本日 お話しすること 第一部多様化する IoT のセキュリティ脅威 IoT 機器に感染するウイルスの多様化 脆弱性を有する IoT 機器の散在 国内に広がる感染被害 第二部開発者 製造者の対策 IoT 開発におけるセキュリティ設計の手引き 開発段階からセキュリティを考慮 ( セキュリティ バイ デザ

Transcription

1 Internet of Things 第15回情報セキュリティEXPO[春] IPAブースプレゼンテーション 多様化するIoTのセキュリティ脅威とその対策 開発者 製造者の対策 利用者と運用者の対策 2018年5月 9日 水 15:30-15: 年5月11日 金 12:00-12:20 独立行政法人情報処理推進機構 IPA 技術本部 セキュリティセンター 情報セキュリティ技術ラボラトリー 博士 工学 辻 宏郷

2 本日 お話しすること 第一部多様化する IoT のセキュリティ脅威 IoT 機器に感染するウイルスの多様化 脆弱性を有する IoT 機器の散在 国内に広がる感染被害 第二部開発者 製造者の対策 IoT 開発におけるセキュリティ設計の手引き 開発段階からセキュリティを考慮 ( セキュリティ バイ デザイン ) セキュリティ対策の継続的サポート ( 脆弱性対応 S/W 更新 ) 第三部利用者 運用者の対策 情報セキュリティ 10 大脅威 章 購入前 / 導入前の事前調査 使用開始前の説明書の確認 適切な機器設定 ネットワーク接続における対策 アップデートの実施 廃棄時のデータ消去 Copyright 2018 独立行政法人情報処理推進機構 2

3 第一部多様化する IoT のセキュリティ脅威 Copyright 2018 独立行政法人情報処理推進機構 3

4 多様化する IoT のセキュリティ脅威 IoT に感染するウイルスの多様化 (1/3) IoT 機器の Mirai 等の感染に対抗する Hajime 2016 年 10 月 Mirai 解析用ハニーポットが初めて検出 初期ユーザ名 & パスワードで telnet で不正ログインして感染 感染後 ポート番号 23, 5358, 5555, 7547 の通信を遮断 Mirai やその亜種の感染を防止 攻撃の踏み台とせず 作成者の善意 (?) の警告メッセージを表示 P2P 通信を用いて遠隔操作 ( 特定の C&C サーバが存在しないため ボットネットの解体困難 ) 高度な隠密性 ( 感染機器のファイルシステムから自身を削除 実行中プロセスリストからプロセス名を書き換えて自身の存在を隠蔽 ) 2017 年 4 月 感染手段の拡張 (TR-064 の脆弱性を悪用 ) 2017 年 9 月 感染手段の更なる拡張 ( ポート番号 5358 の telnet) 感染機器台数の増減はあるものの 依然としてボットネットを形成 4

5 多様化する IoT のセキュリティ脅威 IoT に感染するウイルスの多様化 (2/3) IoT 機器を破壊する BrickerBot 第三者への DDoS 攻撃に悪用せず IoT 機器の利用者に直接被害を与えるウイルス 2017 年 3 月 ハニーポットが初めて検出 初期ユーザ名 & パスワードで telnet で不正ログインして感染 感染後 設定変更 インターネット接続妨害 動作速度低下 機器上のファイル消去等の致命的な改変を行い 最終的に使用不能に 2017 年 4 月 米国 Sierra Tel が顧客に配布したモデムを攻撃 インターネット接続機能や電話接続機能が失われ 修理 交換に 2017 年 7 月 インド BSNL 社及び MTNL 社が顧客に配布したモデムやルータを攻撃 BSNL 社の 6 万台 全顧客の 45% の接続に影響 2017 年 12 月 作者 Janit0r は インターネット化学療法 プロジェクトの終了を宣言 1,000 万台以上の IoT 機器を攻撃してきたが 引退すると表明 5

6 多様化する IoT のセキュリティ脅威 IoT に感染するウイルスの多様化 (3/3) 続々と登場する Mirai の亜種 特定の IoT 機器固有の脆弱性を突いて感染 初期パスワードから変更しても防御不能 PERSIRAI 2017 年 4 月発見 ポート番号 81 で管理画面にアクセス可能な OEM 生産の IP カメラに感染 IP カメラ侵入後 3 種類の既知の脆弱性 (CVE 他 ) を突いて 他の IP カメラを攻撃 Reaper (IoTroop, IoT reaper) 2017 年 10 月発見 様々なカメラやルータ等が持つ 機種固有の脆弱性を突いて感染 Satori/Okiru 2017 年 12 月報告 ポート番号 経由でネットワークコントローラチップ用 SDK の脆弱性 (CVE ) または ポート番号 経由でホームルータの未知の脆弱性 ( CVE ) を突いて感染 6

7 第二部 開発者 製造者の対策 IoT開発におけるセキュリティ設計の手引き Internet of Things Copyright 2018 独立行政法人情報処理推進機構 7

8 開発者 製造者の対策 IoT 開発におけるセキュリティ設計の手引き 設計段階からセキュリティを考慮 ( セキュリティ バイ デザイン ) システムの全体構成の明確化 保護すべき情報 機能 資産の明確化 脅威分析 保護対象に対する想定脅威の明確化 対策検討 対策候補の洗い出し 脅威 被害 コスト等を考慮した選定 セキュリティ対策の継続的サポート 脆弱性対応 ソフトウェア更新 8

9 IoT 開発におけるセキュリティ設計の手引き 開発者向けの IoT セキュリティ対策ガイド 手引きの内容 IoT の定義と全体像の整理 IoT のセキュリティ設計 脅威分析 対策の検討 脆弱性への対応 関連セキュリティガイドの紹介 具体的な脅威分析 対策検討の実施例 1 デジタルテレビ 2 ヘルスケア機器とクラウドサービス 3 スマートハウス 4 コネクテッドカー IoT セキュリティの根幹を支える暗号技術 つながる世界の開発指針 との対応 9

10 IoT のセキュリティ設計脅威分析と対策検討の実施例 (1/2) 防止したい被害を列挙し それらの被害を生じさせる攻撃シナリオを洗い出し そのような攻撃を抑止するための対策を検討する 例 : ネットワークカメラシステム 防止したい被害の例 1. ネットワークカメラの画像を盗み見される 2. ネットワークカメラからの画像を改ざんされる 3. ネットワークカメラの画像を閲覧できなくなる ( 注 ) ネットワークカメラとしての機能は正常動作させつつ 第三者への攻撃の踏み台に悪用する攻撃の対策も考慮要 Copyright 2018 独立行政法人情報処理推進機構 10

11 IoT のセキュリティ設計脅威分析と対策検討の実施例 (2/2) 脅威 1. ネットワークカメラの画像を盗み見される (1) 正規のユーザに成りすましてカメラにアクセスして 画像を (a) パスワードが設定されていないカメラの画像を不正閲覧 画像閲覧アプリ等を使用して カメラにアクセスする (b) パスワードがデフォルト値のままのカメラの画像を不正 画像閲覧アプリ等を使用して デフォルト値のパスワードを入力し カメラにアクセスする 対策名ユーザ認証説明書周知徹底ユーザ認証説明書周知徹底 対策候補 ( ベストプラクティス ) 備考パスワード未設定を許容しない パスワード設定の必要性を説明書にて注意喚起 デフォルト値のままのパスワードを許容しない パスワード変更の必要性を説明書にて注意喚起 (c) 不正入手した 判明したパスワードを利用して カメラの 画像閲覧アプリ等を使用して パスワードリスト攻撃で不正ログインを試み カメラにアクセスする 画像閲覧アプリ等を使用して パスワード辞書攻撃で不正ログインを試み カメラにアクセスする ユーザ認証説明書周知徹底ユーザ認証説明書周知徹底 一定回数以上のログイン失敗でロックアウト パスワードの使いまわしを説明書にて注意喚起 一定回数以上のログイン失敗でロックアウト 安易なパスワード利用を説明書にて注意喚起 (2) 正規ユーザが閲覧中のカメラ画像データを ネットワーク上で ネットワーク上のパケットをキャプチャし 画像データ部分を 通信路暗号化ネットワーク上転送データの暗号化 (3) 脆弱性を悪用してネットワークカメラ内部に侵入し 画像データを 脆弱性を突いて カメラ内部に不正アクセスする 脆弱性対策 脆弱性発生時の早期パッチ提供等 カメラ内部の画像データを抽出し カメラの外へ持ち出す データ暗号化 カメラ内部保存データの暗号化 Copyright 2018 独立行政法人情報処理推進機構 11

12 IoT のセキュリティ設計脆弱性対応 (1/2) 開発段階での対応 新たな脆弱性を作り込まない 既知の脆弱性を解消する 残留している脆弱性を検出 解消する 製品出荷後の新たな脆弱性の発見に備える 運用段階での対応 継続的に脆弱性対策情報を収集する 脆弱性検出時 脆弱性対策情報を作成する 脆弱性対策情報をユーザに周知する 更新ソフトウェア ( 脆弱性修正版 ) を製品に適用する 12

13 IoT のセキュリティ設計脆弱性対応 (2/2) 脆弱性対策情報データベース JVN ipedia 約 82,000 件 (2018 年 4 月時点 ) の国内外のソフトウェアの脆弱性対策情報を蓄積 既知の脆弱性解消 ( 開発段階 ) 継続的な脆弱性対策情報の収集 ( 運用段階 ) に活用可能 IoT 製品 サービス脆弱性対応ガイド 2018 年 3 月 22 日公開 IoT 製品 サービスを開発 提供している企業の経営者 管理者向けガイド セキュリティ対応に対する企業の責任の考え方や脆弱性対策の必要理由を解説 13

14 第三部利用者 運用者の対策 情報セキュリティ 10 大脅威 章 Copyright 2018 独立行政法人情報処理推進機構 14

15 利用者 運用者の対策 情報セキュリティ 10 大脅威 2018 解説資料 1 章 情報セキュリティ 10 大脅威 2018 個人 9 位 IoT 機器の不適切管理 (2017 年 10 位 ) 法人 7 位 IoT 機器の脆弱性の顕在化 (2017 年 8 位 ) 解説資料 2018 年 3 月 30 日公開 1 章情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 IoT 機器の情報セキュリティ対策の基本について解説 15

16 情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 1 購入前の事前調査 セキュリティ機能の確認 サポート体制の確認 アップデート頻度 サポートの終了時期 日本語での問い合わせの可否 情報の収集手段 ウェブページ カタログ オンラインマニュアル 問い合わせ窓口 16

17 情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 2 マニュアルの熟読 IoT 機器を箱から出したらマニュアルを読む ケーブル接続 電源投入前に読む マニュアルには大切なことが記載されている 利用時の注意事項 セキュリティ機能の設定方向 簡単なセットアップガイドだけを読んで満足するのは NG 17

18 情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 3 パスワードの変更 / 設定の見直し セキュアなパスワードに変更 初期パスワードの変更 適切な設定への見直し 初期設定値の見直し 不要な機能の無効化 セキュリティ機能の設定 通信可能な端末の制限 利用時 通信時のログイン ( 認証 ) 機能 自動アップデート 18

19 情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 4 アップデートの実施 IoT 機器のアップデート 購入直後の IoT 機器もアップデートの有無を確認 新しいバージョンが公開されたら すぐにアップデート 自動更新機能の利用 管理用アプリもアップデート サポート終了機器の利用停止 脆弱性が発見されてもアップデートが提供されなくなった IoT 機器の利用中止 19

20 情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 5 使用しないときは電源オフ 使用していない IoT 機器は電源を切る ウイルス感染や不正な遠隔操作を防止 電源オフによる IoT 機器の安定稼働 感染したウイルスを駆除可能な場合もある 但し 再感染防止のため アップデート等の対策実施 20

21 情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 6 利用終了時 : 廃棄 譲渡前の初期化 IoT 機器内には重要情報が存在 ログイン用のユーザー名とパスワード 位置情報 ( 自宅や個人の行動履歴 ) IoT 機器を廃棄する前に初期化 機器に保存されている情報の漏えい防止 初期化機能の存在しない機器は 破壊も検討 転売 譲渡時も初期化 アプリもアンインストール 21

22 情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 7 その他の対策 IoT 機器対応セキュリティ機器の導入検討 ルーターに接続して通信内容から攻撃を検知 防御するセキュリティ機器など セキュリティ機器の継続利用 契約期間が存在するセキュリティ機器の契約更新 既存の IoT 機器の見直し ウイルスに感染してしまったら IoT 機器の初期化 22

23 おわりに 多様化する IoT のセキュリティ脅威 IoT 機器に感染するウイルスの多様化 脆弱性を有する IoT 機器の散在 国内に広がる感染被害 開発者 製造者の対策 IoT 開発におけるセキュリティ設計の手引き を題材に 開発段階からセキュリティを考慮 ( セキュリティ バイ デザイン ) セキュリティ対策の継続的サポート ( 脆弱性対応 S/W 更新 ) 利用者 運用者の対策 情報セキュリティ 10 大脅威 2018 解説資料 1 章情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 23

24 参考情報 IPA の Web サイト IoT のセキュリティ IPA の Web サイトにおいて IoT のセキュリティ のページを公開中 IoT のセキュリティに関する IPA の取組み 参考となる資料等を紹介 組込みシステム全般 情報家電 / オフィス機器 自動車 医療機器 制御システム 24