エフセキュアブログ

by:ミカ・スタルバーグ

スマートホームの安全を保つ方法

 IoT(Internet of Things:モノのインターネット)デバイスは、時間や手間の節約に役立ち、QoL(quality of life)を向上させる。一例を挙げると、スーパーにいるときに自宅の冷蔵庫の中身を確認したり、オーブンを温め始めたりできる。このようにしてお金の節約、不確かさの排除、家族の夕食を準備する時間の節約ができる。このことはすばらしいし、数多くの人々がこうした機能の恩恵を受けるだろう。しかしながら、あらゆる変化がそうであるように、チャンスにはリスクが伴う。特にオンラインセキュリティやプライバシー上のリスクがあるが、こうしたリスクの一部は同時に現実世界にも拡大する。たとえば配管工事のために表玄関のロックを遠隔から解除できるということは、かなりの時間の節約にはなる。しかしクラウドのアカウントをハッキングすれば、ハッカーもまた玄関を開けられるし、おそらく自宅へのアクセス方法を闇市場で売却できるということも意味している。そして、これはなにもハッキングだけに留まらない。こうしたガジェットは家庭や生活で起きていることについてのデータを収集するため、ガジェットそのものがプライバシーに対するリスクを脅かす。

Example of a smart home set up

 上図は一般的なスマートホームの構成と、直面するであろう攻撃の種類を示している。スマートホームは導入が低調で、散在しているため、現時点では標的となっていないものの、既存の技術でどのレイヤーでも攻撃し得る。

 プライバシーやセキュリティについて、非常に心配に思うのであれば、こうしたガジェットを買ったり使ったりしないことが、安全にいるための唯一の方法である。ただ多くの人にとっては、IoTやスマートホームの、時間を省ける利便性というメリットのほうが、プライバシーやセキュリティについて予期される大半のことを凌駕するのだろう。また現時点では、IoTデバイスは広く標的にはなっていないし、標的になる場合でも攻撃者はデバイスの計算能力を狙うだけで、まだデータや家庭は対象になっていない。実際の現在最大のリスクは、こうしたデバイスの製造業者が個人データをどのように扱うかという点にある。結局のところ、盲目的に飛び込むべきではないということだ。リスクを低減するためにできることを以下に挙げる。


・パブリックIPアドレスと、こうしたデバイスとを直接的に接続しない。デバイスのフロントに、ファイアウォールか最低でもNAT(Network Address Translation)ルータを置いて、インターネットからデバイスが発見できないことを確認する。パブリックIPアドレスに対し、デバイスがポートを絶対にオープンできないようにしたいなら、ルータ上のUPnP(Universal Plug and Play)は無効にすること。

・デバイスやサービスのプライバシーおよびセキュリティの設定項目をくまなく見て、不要な設定をすべて削除する。ただ、数多くのデバイスで設定項目が極めて少ないのが現状だ。何かプライバシーに影響することがデバイスにあると考えるなら、不必要な機能は停止しよう。たとえば、スマートテレビやゲーム機で、実際に音声コマンドを使うだろうか?今まで使ったことがないなら、すぐに無効にするといい。後々その機能を試してみたくなったら、いつでも有効に戻せる。

・IoTデバイスのクラウドサービスに登録する際には、強力かつ固有のパスワードを使用し、さらにパスワードを安全に保つ。何者かがどうにかしてパスワードを盗み出したリスクがあると考えるなら、パスワードを変更すること。また、こうしたデバイスはすべて、メールアカウントを通じてパスワードをリセットできるようにしているので、当該メールアカウントに本当に強力なパスワードが付与されて、パスワードが安全に保たれていることを確認するとよい。また使えるところでは2FA(2要素認証)を用いる。今日ではたいていの一般的なメールサービスで提供されている。

・PCやタブレット、携帯電話からマルウェアを取り除いておくこと。マルウェアは頻繁にパスワードを盗む。そのため、スマートホームサービスやそれに結び付いているメールアカウントのパスワードも盗む可能性がある。そうしたパスワードを使うデバイスにはセキュリティソフトウェアをインストールし、最新のセキュリティ修正でソフトウェアを更新する。さらに、これは一例だが、変なスパムメール内のリンクや添付ファイルを絶対にクリックしてはならない。

・自宅玄関にリモートからアクセスできるスマートロックをどうしても用いたいのであれば、注意深く検討しよう。とはいえ、玄関マットや植木鉢の下に鍵を置いておく類の人間だったら、スマートロックのほうがたぶん安全だろう。

・セキュリティカメラや隠しカメラを導入するなら、不要なときはネットワークから切り離す。自宅からクラウドへ定常的に音声を送信するデバイスについても、実際に四六時中使うのでなければ、同様にすることを検討するとよい。大半のIoTデバイスの計算能力はそれほど高くはなく、そのため動画・音声の処理はクラウド上のサーバで行われる傾向にある。このことを思い出そう。

・自宅のWi-Fiで暗号化(できればWPA2)を用いること。強力なWi-Fiパスフレーズを使い、またそのパスフレーズを安全に保つようにする。パスフレーズが無かったり弱かった場合、あるいはWEPのような廃止されたプロトコルを使用している場合、セキュリティの観点からは自宅のWi-Fiはオープンなネットワークとなる。

・喫茶店やショッピングモールやホテルのネットワークなど、オープンなWi-Fiネットワークを使用する際には注意が必要だ。あなたや使用中のアプリケーションが平文でパスワードを送信すると、それが盗まれて中間者攻撃の被害者となり得る。オープンなWi-Fiを使用する際には常にVPNアプリケーションも使うこと。繰り返しになるが、あなたのパスワードが、あなたの身元やあなたのIoTへの鍵となる。

・攻撃ポイントを限定すること。必要になることがないと分かっているデバイスは、導入しない。もはや必要がなく使わないデバイスは、すべてシャットダウンして撤去するとよい。最上位機種の洗濯機を購入したところ、Wi-Fi経由で接続可能なことに気付いたのなら、接続する前に本当にその必要性があるのかを検討する。実際にはオンライン機能をまったく使わないことに気付いたのなら、デバイスをネットワークから切り離すること。

・どのメーカーからデバイスを買うか選定する際に、セキュリティやプライバシーについてメーカーが説明している内容や、プライバシー原則について確認すること。性急に製品を市場に投入して、セキュリティ面でなにか手抜きをしていないだろうか?製造業者があなたのデータを処理する動機としては何があるだろうか?広告主にデータを売っていないか?データの一部でも格納していないか?そして、どこに格納するのか?

・今日のうちにホームルータの設定を確認すること。インターネットに、つまりWANインターフェイスにさらされているサービスについては、無効になっている必要がある。管理者用パスワードは強力で固有なものに変更しなければならない。ルータのDNSの設定が、ISPのDNSサーバか、OpenDNSやGoogle DNSのようなオープンなサービスに向いており、改ざんがされていないことを確認する。

・ルータのファームウェアを最新に保つ。特に製造業者がもはやセキュリティ更新を行わないのであれば、ルータを新しいものに置き換えることを検討する。セキュリティアップデートを行わなかったり、2年後にアップデートをやめるような製造業者からは手を引くことを考える。ホームネットワークのセキュリティはルータから始まり、ルータはインターネットに晒されているのだ。


 上記の行動リストは広範囲に及んでおり、少々偏執的かもしれない。「Webカメラ(のレンズ)に絆創膏を貼る」ように。しかし、IoTへと飛躍を遂げた場合に、どういった類のことを行えば、自分のセキュリティとプライバシーの制御を保てるかというアイデアが得られるはずだ。IoT世界のセキュリティはそれより前の時代と変わらない。セキュリティパッチを適用し不要なサービスを停止することと同様、パスワードはIoTでもやはりとても重要である。

マルウェア作者:エフセキュアに監視させてホフを悩ませるな!

  この間、我々はマルウェア作者たちがチャック・ノリスが大のお気に入りらしいことに気づいた。当然だ。チャック・ノリスは強烈なのだ! 我々はこの状況を慎重にモニタリングし、ノリス氏に対するある種の興味、あるいは敬意を示すマルウェアをいくつか見つけた。

  我々は考え始めた。我々のオートメーションがチャック・ノリスに対する言及を探すことでマルウェアを検出することができるなら、我々は他に何をすることができるだろうか? そして我々は気づいた。デビッド・ハッセルホフへの言及を探す必要がある、と。よく考えれば明白だ!

The Hoff t-shirt
Picture (C) F-Secure Corporation

  確かに、「ホフ」に言及するマルウェアが存在する。

  リモート管理Trojan(RAT)で、クライアントとバックドアからなる「Backdoor:W32/IndSocket.A (a7de748dc32a8edda9e81a201e2a83da8f60bd42)」が一例だ。これは障害の起きたコンピュータ上で、攻撃者が特定のことをするのを可能にする。典型的なのは、プログラムの実行、キーストロークのロギング、ユーザのWindowsデスクトップの壁紙を変更するなどだ。しかし問題もある。攻撃者は、どの壁紙を使うか選べないのだ。攻撃者がリモートTrojanコントロールパネル上で「David Hasselhoff Atach」(原文ママ)ボタンをクリックすると、壁紙が自動的に、戦略的に2匹の子犬が配された「ナイトライダー」の有名な画像に変わる。

indsocket options
Picture (C) F-Secure Corporation

  したがって、あなた自身が壁紙を「ホフ」の写真に変えていないなら、何が起きたか分かるだろう。エフセキュアの「インターネット セキュリティ」には「Anti-Hassle Hoff Technology(TM)」が搭載されていることを知れば、我々のカスタマは安心するに違いない。

クラウドベースのセキュリティを確保する

  クラウドベースのアンチウイルスソリューションは有効だ。ウイルス制作者がこれに反撃しようとしていることから、それが分かる。

  「Backdoor:W32/Bohu.A」について書かれた記事[1] [2] がある。どちらの記事も、検出を避けるため2種類の技術が取り入れられていることを指摘している。すなわち:

  1. ファイルの最後に不要なデータを追加する

  2. アンチウイルスベンダサーバへのアクセスを防止する

  これらは新しい技術ではない。システムが既にBohuに感染している場合、いくつかのアンチウイルスベンダのサーバに対するアクセスがブロックされるというのは本当だ。これは問題だが、クラウドベースのソリューションのみの問題ではない。従来のアンチウイルスのアップデートを防止しようとして、これまで再三、まったく同様の攻撃が行われてきた。

  我々は、たとえマルウェアが攻撃的に邪魔しようとも、クライアントへの接続を保てるテクノロジを生み出そうと、努力し続けている。

Screenshot (46k image)
画像: 「Backdoor:W32/Bohu.A」がデコイとしてインストールするメディアプレイヤーのスクリーンショット

  ファイルの最後にランダムな不要情報を書き込むことは、全ファイルハッシュを変更することにほかならず、それゆえ、全ファイルハッシュに基づいた検出が回避されることになる。しかしそれは、クラウドベースのセキュリティが有効ではないという意味ではない。最新のセキュリティ製品は、ファイルハッシュのみに基づくべきではない、ということなのだ。

  実際、この種の回避メカニズムは、マルウェア側の不利にもなる。たとえば、「エフセキュア ディープガード 3」は、アプリケーションなどのレピュテーションに基づいている。「ディープガード」が非常にまれな何かを検出すれば、それは「不審」なものとみなされる。そのため「ディープガードは」基本的に、末尾にランダムな不要情報が追加されたファイルを検出することができる。それが「不要」な情報であるためだ。

  セキュリティ製品と悪者たちの間のせめぎ合いは続いている。.

新たなAMTSOガイドライン

  エフセキュアも加入している、マルウェア対策製品のテスト標準化団体「Anti-Malware Testing Standards Organization(AMTSO)」が、5月にヘルシンキで会合を行った。同会合で、AMTSOメンバーは2つの新たなガイドラインの発表を承認した。

AMTSO logo

  第1の新ガイドラインは「Whole Product Testing」だ。「Whole Product Testing」の導入は非常に重要な展開だ。これは基本的に、製品の機能をそれぞれテストして、そこからその製品が提供する現実のプロテクションを推論する(「Sum-of-Parts Testing」)のではなく、現実の脅威に対して製品全体をテストすることを意味している。「Whole Product Testing」は、テストをより現実に近づけることで、セキュリティ・ソフトウェアの開発を、ユーザに真の利益を与える方向へと導くものだ。

  エフセキュアは多層防御の強固な信奉者であり、このような「Whole Product」アプローチを歓迎している。セキュリティ製品の大部分のユーザは、自分達のセキュリティ・スイートのどの機能が、自分達を保護しているかということについては、安全が守られている限りは、あまり気にしていない。エフセキュアの製品では、何層かのプロテクションを装備しているし、他社も同様だ。個々のレイヤを個別に評価することは、製品が提供するプロテクション・レベルを評価するための、正しい方法とは言えない。

  「News from the Lab」読者の皆さんならご存知の通り、Webは今日、ナンバー・ワンの感染ベクタだ。ごく典型的な感染のシナリオは、SEO(サーチエンジン最適化)ポイゾニングだろう。これは犯罪者たちがGoogleをあざむき、ユーザがたとえば、現在の出来事などの検索を行った際、自分達のサイトを検索結果の上位に表示させるものだ。このようなシナリオでは、エフセキュアは3層の防御を設置している(画像を参照)。

Defense in Depth

  このような脅威に対するプロテクションをテストするための「Whole Product」アプローチは、以下のように行われる:

   1) ドライブバイダウンロード・エクスプロイトまたはマルウェアにリンクするURLを用意する

   2) 一般ユーザを模して、そのURLをウェブ・ブラウザで閲覧する

   3) 何が起きるかをチェックする。そのマルウェアはシステムに感染するだろうか?


  AMTSOの主要原則の一つに、「テストが公衆を危険にさらしてはならない」というものがある。よって、上記のようなテストを行うテスタは、必要な予防措置(たとえば自分のネットワーク・インフラを整備し、いかなる外部システムもマルウェアにより攻撃を受けないようにするなど)をとらねばならない。

  第2の新ガイドラインは、パフォーマンス・テストに関するものだ。これはスキャン・スピードとリソースの使用に関して触れている。「Whole Product Performance Testing」に関するものではないため、パフォーマンスの個々の側面にややフォーカスしている。これはセキュリティ製品のパフォーマンス面が、どのように評価され得るかについて妥当なアドバイスを提供する。これは特に、そのパフォーマンス・テストが問題の使用事例に対して妥当であるべきであることを強調している。たとえば、感染したファイルをスキャンすることで、スキャン・スピードをテストするのは全く意味をなさない。何故ならば、一般ユーザがスキャンするほとんどのファイルはクリーンだからだ。また、ホーム・ユーザ・テストでは、コンピュータ・ゲームやメディア・プレーヤでのパフォーマンス効果にフォーカスするかもしれないが、企業のファイル・サーバにフォーカスしたテストでは、オンデマンドのスキャン・パフォーマンスにより集中することになるかもしれないのだ。

バックナンバー
セキュリティ関連リンク
セキュリティ機関

政府関連

セキュリティ関連団体

研究機関・大学
詳細カテゴリ
メディア関係者の皆様へ
エフセキュアブログメンバー
エフセキュアブログメンバー
ミッコ・ヒッポネン
エフセキュア CRO(セキュリティ研究所主席研究員)(ヘルシンキ)
(Twitterアカウント)
(研究所Twitter)
ショーン・サリバン
エフセキュア セキュリティ・アドバイザー(ヘルシンキ)
(Twitterアカウント)
高間 剛典
メタ・アソシエイツ代表
(公式ブログ)
(Twitterアカウント)
星澤 裕二
株式会社セキュアブレイン 最高技術責任者
(公式ブログ)
(人物紹介)
岩井 博樹
デロイト トーマツ リスクサービス株式会社 (〜2013年3月 株式会社ラック) 情報セキュリティ大学院大学 客員研究員
(Twitterアカウント)

(人物紹介)
福森 大喜
株式会社サイバーディフェンス研究所 上級分析官
CDI-CIRTメンバー
(人物紹介)
鵜飼 裕司
株式会社FFRI 代表取締役社長
(人物紹介)
福本 佳成
楽天株式会社
執行役員
OWASP Japan
アドバイザリーボード
Rakuten-CERT representative
(人物紹介)
神田 貴雅
エフセキュア株式会社 プロダクトグループ 部長
富安 洋介
エフセキュア株式会社 プロダクトグループ
コーポレートセールスチーム
エフセキュア株式会社
(エフセキュアブログ公式Twitterアカウント)

海外記事翻訳
株式会社イメージズ・アンド・ワーズ
エフセキュアメールマガジン

ブログに載らないメルマガ限定情報や、技術者インタビュー、製品情報、技術解説を掲載して毎月一回配信します。アドレスのみの登録で購読無料。

エフセキュアブログQRコード
QRコード