第22回日本インターネットガバナンス会議
Internet Week 2017
IoTセキュリティセッションの論点は何だったのか？

2017.11.30
情報通信研究機構 サイバーセキュリティ研究室
上席研究技術員
久保 正樹

自己紹介
▸ 久保 正樹（くぼ まさき）
▸ 情報通信研究機構 (NICT) サイバーセキュリティ研究所 サイバーセキュリティ研究室▸ Darknet & Livenet 解析チームリーダー▸ 他にも▸ Internet Week 2017 のプログラム委員▸ JPCERT コーディネーションセンター専門委員兼共同研究員

今日のお話▸ 昨日の Internet Week 2017 のセッション「S10 転ばぬ先のIoTセキュリティ〜コウカイする前に知るべきこと〜」の発表を振り返り，IoT セキュリティのキーワードを考えたいと思います．

[今週のニュース] マルウェア感染する IoT 機器の急増▸ 国内でマルウェア感染するIoT機器が急増▸ 約1万8000台（NICT 観測）▸ Miraiの新たな亜種の疑い▸ 感染機器は？
▸ ブロードバンドルータ▸ ネット家電等▸ 感染の原因は？
▸ 機器の部品に存在する脆弱性▸ デフォルトパスワード

NHK NEW WEB の報道（2017年11⽉26）海外（アルゼンチン）でも同時期に感染が拡大
ISPがユーザに配布したルータに脆弱性
・telnet / デフォルトパスワード
・ハードコードされた su パスワード

2017-10-31

脆弱性のPoC（user/password）が公開（推測）
Mirai の亜種にPoCが実装される
360 NetLab による分析レポート
2017-11-22

当該機器が感染．
感染機器からのスキャンを観測

感染したIoT機器からのスキャンスキャン元≒
IPアドレス数の増加

感染機器の増加

11/16ごろから国内の機器感染が急増

11/22ごろからアルゼンチンで感染が急増

事後対応の限界
脆弱性，インシデント
発生状況を共有

調整機関
情報共有

デバイス
メーカー

影響範囲の調査

通信事業者
対策の公表

外部観測組織ISAC
ユーザ

👉 IoT 機器の増加 / 攻撃の多様化
👉 End of Life / End of Support
👉 パッチ適用のスケーリング

誰がどうすれば防げるのか？

IoTセキュリティのプレイヤー

IoTサービスを提供する人

IoTサービスを開発
する人

ユーザ

ISO/IEC CD 30141 Internet of Things Reference Architecture (IoT RA) より

IW IoTセキュリティセッションの講演内容
繋がるデバイスの現在
吉岡 克成 (横浜国⽴⼤学)

知られざるデバイスセキュリティの世界
⾦居 良治 (株式会社FFRI )体系的なIoTセキュリティへの取り組み方
熊⽩ 浩丈 (NRIセキュアテクノロジーズ株式会社)

PSIRTと事後対応の取り組み
島⽥ 康晴 (株式会社アイ・オー・データ機器 )IoTサービスを提供する人

IoTサービスを開発する人

ユーザ

攻撃の実態・攻撃者像の最新動向
吉岡 克成氏 (横浜国立大学)

攻撃する側
▸

IoT マルウェアの侵入方法が多様化▸ 感染原因 No.1 は telnet▸ 攻撃カメラの”のぞき見”▸攻撃規模の拡大▸ 100Gbpsを超えるDDoS攻撃の基盤として感染したIoT機器が悪用される▸

攻撃目的の多様化▸ 広告クリック▸ 有料放送の認証情報の取得▸ 機器の破壊▸攻撃インフラの堅牢化▸ C2サーバ（インフラとして）もIoT
機器▸

攻撃者はこれら全てを把握

守る側▸ IoTのサービス提供者・開発者は攻撃者の実態を知らない▸ 駆除の方法論の検討，情報共有が必要

吉岡氏の講演スライドより

ネットワークカメラ画像無断公開サイト
Insecam(ロシア)
日本はカメ
ラ公開台数第２位(2017/8/31現在)

30

デバイスのセキュリティ
金居 良治氏 (株式会社FFRI )▸ デバイス解析技術が高度化し，機器の脆弱性を見つける土壌が成熟している▸ ファームウェア解析技術が手軽な「道具」に▸ ハードウェア解析の方法論，ノウハウの成熟▸ 対策アプローチの地道な適用以外の道はない▸ プロセス（SDLC）▸ ファジング▸ テスト▸ 脅威分析
▸ アップデート配信の仕組み

金居氏の講演スライドより
FFRI,Inc.

ファームウェア解析に関する問題
ファームウェア解析を支援するツールが年々、整備されており、難易度は下ってきている解説ページなども存在するため、もはやファームウェア解析は容易である前提での製品開発が必要20

IoTセキュリティガイドラインの活用
熊白 浩丈氏 (NRIセキュアテクノロジーズ株式会社)▸ IoT セキュリティガイドラインは策定途上かつ乱立▸ 各ガイドの詳細度，対象読者（運用・管理者，開発者，ユーザ）が異なる▸ 見極めが必要▸ 製品，事業分野に応じて，必要なガイドを組合せて使う「ボトムアップ」的アプローチがおすすめ

熊白氏の講演スライドより２．ITとは異なるセキュリティ対策

例：自社製品がIoTデバイスの場合
米国
CSA

OTA

○

①デバイス

○

②NW

FTC

FBI

○

○

○

○

全領域に配慮されたもの＋詳しいもの・粒度の細かいもの○○○を組み合わせる。

③PF④マネジメント

○

欧州

グローバル

ENISA

GSAMA

OWASP

○
○

○

○

○
○

国内
IEEE

IoT推進
コンソーシアム

○
○

○

○

○

○

○
○

・５つを全部見るのも大変・・・
上記だと「GSMA＋CSAでまずは見てみる」など必要最小限の材料でアプローチしてみる。
© Copyright NRI SecureTechnologies, Ltd. All Rights Reserved. Proprietary & Confidential

無断での引用・転載を禁じます。

PSIRT における製品セキュリティの取組み
島田 康晴氏 (株式会社アイ・オー・データ機器 )▸ 製品を市場に出せば，必ず誰かが脆弱性を見つけ，報告する▸ 外部からの報告に対応できる社内体制（PSIRT）の整備と脆弱性ハンドリングの成熟度の向上▸ ex. 開発部門だけでなく，管理部門，情シス，カスタマーサポートもメンバー▸ 脆弱性を積極的に公表する企業文化島田氏の講演スライドより

この事例のポイント
z 脆弱性情報が公開されたら、できるだけ速やかに脆弱性の内容を把握して、該当する商品がないかの調査を開始します。

z 調査の段階で該当商品が見つかった場合、速やかに調査中の旨の公開を行うことが望ましいです。
z 市場の脆弱性に対する意識の高まりから、時には顧客などからの問い合わせがすぐに届きます。会社としての対応を明示するためにも情報公開は有効です。
z 該当商品の調査を何処まで遡って調査するかは、商品リストのテンプレート化するなどしてあらかじめ決めておくと、楽になります。

28

[まとめ] IoTセキュリティのキーワード▸ 機器の脆弱性対策がIoTセキュリティ実現の鍵▸ 脆弱性の悪用が被害の原因になっている▸ PSIRT（Product Security Incident Response Team）▸ デバイスセキュリティ▸ ガイドラインの活用▸ 製品インシデント対応▸ 脆弱性情報の公表▸ 「対策」をいかに末端の機器にまで届けるか▸ IoT に対する脅威の観測と分析