Day13. セキュリティエンジニアと考える、IoTにおけるセキュリティ
※ひとりでIoTまるっとチュートリアル Advent Calendar 2018
13日目の記事です。まだ登録していない方はこの機会によろしくおねがいします！
さて、Day12では、セキュリティの考え方について学びました。非専門家にとって曖昧に見えるセキュリティが少しはクリアになったかと思います。
Day13では、実際にIoTにおいて、どういった脅威が考えられるか、そして守っていくにはどうすればいいかを考えていきます。Day12で学んだ、STRIDEモデルやリスク分析の考え方を使いながら紐解いていきましょう。
IoT全体像
ここで、Day1でお話したIoTの全体像を振り返ってみましょう。
IoTはITの総合格闘技というだけあって、総合的に防御をしなければいけません。ざっと挙げるだけでも、こんなに！
今回はこの図の詳細を、下記に分けて説明していきます。
☑ センサ・送信機部
☑ ゲートウェイ部
☑ クラウド・インフラ部
☑ フロントエンド部
インターネット上からのアクセスが極めてし辛い状況にあるため、脅威という点ではそこまで大きくはありません。しかし、ローカル通信のハックや機器を置き換えるなど、物理的な脅威に対しては考慮する余地があります。
・[S]センサ情報をごまかす
・[S]送信機を偽のものに置き換える(物理的に)
・[T]シリアル通信をハイジャックする
・[T]物理的にセンサで取っている情報をごまかす
また、工場で言えば、内部からの脅威 (Insider Thread)も考えなければいけません。作業員が他社に横流しにしたり、あるいは何も知らない作業員に悪い人が接触し、知らず知らずのうちに情報を悪い人に流してしまう。なんてことも考えられます。防ぐためには、社内のセキュリティ教育が必要です。
ゲートウェイ部
インターネットにつながる部分でもあり、データもたくさん集まっている。また、機器自体が複雑で脆弱性が眠っていることもあり、資産・脅威・染着性どれをとっても高ポイントなため、リスクはかなりでかいです。IoTシステムを構築する際は、ゲートウェイ部のセキュリティには十分注意しなければいけません。
脅威としては以下のようなものがあります。
・[I] マルウェア感染 (Exploitによって): 情報漏えい
・[I] 盗聴
・[T]クラウド間の通信の中間者攻撃(盗聴+改ざん)
・[D] DDoS攻撃
・[D]ランサムウェア
怖いのがマルウェア感染です。（内容について書く）
クラウド・インフラ部
ゲートウェイと同じように、あるいはそれ以上に狙われやすいのがこのクラウド・インフラ部でしょう。クラウドベンダからシステムを借りて構築している場合、どのような対処をすればよいのでしょうか。
AWSでは、これを明確にするため、責任共有モデルというのを公表しています。AWSが責任を追うべき範囲、サービス利用者側が責任を追うべき範囲はこれで明確になっているので、利用者は必ず読んでおきましょう。
例えば、クラウドは、このような危険性を孕んでいます。
[S] サイドチャネル：同一物理マシン内で、別のインスタンスを覗き込む。メモリ上に鍵とかが乗っていると、盗まれる可能性がある。
[S] 脆弱性 :例えばクラウドベンダがVmwareを使っていたとすると、そこに脆弱性が見つかり、狙われることもある。
このような問題に対しては、AWSの領域であると定められているため、AWS側が責任を持って対処してくれます。我々サービス利用者は、その他のセキュリティに注力しましょう。
また、クラウドのセキュリティに関して、かなり狙われやすいのが、ゲートウェイ・クラウド間の通信です。通信暗号化や仮想ネットワーク閉域網(Virtual Private Network)構築などの手段がありますが、基本的にはVPNのほうが安全です。両者の違いを見てみましょう。
☑ 閉域網(VPN)
・VPNがきちんと張れていれば、盗聴や中間者攻撃は難しい(マルウェアぐらいの自由度がないと難しくなる。)
・パケットをまるごと暗号化して送る。送り先でしか解けない。
・つなぎはじめに鍵交換を行うだけで良い
(PWや証明書ベースなら、やっていないかも)
☑ HTTPS通信
・コンテンツ(ペイロード)の暗号化。
・どこと何の通信をしているかは見える。
1セッションごとに鍵交換(鍵を盗まれる危険性がある)
フロントエンド部
フロントエンドは、昔から攻撃の温床になる箇所です。特徴としては、サーバ提供者だけではなく、エンドユーザが攻撃を喰らうパターンが考えられるというところです。
・[I,T]SQLインジェクション(DBにアクセス)
・[I]クロスサイトスクリプティング(XSS)
・[I]セッションハイジャック
・[D]DoS
・通信量の大きいものを送り続ける
・Slow Read DoS ： セッション数を専有して、他アクセスを不能にする
この分野に関しては、IoTに限らず昔から攻防が繰り広げられているので、様々な人が解説書を出しています。2018年に出た通称「徳丸本」は、代表的な攻撃と守り方が網羅されているので、webアプリケーションを作る方は一読の価値アリです！
面白かったIoTセキュリティ関係の最新研究
imaimai : どういうところにどんな危険が孕んでいるか、具体的に理解できました。ありがとうございます！最後に、最近のIoTのセキュリティ関連で面白かった話題ってありますか？
最近おもしろいなと思ったのは2つあります。
一つは、IoTデータを元にした新しいセキュリティです。外から取れる情報を元に、コンピュータが正常に動いているかどうかを判断するというものです。例えば、異常な操作をしていると、CPUの温度は上昇しますよね。温度や電力を取って、変な操作が走っていないか物理量を見る。という研究がなされています。この技術のいいところは、追加でソフトウェアのインストールがいらない。ところにあります。モニタリングの延長線上ですね。
もう一つは、世界中のIoT機器の情報を集積するという取り組みです。 SHODANを知っていますか？
世界中をスキャンして、機器・PWなどの情報を集めています。インターネットはもちろんオープンな場なので、スキャンすればIPアドレスが晒されます。
imaimai : 中には恐ろしそうなカテゴリもありますね...!
まとめ
いかがでしたか？
IoTサービスにはたくさんのリスクがありますが、きちんとリスクを分析し、脅威を洗い出すことで、対策を打つことが可能です。
セキュリティ・コンサルタントの方が以前「セキュリティは出費と捉えるより、投資と捉えたほうがいい。将来のリスクに対する潜在的な価値損失を抑えなければいけない」と言っていました。正しいセキュリティ知識を身に着け、適切な運用をしていきたいものです。
さて、明日はSORACOMのお話をします。創業わずか数年でKDDIに200億円でバイアウトした企業。SORACOMなら、今日話した、VPNやHTTPSもSIMレベルで解決できます。IoTサービスを提供する身としては「かゆいところに手が届く」というのがピッタリの会社、その理由とSORACOMから学ぶモノについて書いていきたいと思います。ではではっ
前の日 : セキュリティエンジニアに聞く、「セキュリティの勘所」
後の日 : SORACOMのすごさと、私がSORACOMを好きな理由
サポートいただけると励みになります！ よろしくおねがいします！！