ここが狙われる！サイバー攻撃のパターン

サイバー攻撃から身を守れ！IoTセキュリティの基礎知識 #5

2020年02月22日テクノロジー

2月1日から3月18日は、政府が定めるサイバーセキュリティ月間。モノとインターネットにつながるIoTの普及により、IoTセキュリティへの関心も高まっている。今回はサイバー攻撃を行う攻撃者の狙いと攻撃パターン、通常のITとIoTのセキュリティの違いを、表と図を用いて解説する。

攻撃者の狙い

これまで、IoTにおけるセキュリティ侵害事例および研究によって攻撃可能性が明らかにされた事例を見てきた。理論的には攻撃が成立するが、コストや危険を冒して実行される価値が低い問題もあるだろう。攻撃者の狙いがわからなければ、あらゆる脆弱性をふさぐ必要が生じて、対策コストも膨大になってしまう。

いくつかの攻撃パターンを表1に示す。Miraiのように、IoTデバイスがボット化されるケースは、同質の機器が大量に出回っているというIoTの特徴をついた攻撃である。各機器の扱う情報の価値は低いので、ユーザーは積極的にセキュリティ対策を施さないという盲点を突いて、大量の機器を動員し、大規模なセキュリティ問題を起こす。自動車のような安全性が重要な機器への攻撃というのも、従来のITセキュリティでは起こらなかった、IoT特有の問題である。データを狙う場合は、スマートメーターの計測値やウェアラブル機器の個人情報などが狙われる可能性があるが、これらの情報は、クラウドに収集されていくので、攻撃者はクラウド上の集積データを狙う方が効率がよいと考えるだろう。それぞれの機器において、守るべき資産や価値は何か、それを攻撃者はどのようにして狙ってくるかを考えることが、IoTセキュリティの第一歩となる。

通常のITセキュリティとIoTセキュリティの違い

サイバーセキュリティの問題は広く認識されるようになり、さまざまな対策が講じられている。たとえば、組織においては、PCにウィルス（マルウェア）検査ソフトを導入、パスワードを更新、PCやUSBメモリの持ち出し・交換禁止、新しいソフトウェアのインストールの制限、2段階認証の導入、怪しいWebサイトの閲覧制限、標的型Eメールに注意喚起などの指導が行われている。同じ対策をIoTにも適用しておしまいにできればよいのだが、ITとIoTにはさまざまな違いがあるために、これらの対策が通用しない。ここでおおまかな違いを表2にまとめておく。

① セキュリティ脅威

ITのセキュリティ攻撃の中心は、機密性を破って情報を盗み出すことであるのに対し、IoTにおいては、機械をDDoS攻撃に参加させることや、機械の動作を不完全にすること、機器を複製・偽造して機器の機能を奪い、なりすますことにある。また、IoTはモノであるから、ハードウェアへの攻撃を考慮する必要がある。ITでは、モノにあたるコンピュータは、家の中やデータセンターに隔離されていて、攻撃者はそれらに手を触れたり盗用したりすることは難しい。

一方のIoTでは、監視カメラは公共の場所に置かれているし、自動車は、公共の駐車場や出入りの多い整備工場に預けられているから、物理的に犯人の手に渡りやすい。モノが攻撃者の手に渡ればプログラムや暗号鍵など中の情報を抜き取られ、抜き取られた情報を使って同じ機器の複製を作り、他のネットワークに繋いでなりすまされる可能性もある。一方、これらの機器に大量の個人情報などが保管されることはなく、機器の制御に関する情報は攻撃者の注意をひくものではないので、これらの情報をねらった犯行は考えにくい。IoTデバイスにおいては、なりすましや機器の動作を阻害する行為に警戒すべきである。

② プラットフォーム

攻撃の対象となる情報機器は、ITにおいては互換性の高い、標準的なPCとWindows、Linuxなどの相互運用性の高いオペレーティングシステムであるが、IoTにおいては、多様なIoTデバイスが対象になる。IoTは、さまざまな種類のプラットフォームで動作している。IoTの中でも計算量が大きなコンポーネントや複雑なプログラムを動かす場合、ネットワークゲートウェイとして働かせる場合などは、x86、x64などのIntelアーキテクチャの上のWindowsやLinuxを搭載する場合がある。この場合は、通常のPCと同じようなセキュリティ脅威の中にある。しかし、多くのIoTでは、x86やx64ではなく、より小型のプロセッサとリアルタイムオペレーティングシステム（RTOS）の組み合わせで実行される。これらのプロセッサは、PCにくらべて貧弱であるが、実世界のさまざまなものを制御するために、実時間処理の性能を重視していることが理由としてあげられる。

さて、このようなプラットフォームは、まず、多種多様であるから、マルウェアを作って攻撃するのは難しい。PCを対象にしたマルウェアは何億種類も発見、収集されているが、それぞれにプログラミングされたわけではなく、細部を変えた亜種が大量に複製された結果である。一つ一つ異なるアーキテクチャのCPUで動作するマルウェアを作成することは容易ではない。

そのため、これらの多様なハードウェア、独自のOSで動作するIoTデバイスは、マルウェア以外の脅威に注目する必要がある。一例としては、平文でのネットワーク通信である。IoTのエンドポイントデバイスは、計算能力が非力であるから、暗号化せず平文のまま通信することがよくある。

③ ネットワークとプロトコル

ネットワークも多様な無線ネットワークが使われるが、デバイスの処理能力が低いために暗号化を施せない場合も多い。IoTで収集された情報は、クラウドに届けられる場合と、近傍にある連携機器と通信する場合がある。エンドポイントデバイスから、上位あるいは並列する機器と通信する場合、有線ネットワークよりも無線ネットワークが使われる。安価なIoTデバイスにとって、有線ネットワークの配線にかかわる線材、配線作業のコストは相対的に大きいからである。プロトコルとしてもMQTTのような軽量なプロトコルが使われる。

④ デバッグポート

デバッグポートとは、開発と保守のために接続するポートで、各種の設定と共にプログラムの書き換えなどができるので危険である。JTAGはプロセッサの内部レジスタにアクセスしたり、メモリを改変したりできる。UARTはOSにログインして内部を調査するコマンドを実行させられる。パスワードを取り出されることもある。

ITは、暗号によって保護されているポートが使われるが、IoTでは、より原始的なポートが平文のまま使われることが多い。たとえばtelnetはパスワードも平文で取り交わす。

⑤ ログイン認証

ITのセキュリティの要は、パスワードによる認証にある。一方、常時接続している監視カメラなどのIoT機器には、ユーザーがログインするという行為がない。IoTデバイスがクラウドに情報を送る場合、デバイスの識別符号を事前共有鍵で暗号化して送信することになる。すなわち、IoTでは人が記憶しているパスワードではなく、機器の中に埋め込まれた事前共有鍵がセキュリティの要になる。

⑥ 攻撃法

サイバーアタックは、ITにおいては悪意のあるWebサイトに誘導したり、不正アクセス、標的型メールなどの方法でマルウェアを注入することが焦点になるが、IoTにおいてはマルウェアではなくデバイスに対する直接的、物理的な攻撃が可能になる点が大きな違いである。MiraiはIoTへのマルウェアであるが、Linuxを対象にしていることから、IT型の攻撃である。

⑦ セキュリティ実行者

今やすべての組織にITは必須であり、そのセキュリティを守ることは組織の責務と認識されている。したがって、組織には、ITセキュリティの担当者が配置され、CSIRT（Cyber Security Incident Response Team）が構成されているケースも多い。これらのセキュリティ担当者は、インターネットから組織に侵入しようとする攻撃を検出し、所属員が組織のネットワークを適切に使うように指導をする。ところが、IoTデバイスで行うことといえば機器を買ってきて、取り付けるだけである。その段階でデフォルトパスワードを付け替える作業さえしなかったためにMiraiの問題が起こった。そのような問題を避けるには、デフォルトパスワードを付け替えなければ、本来の動作が実行できないような仕組みを入れておかなければならない。その強制ができるのは、IoTデバイスの設計者である。

これらのIoTセキュリティの特徴をクラウド、インターネット、フォグ、IoTネットワーク、エンドポイントデバイスの5層の中に示したものが図1である。さらに、ハードウェア、ソフトウェア、システム、制度という軸と、構想、設計から運用に至るIoTシステムのライフサイクルの中で生じてくるセキュリティの特徴を図2に示す。網かけの部分が、特にIoTに特徴的な部分である。ITでは重要な、情報の機密性よりも、デバイスやハードウェアに関する部分の比重が高くなる。
（「IoTセキュリティ技術入門」より抜粋）