本日お話しすること第一部多様化する IoT のセキュリティ脅威 IoT 機器に感染するウイルスの多様化脆弱性を有する IoT 機器の散在国内に広がる感染被害第二部開発者製造者の対策 IoT 開発におけるセキュリティ設計の手引き開発段階からセキュリティを考慮 ( セキュリティバイデザ

(1)

多様化するIoTのセキュリティ脅威とその対策

～開発者・製造者の対策、利用者と運用者の対策～ 2018年5月 9日（水） 15:30-15:50 2018年5月11日（金） 12:00-12:20

独立行政法人情報処理推進機構（IPA）

技術本部セキュリティセンター

情報セキュリティ技術ラボラトリー

博士（工学）

辻宏郷

第15回情報セキュリティEXPO[春] IPAブースプレゼンテーション

Internet of Things

(2)

本日、お話しすること

2

第一部

多様化するIoTのセキュリティ脅威

・ IoT機器に感染するウイルスの多様化・脆弱性を有するIoT機器の散在、国内に広がる感染被害

第二部

開発者・製造者の対策

「IoT開発におけるセキュリティ設計の手引き」・開発段階からセキュリティを考慮（セキュリティ・バイ・デザイン）・セキュリティ対策の継続的サポート（脆弱性対応、S/W更新）

第三部

利用者・運用者の対策

「情報セキュリティ10大脅威2018」１章・購入前／導入前の事前調査・使用開始前の説明書の確認・適切な機器設定・ネットワーク接続における対策・アップデートの実施・廃棄時のデータ消去

(3)

(4)

多様化するIoTのセキュリティ脅威

IoTに感染するウイルスの多様化 (1/3)

• IoT機器のMirai等の感染に対抗する「Hajime」

– 2016年10月、Mirai解析用ハニーポットが初めて検出 – 初期ユーザ名＆パスワードでtelnetで不正ログインして感染 – 感染後、ポート番号23, 5358, 5555, 7547の通信を遮断 → 「Mirai」やその亜種の感染を防止 – 攻撃の踏み台とせず、作成者の善意（?）の警告メッセージを表示 – P2P通信を用いて遠隔操作（特定のC&Cサーバが存在しないため、ボットネットの解体困難） – 高度な隠密性（感染機器のファイルシステムから自身を削除、実行中プロセスリストからプロセス名を書き換えて自身の存在を隠蔽） – 2017年4月、感染手段の拡張（TR-064の脆弱性を悪用） – 2017年9月、感染手段の更なる拡張（ポート番号5358のtelnet） – 感染機器台数の増減はあるものの、依然としてボットネットを形成 4

(5)

多様化するIoTのセキュリティ脅威

• IoT機器を破壊する「BrickerBot」

– 第三者へのDDoS攻撃に悪用せず、IoT機器の利用者に直接被害を与えるウイルス – 2017年3月、ハニーポットが初めて検出 – 初期ユーザ名＆パスワードでtelnetで不正ログインして感染 – 感染後、設定変更、インターネット接続妨害、動作速度低下、機器上のファイル消去等の致命的な改変を行い、最終的に使用不能に – 2017年4月、米国Sierra Telが顧客に配布したモデムを攻撃。インターネット接続機能や電話接続機能が失われ、修理・交換に – 2017年7月、インドBSNL社及びMTNL社が顧客に配布したモデムやルータを攻撃。BSNL社の6万台、全顧客の45％の接続に影響 – 2017年12月、作者「Janit0r」は、「インターネット化学療法」プロジェクトの終了を宣言。1,000万台以上のIoT機器を攻撃してきたが、引退すると表明 5

(6)

多様化するIoTのセキュリティ脅威

• 続々と登場する「Mirai」の亜種

– 特定のIoT機器固有の脆弱性を突いて感染、初期パスワードから変更しても防御不能 – PERSIRAI • 2017年4月発見 • ポート番号81で管理画面にアクセス可能なOEM生産のIPカメラに感染 • IPカメラ侵入後、3種類の既知の脆弱性（CVE-2017-8225他）を突いて、他のIPカメラを攻撃

– Reaper (IoTroop, IoT reaper)

• 2017年10月発見 • 様々なカメラやルータ等が持つ、機種固有の脆弱性を突いて感染 – Satori／Okiru • 2017年12月報告 • ポート番号52869経由でネットワークコントローラチップ用SDKの脆弱性（CVE-2014-8361）、または、ポート番号37215経由でホームルータの未知の脆弱性（ CVE-2017-17215）を突いて感染 6

(7)

第二部

開発者・製造者の対策

「IoT開発におけるセキュリティ設計の手引き」

(8)

開発者・製造者の対策

「IoT開発におけるセキュリティ設計の手引き」

• 設計段階からセキュリティを考慮

（セキュリティ・バイ・デザイン）

–

システムの

全体構成の明確化

–

保護すべき

情報・機能・資産の明確化

–

「脅威分析」

保護対象に対する

想定脅威の明確化

–

「対策検討」

対策候補の洗い出し

、

脅威・被害・コスト等を考慮した

選定

• セキュリティ対策の継続的サポート

–

脆弱性対応

–

ソフトウェア更新

8

(9)

「IoT開発におけるセキュリティ設計の手引き」

開発者向けのIoTセキュリティ対策ガイド

【手引きの内容】

• IoTの定義と全体像の整理

• IoTのセキュリティ設計

– 脅威分析 – 対策の検討 – 脆弱性への対応 • 関連セキュリティガイドの紹介 • 具体的な脅威分析・対策検討の実施例 ①デジタルテレビ、②ヘルスケア機器とクラウドサービス、 ③スマートハウス、④コネクテッドカー • IoTセキュリティの根幹を支える暗号技術 • 「つながる世界の開発指針」との対応 9 https://www.ipa.go.jp/security/iot/iotguide.html

(10)

IoTのセキュリティ設計

脅威分析と対策検討の実施例 (1/2) 10

• 防止したい被害の例

1. ネットワークカメラの画像を盗み見される 2. ネットワークカメラからの画像を改ざんされる 3. ネットワークカメラの画像を閲覧できなくなる（注）ネットワークカメラとしての機能は正常動作させつつ、第三者への攻撃の踏み台に悪用する攻撃の対策も考慮要。例：ネットワークカメラシステム防止したい被害を列挙し、それらの被害を生じさせる攻撃シナリオを洗い出し、そのような攻撃を抑止するための対策を検討する。

(11)

IoTのセキュリティ設計

脅威分析と対策検討の実施例 (2/2) 11 脅威対策候補（ベストプラクティス）対策名備考１．ネットワークカメラの画像を盗み見される。（１）正規のユーザに成りすましてカメラにアクセスして、画像を… （ａ）パスワードが設定されていないカメラの画像を不正閲覧… 画像閲覧アプリ等を使用して、カメラにアクセスする。ユーザ認証パスワード未設定を許容しない。説明書周知徹底パスワード設定の必要性を説明書にて注意喚起。（ｂ）パスワードがデフォルト値のままのカメラの画像を不正… 画像閲覧アプリ等を使用して、デフォルト値のパスワードを入力し、カメラにアクセスする。ユーザ認証デフォルト値のままのパスワードを許容しない。説明書周知徹底パスワード変更の必要性を説明書にて注意喚起。（ｃ）不正入手した・判明したパスワードを利用して、カメラの… 画像閲覧アプリ等を使用して、パスワードリスト攻撃で不正ログインを試み、カメラにアクセスする。ユーザ認証一定回数以上のログイン失敗でロックアウト。説明書周知徹底パスワードの使いまわしを説明書にて注意喚起。画像閲覧アプリ等を使用して、パスワード辞書攻撃で不正ログインを試み、カメラにアクセスする。ユーザ認証一定回数以上のログイン失敗でロックアウト。説明書周知徹底安易なパスワード利用を説明書にて注意喚起。（２）正規ユーザが閲覧中のカメラ画像データを、ネットワーク上で… ネットワーク上のパケットをキャプチャし、画像データ部分を… 通信路暗号化ネットワーク上転送データの暗号化。（３）脆弱性を悪用してネットワークカメラ内部に侵入し、画像データを… 脆弱性を突いて、カメラ内部に不正アクセスする。脆弱性対策脆弱性発生時の早期パッチ提供等。カメラ内部の画像データを抽出し、カメラの外へ持ち出す。データ暗号化カメラ内部保存データの暗号化。

(12)

IoTのセキュリティ設計

脆弱性対応 (1/2)

• 開発段階での対応

–

新たな脆弱性を作り込まない

–

既知の脆弱性を解消する

–

残留している脆弱性を検出・解消する

–

製品出荷後の新たな脆弱性の発見に備える

• 運用段階での対応

–

継続的に脆弱性対策情報を収集する

–

脆弱性検出時、脆弱性対策情報を作成する

–

脆弱性対策情報をユーザに周知する

–

更新ソフトウェア（脆弱性修正版）を製品に適用する

12

(13)

IoTのセキュリティ設計

脆弱性対応 (2/2)

• 脆弱性対策情報データベース JVN iPedia

–

約82,000件（2018年4月時点）の国内外の

ソフトウェアの脆弱性対策情報を蓄積

• 既知の脆弱性解消（開発段階）、継続的な脆弱性対策情報の収集（運用段階）に活用可能

• 『IoT製品・サービス脆弱性対応ガイド』

–

2018年3月22日公開

• IoT製品・サービスを開発・提供している企業の経営者・管理者向けガイド • セキュリティ対応に対する企業の責任の考え方や脆弱性対策の必要理由を解説 13 http://jvndb.jvn.jp/

(14)

第三部

利用者・運用者の対策

(15)

利用者・運用者の対策

「情報セキュリティ10大脅威 2018」解説資料１章

• 情報セキュリティ10大脅威 2018

–

個人9位「IoT機器の不適切管理」（2017年10位）

–

法人7位「IoT機器の脆弱性の顕在化」（2017年8位）

• 解説資料

–

2018年3月30日公開

–

１章情報セキュリティ対策の基本

IoT機器（情報家電）編 • IoT機器の情報セキュリティ対策の基本について解説 15 https://www.ipa.go.jp/security/vuln/10threats2018.html

(16)

情報セキュリティ対策の基本

IoT機器（情報家電）編

①購入前の事前調査

• セキュリティ機能の確認

• サポート体制の確認

–

アップデート頻度

–

サポートの終了時期

–

日本語での問い合わせの可否

• 情報の収集手段

–

ウェブページ

–

カタログ

–

オンラインマニュアル

–

問い合わせ窓口

16

(17)

情報セキュリティ対策の基本

IoT機器（情報家電）編

②マニュアルの熟読

• IoT機器を箱から出したらマニュアルを読む

–

ケーブル接続、電源投入前に読む

• マニュアルには大切なことが記載されている

–

利用時の注意事項

–

セキュリティ機能の設定方向

• 簡単なセットアップガイドだけを読んで満足する

のはNG

17

(18)

情報セキュリティ対策の基本

IoT機器（情報家電）編

③パスワードの変更／設定の見直し

• セキュアなパスワードに変更

–

初期パスワードの変更

• 適切な設定への見直し

–

初期設定値の見直し

–

不要な機能の無効化

• セキュリティ機能の設定

–

通信可能な端末の制限

–

利用時、通信時の

ログイン（認証）機能

–

自動アップデート

18

(19)

情報セキュリティ対策の基本

IoT機器（情報家電）編

④アップデートの実施

• IoT機器のアップデート

–

購入直後のIoT機器もアップデートの有無を確認

–

新しいバージョンが公開されたら、すぐにアップデート

• 自動更新機能の利用

• 管理用アプリもアップデート

• サポート終了機器の利用停止

–

脆弱性が発見されても

アップデートが提供

されなくなったIoT機器

の利用中止

19

(20)

情報セキュリティ対策の基本

IoT機器（情報家電）編

⑤使用しないときは電源オフ

• 使用していないIoT機器は電源を切る

–

ウイルス感染や不正な遠隔操作を防止

• 電源オフによるIoT機器の安定稼働

–

感染したウイルスを駆除可能な場合もある

–

但し、再感染防止のため、アップデート等の対策実施

20

(21)

情報セキュリティ対策の基本

IoT機器（情報家電）編

⑥利用終了時：廃棄・譲渡前の初期化

• IoT機器内には重要情報が存在

–

ログイン用のユーザー名とパスワード

–

位置情報（自宅や個人の行動履歴）

• IoT機器を廃棄する前に初期化

–

機器に保存されている情報の漏えい防止

–

初期化機能の存在しない機器は、破壊も検討

• 転売・譲渡時も初期化

• アプリも

アンインストール

21

(22)

情報セキュリティ対策の基本

IoT機器（情報家電）編

⑦その他の対策

• IoT機器対応セキュリティ機器の導入検討

–

ルーターに接続して通信内容から攻撃を検知・防御する

セキュリティ機器など

• セキュリティ機器の継続利用

–

契約期間が存在するセキュリティ機器の契約更新

• 既存のIoT機器の見直し

• ウイルスに

感染してしまったら・・・

–

IoT機器の初期化

22

(23)

おわりに

• 多様化するIoTのセキュリティ脅威

– IoT機器に感染するウイルスの多様化 – 脆弱性を有するIoT機器の散在、国内に広がる感染被害

• 開発者・製造者の対策

「IoT開発におけるセキュリティ設計の手引き」を題材に

– 開発段階からセキュリティを考慮（セキュリティ・バイ・デザイン） – セキュリティ対策の継続的サポート（脆弱性対応、S/W更新）

• 利用者・運用者の対策

「情報セキュリティ10大脅威 2018」解説資料

１章情報セキュリティ対策の基本 IoT機器（情報家電）編 23

(24)

参考情報

IPAのWebサイト「IoTのセキュリティ」 24 https://www.ipa.go.jp/security/iot/index.html

多様化するIoTのセキュリティ脅威とその対策

独立行政法人情報処理推進機構（IPA）

技術本部 セキュリティセンター

情報セキュリティ技術ラボラトリー

博士（工学）

辻 宏郷

Internet of Things

本日、お話しすること

第一部

多様化するIoTのセキュリティ脅威

第二部

開発者・製造者の対策

第三部

利用者・運用者の対策

多様化するIoTのセキュリティ脅威

•

IoT機器のMirai等の感染に対抗する「Hajime」

多様化するIoTのセキュリティ脅威

•

IoT機器を破壊する「BrickerBot」

多様化するIoTのセキュリティ脅威

•

続々と登場する「Mirai」の亜種

第二部

開発者・製造者の対策

開発者・製造者の対策

•

設計段階からセキュリティを考慮

（セキュリティ・バイ・デザイン）

–

システムの

全体構成の明確化

–

保護すべき

情報・機能・資産の明確化

–

「脅威分析」

保護対象に対する

想定脅威の明確化

–

「対策検討」

対策候補の洗い出し

、

脅威・被害・コスト等を考慮した

選定

•

セキュリティ対策の継続的サポート

–

脆弱性対応

–

ソフトウェア更新

「IoT開発におけるセキュリティ設計の手引き」

【手引きの内容】

•

IoTのセキュリティ設計

IoTのセキュリティ設計

•

防止したい被害の例

IoTのセキュリティ設計

IoTのセキュリティ設計

•

開発段階での対応

–

新たな脆弱性を作り込まない

–

既知の脆弱性を解消する

–

残留している脆弱性を検出・解消する

–

製品出荷後の新たな脆弱性の発見に備える

•

運用段階での対応

–

継続的に脆弱性対策情報を収集する

–

脆弱性検出時、脆弱性対策情報を作成する

–

脆弱性対策情報をユーザに周知する

–

更新ソフトウェア（脆弱性修正版）を製品に適用する

技術本部セキュリティセンター

辻宏郷

個人9位「IoT機器の不適切管理」（2017年10位）

法人7位「IoT機器の脆弱性の顕在化」（2017年8位）

１章情報セキュリティ対策の基本