入して社内ネットワークに接続することは、一晩中オフィスを未施錠のままにして、誰でも忍び込んで好きなものを持っていける機会を与えているのと同じことです。たとえば、ドイツのコネクテッド人形「Cayla」のように、脆弱な IoT 製品が全面的に禁止される場合もあります。
セキュリティ上の問題はさまざまな形で存在しています。1 つの問題を解決するには、まず問題を認識し、原因を特定し、修復または緩和の方法を理解する必要があります。そのときに初めて、適切なセキュリティ戦略を策定できるようになります。
ソフトウェアの脆弱性は、そうした IoT に影響するセキュリティ問題の 1 つです。Talos には、IoT やその他のシステムにおけるソフトウェアの脆弱性を探す専任チームがあります。新たな脆弱性を発見した際は、公開されている責任ある開示ポリシーに従い、問題の修正によりお客様が保護されるよう必要な措置を取ります。ここで発見された事項を共有することで、コミュニティ全体に情報と保護を提供し、IoT のセキュリティ向上にも貢献しています。
IoT を「騙す」
コードを記述した経験や、予算や時間が決められた IT プロジェクトに関わった経験をお持ちであれば、ソフトウェアの作成がいかに難しいかをご存知でしょう。要件を満たすソフトウェアベースのシステムを構築することは、容易ではありません。セキュリティを確保するには、システムが規定の役割を果たすだけでなく、それ以外のことは一切しないようにする必要もあります。
脆弱性はシステムの弱点です。ハッキングなどにより脆弱性が突かれれば、すべきでないことまで実行されてしまう可能性があります。しかし多くの脆弱性は発見されずに隠れています。発見するためには特別な環境が必要になるため、特に精査しようとしない限り見つかることはありません。この脆弱性を攻撃者がひとたび発見すれば、リソースやデータへアクセス可能になり、さらには不正なコードが実行される危険性さえあります。
ソフトウェアが動作する限り、どのシステムにも必ず脆弱性が存在します。その点で、IoT は他のコンピュータとなんら異なるものではありません。しかしセキュリティを要件の一部として継続的に考慮することで、システム設計・開発の初期段階から潜在的な弱点を特定して修正できます。セキュリティ上の問題の発覚が開発プロセスの後期にずれ込むほど、それだけ修正に要するコストは増大します。
最大限の努力を払ったとしても、最終的なシステムには必ず何らかの脆弱性が残ります。責任を持って脆弱性を開示することに加えて、迅速な修正プロセスを推進することで、リスクと損害の可能性を最小化できます。また、ソフトウェア エンジニアのコミュニティが他者の失敗から学ぶ機会にもつながります。
現実世界における IoT のリスク
Talos がたびたび認識している重大な問題の 1 つに、システム内にユーザ名とパスワードがハード コードされている問題があります。それが発見されると、攻撃者はそれらを使用することで（デフォルトのクレデンシャルを共有している）世界中の全デバイスにアクセスできます。たとえば昨年も、まさにこの問題が Trane サーモスタットで発見されています。Talos では Trane と協力して、問題が修正されるよう取り組みました。
IoT システムでは、デバイスを制御し、収集データを処理するための管理インターフェイスが必要です。Talos では最近、LabVIEW によって制御される IoT インストールを攻撃者が制御できる方法を発見しました。また、攻撃者が Aerospike データベースを悪用してプラットフォームを制御する方法も発見しています。
変革すべきこと
人々が問題に気づかなければ、何も変わりません。発見した脆弱性を公開することで、ユーザが自身のセキュリティ要件について考え、追加導入すべきセキュリティ機能を評価するよう促します。それは、パッチによる修復の優先順位付けだけでなく、自動化されたシステム更新が適用された理由を知る上でも役立ちます。セキュリティ上の問題を隠すことは、脆弱性を利用してシステムを攻撃しようと企む攻撃者を除いて誰のメリットにもなりません。
ソフトウェア開発ベンダーは、設計、開発、テストを通して最大限のセキュリティを確保する必要があります。しかし最大限の努力を払ってもハッカーは脆弱性を突いてくるため、システムの更新プログラムは欠かせません。修正プロセスを可能な限り迅速かつ簡単にし（理想的には）自動化することで、新機能が含まれたセキュリティ更新の配信が可能になります。企業と消費者が IoT の利便性と機能の恩恵を真の意味で享受するには、IoT のセキュリティが信頼される必要があります。
システムを保護する
結論は、セキュリティを調達プロセスに組み込むことが重要だ、ということです。脆弱性をどのように発見して解決しているか、ベンダーに確認しましょう。ベンダーの答えが不十分な場合は、製品を購入しないことです。
IoT デバイスが含まれたネットワークはセグメント化しましょう。潜在的な脆弱性のあるサーモスタットを、カスタマー データベースと同じネットワークに接続する必要はありません。ネットワークを分割すれば、デバイスが侵害された場合でも損害が局限されます。
適切なネットワーク セキュリティ対策によって IoT デバイスを保護しましょう。IoT デバイスはコンピュータであり、他のネットワーク機器と同様のセキュリティ対策が必要です。ファイアウォールにより保護し、許可されていないネットワーク接続をブロックします。IDS/IPS システムを使用することで、不正なネットワーク トラフィックがあればブロックし、警告を受け取ります。
システムのパッチを完全に維持する方法、必要なパッチを認識する方法、そしてベンダーがパッチのリリースに積極的でない（あるいはリリースできない）場合に行うべき対策について考えましょう。
管理システムには十分な注意を払いましょう。データベースやダッシュボードは、さまざまなセキュリティ上のリスク、特にユーザ認証やデータ収集の整合性に関するリスクをはらんでいます。1 つのデバイスが侵害されても、データベース全体の漏洩や破壊につながらないことを確認してください。また、機密性の高いシステムへのアクセスにつながり得るクロス サイト スクリプティング（XSS）攻撃に対して、GUI が脆弱でないことを確認する必要もあります。
まとめ
IoT システムは、職場だけでなく私生活にも大きな変化をもたらす可能性を秘めています。IoT によって無駄が軽減し、効率性が向上します。新たな機会と新たに収集されたデータによって、新たな市場が生み出されます。
つまり IoT によって、社会の成長と進歩、そして改善が可能になるのです。ただしその利点が十分に発揮されるには、デバイスの高いセキュリティが不可欠です。私たちは、IoT システムがどのように攻撃され破壊されるのかを知っています。攻撃がもたらす結果や、その攻撃を防御して損害を緩和する方法もわかっています。
システムを導入、購入、提供する者が保護を重視しなければ、IoT システムを損害から守ることはできません。購入者は優れたセキュリティを要求し、製造元は状況の重要性を理解する必要があります。市場にいち早く製品を投入するだけでは不十分です。市場にとって最も安全な存在になる必要もあるのです。私たち全員が高度なセキュリティを要求するようになれば、製造元も安全性を優先するようになります。
本稿は 2017年6月6日に Talos Group
Tags:
