本日お話しすること第一部多様化する IoT のセキュリティ脅威 IoT 機器に感染するウイルスの多様化脆弱性を有する IoT 機器の散在国内に広がる感染被害第二部開発者製造者の対策 IoT 開発におけるセキュリティ設計の手引き開発段階からセキュリティを考慮 ( セキュリティバイデザ

Internet of Things 第15回情報セキュリティEXPO[春] IPAブースプレゼンテーション多様化するIoTのセキュリティ脅威とその対策開発者製造者の対策利用者と運用者の対策 2018年5月 9日水 15:30-15:50 2018年5月11日金 12:00-12:20 独立行政法人情報処理推進機構 IPA 技術本部セキュリティセンター情報セキュリティ技術ラボラトリー博士工学辻宏郷

本日お話しすること第一部多様化する IoT のセキュリティ脅威 IoT 機器に感染するウイルスの多様化脆弱性を有する IoT 機器の散在国内に広がる感染被害第二部開発者製造者の対策 IoT 開発におけるセキュリティ設計の手引き開発段階からセキュリティを考慮 ( セキュリティバイデザイン ) セキュリティ対策の継続的サポート ( 脆弱性対応 S/W 更新 ) 第三部利用者運用者の対策情報セキュリティ 10 大脅威 2018 1 章購入前 / 導入前の事前調査使用開始前の説明書の確認適切な機器設定ネットワーク接続における対策アップデートの実施廃棄時のデータ消去 Copyright 2018 独立行政法人情報処理推進機構 2

多様化する IoT のセキュリティ脅威 IoT に感染するウイルスの多様化 (1/3) IoT 機器の Mirai 等の感染に対抗する Hajime 2016 年 10 月 Mirai 解析用ハニーポットが初めて検出初期ユーザ名 & パスワードで telnet で不正ログインして感染感染後ポート番号 23, 5358, 5555, 7547 の通信を遮断 Mirai やその亜種の感染を防止攻撃の踏み台とせず作成者の善意 (?) の警告メッセージを表示 P2P 通信を用いて遠隔操作 ( 特定の C&C サーバが存在しないためボットネットの解体困難 ) 高度な隠密性 ( 感染機器のファイルシステムから自身を削除実行中プロセスリストからプロセス名を書き換えて自身の存在を隠蔽 ) 2017 年 4 月感染手段の拡張 (TR-064 の脆弱性を悪用 ) 2017 年 9 月感染手段の更なる拡張 ( ポート番号 5358 の telnet) 感染機器台数の増減はあるものの依然としてボットネットを形成 4

多様化する IoT のセキュリティ脅威 IoT に感染するウイルスの多様化 (2/3) IoT 機器を破壊する BrickerBot 第三者への DDoS 攻撃に悪用せず IoT 機器の利用者に直接被害を与えるウイルス 2017 年 3 月ハニーポットが初めて検出初期ユーザ名 & パスワードで telnet で不正ログインして感染感染後設定変更インターネット接続妨害動作速度低下機器上のファイル消去等の致命的な改変を行い最終的に使用不能に 2017 年 4 月米国 Sierra Tel が顧客に配布したモデムを攻撃インターネット接続機能や電話接続機能が失われ修理交換に 2017 年 7 月インド BSNL 社及び MTNL 社が顧客に配布したモデムやルータを攻撃 BSNL 社の 6 万台全顧客の 45% の接続に影響 2017 年 12 月作者 Janit0r はインターネット化学療法プロジェクトの終了を宣言 1,000 万台以上の IoT 機器を攻撃してきたが引退すると表明 5

多様化する IoT のセキュリティ脅威 IoT に感染するウイルスの多様化 (3/3) 続々と登場する Mirai の亜種特定の IoT 機器固有の脆弱性を突いて感染初期パスワードから変更しても防御不能 PERSIRAI 2017 年 4 月発見ポート番号 81 で管理画面にアクセス可能な OEM 生産の IP カメラに感染 IP カメラ侵入後 3 種類の既知の脆弱性 (CVE-2017-8225 他 ) を突いて他の IP カメラを攻撃 Reaper (IoTroop, IoT reaper) 2017 年 10 月発見様々なカメラやルータ等が持つ機種固有の脆弱性を突いて感染 Satori/Okiru 2017 年 12 月報告ポート番号 52869 経由でネットワークコントローラチップ用 SDK の脆弱性 (CVE- 2014-8361) またはポート番号 37215 経由でホームルータの未知の脆弱性 ( CVE-2017-17215) を突いて感染 6

開発者製造者の対策 IoT 開発におけるセキュリティ設計の手引き設計段階からセキュリティを考慮 ( セキュリティバイデザイン ) システムの全体構成の明確化保護すべき情報機能資産の明確化脅威分析保護対象に対する想定脅威の明確化対策検討対策候補の洗い出し脅威被害コスト等を考慮した選定セキュリティ対策の継続的サポート脆弱性対応ソフトウェア更新 8

IoT 開発におけるセキュリティ設計の手引き開発者向けの IoT セキュリティ対策ガイド手引きの内容 IoT の定義と全体像の整理 IoT のセキュリティ設計脅威分析対策の検討脆弱性への対応関連セキュリティガイドの紹介具体的な脅威分析対策検討の実施例 1 デジタルテレビ 2 ヘルスケア機器とクラウドサービス 3 スマートハウス 4 コネクテッドカー IoT セキュリティの根幹を支える暗号技術つながる世界の開発指針との対応 https://www.ipa.go.jp/security/iot/iotguide.html 9

IoT のセキュリティ設計脅威分析と対策検討の実施例 (1/2) 防止したい被害を列挙しそれらの被害を生じさせる攻撃シナリオを洗い出しそのような攻撃を抑止するための対策を検討する例 : ネットワークカメラシステム防止したい被害の例 1. ネットワークカメラの画像を盗み見される 2. ネットワークカメラからの画像を改ざんされる 3. ネットワークカメラの画像を閲覧できなくなる ( 注 ) ネットワークカメラとしての機能は正常動作させつつ第三者への攻撃の踏み台に悪用する攻撃の対策も考慮要 Copyright 2018 独立行政法人情報処理推進機構 10

IoT のセキュリティ設計脅威分析と対策検討の実施例 (2/2) 脅威 1. ネットワークカメラの画像を盗み見される (1) 正規のユーザに成りすましてカメラにアクセスして画像を (a) パスワードが設定されていないカメラの画像を不正閲覧画像閲覧アプリ等を使用してカメラにアクセスする (b) パスワードがデフォルト値のままのカメラの画像を不正画像閲覧アプリ等を使用してデフォルト値のパスワードを入力しカメラにアクセスする対策名ユーザ認証説明書周知徹底ユーザ認証説明書周知徹底対策候補 ( ベストプラクティス ) 備考パスワード未設定を許容しないパスワード設定の必要性を説明書にて注意喚起デフォルト値のままのパスワードを許容しないパスワード変更の必要性を説明書にて注意喚起 (c) 不正入手した判明したパスワードを利用してカメラの画像閲覧アプリ等を使用してパスワードリスト攻撃で不正ログインを試みカメラにアクセスする画像閲覧アプリ等を使用してパスワード辞書攻撃で不正ログインを試みカメラにアクセスするユーザ認証説明書周知徹底ユーザ認証説明書周知徹底一定回数以上のログイン失敗でロックアウトパスワードの使いまわしを説明書にて注意喚起一定回数以上のログイン失敗でロックアウト安易なパスワード利用を説明書にて注意喚起 (2) 正規ユーザが閲覧中のカメラ画像データをネットワーク上でネットワーク上のパケットをキャプチャし画像データ部分を通信路暗号化ネットワーク上転送データの暗号化 (3) 脆弱性を悪用してネットワークカメラ内部に侵入し画像データを脆弱性を突いてカメラ内部に不正アクセスする脆弱性対策脆弱性発生時の早期パッチ提供等カメラ内部の画像データを抽出しカメラの外へ持ち出すデータ暗号化カメラ内部保存データの暗号化 Copyright 2018 独立行政法人情報処理推進機構 11

IoT のセキュリティ設計脆弱性対応 (1/2) 開発段階での対応新たな脆弱性を作り込まない既知の脆弱性を解消する残留している脆弱性を検出解消する製品出荷後の新たな脆弱性の発見に備える運用段階での対応継続的に脆弱性対策情報を収集する脆弱性検出時脆弱性対策情報を作成する脆弱性対策情報をユーザに周知する更新ソフトウェア ( 脆弱性修正版 ) を製品に適用する 12

IoT のセキュリティ設計脆弱性対応 (2/2) 脆弱性対策情報データベース JVN ipedia 約 82,000 件 (2018 年 4 月時点 ) の国内外のソフトウェアの脆弱性対策情報を蓄積既知の脆弱性解消 ( 開発段階 ) 継続的な脆弱性対策情報の収集 ( 運用段階 ) に活用可能 IoT 製品サービス脆弱性対応ガイド 2018 年 3 月 22 日公開 IoT 製品サービスを開発提供している企業の経営者管理者向けガイドセキュリティ対応に対する企業の責任の考え方や脆弱性対策の必要理由を解説 http://jvndb.jvn.jp/ 13

利用者運用者の対策情報セキュリティ 10 大脅威 2018 解説資料 1 章情報セキュリティ 10 大脅威 2018 個人 9 位 IoT 機器の不適切管理 (2017 年 10 位 ) 法人 7 位 IoT 機器の脆弱性の顕在化 (2017 年 8 位 ) 解説資料 2018 年 3 月 30 日公開 1 章情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 IoT 機器の情報セキュリティ対策の基本について解説 https://www.ipa.go.jp/security/vuln/10threats2018.html 15

情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 1 購入前の事前調査セキュリティ機能の確認サポート体制の確認アップデート頻度サポートの終了時期日本語での問い合わせの可否情報の収集手段ウェブページカタログオンラインマニュアル問い合わせ窓口 16

情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 2 マニュアルの熟読 IoT 機器を箱から出したらマニュアルを読むケーブル接続電源投入前に読むマニュアルには大切なことが記載されている利用時の注意事項セキュリティ機能の設定方向簡単なセットアップガイドだけを読んで満足するのは NG 17

情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 3 パスワードの変更 / 設定の見直しセキュアなパスワードに変更初期パスワードの変更適切な設定への見直し初期設定値の見直し不要な機能の無効化セキュリティ機能の設定通信可能な端末の制限利用時通信時のログイン ( 認証 ) 機能自動アップデート 18

情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 4 アップデートの実施 IoT 機器のアップデート購入直後の IoT 機器もアップデートの有無を確認新しいバージョンが公開されたらすぐにアップデート自動更新機能の利用管理用アプリもアップデートサポート終了機器の利用停止脆弱性が発見されてもアップデートが提供されなくなった IoT 機器の利用中止 19

情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 5 使用しないときは電源オフ使用していない IoT 機器は電源を切るウイルス感染や不正な遠隔操作を防止電源オフによる IoT 機器の安定稼働感染したウイルスを駆除可能な場合もある但し再感染防止のためアップデート等の対策実施 20

情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 6 利用終了時 : 廃棄譲渡前の初期化 IoT 機器内には重要情報が存在ログイン用のユーザー名とパスワード位置情報 ( 自宅や個人の行動履歴 ) IoT 機器を廃棄する前に初期化機器に保存されている情報の漏えい防止初期化機能の存在しない機器は破壊も検討転売譲渡時も初期化アプリもアンインストール 21

情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 7 その他の対策 IoT 機器対応セキュリティ機器の導入検討ルーターに接続して通信内容から攻撃を検知防御するセキュリティ機器などセキュリティ機器の継続利用契約期間が存在するセキュリティ機器の契約更新既存の IoT 機器の見直しウイルスに感染してしまったら IoT 機器の初期化 22

おわりに多様化する IoT のセキュリティ脅威 IoT 機器に感染するウイルスの多様化脆弱性を有する IoT 機器の散在国内に広がる感染被害開発者製造者の対策 IoT 開発におけるセキュリティ設計の手引きを題材に開発段階からセキュリティを考慮 ( セキュリティバイデザイン ) セキュリティ対策の継続的サポート ( 脆弱性対応 S/W 更新 ) 利用者運用者の対策情報セキュリティ 10 大脅威 2018 解説資料 1 章情報セキュリティ対策の基本 IoT 機器 ( 情報家電 ) 編 23

参考情報 IPA の Web サイト IoT のセキュリティ IPA の Web サイトにおいて IoT のセキュリティのページを公開中 IoT のセキュリティに関する IPA の取組み参考となる資料等を紹介組込みシステム全般情報家電 / オフィス機器自動車医療機器制御システム https://www.ipa.go.jp/security/iot/index.html 24