IoT デバイスセキュリティとは

IoT (Internet of Things) デバイスセキュリティとは、インターネットに接続されるスマート家電、センサー、カメラ、ウェアラブル端末などの機器を、不正アクセスやデータ漏洩から保護するための対策全般を指します。

IoT デバイスは従来の PC やスマートフォンと比べてセキュリティ上の課題が多く、攻撃者にとって格好の標的です。2016 年の Mirai ボットネットは、デフォルトパスワードのまま放置された数十万台の IoT デバイスを乗っ取り、大規模なDDoS 攻撃を実行しました。この事件は IoT セキュリティの重要性を世界に知らしめました。

家庭内のスマートスピーカー、ネットワークカメラ、スマートロック、ロボット掃除機なども IoT デバイスであり、スマートホームプライバシーと密接に関連しています。

IoT デバイスが抱えるセキュリティ上の弱点

デフォルト認証情報: 多くの IoT デバイスは出荷時に「admin/admin」や「admin/password」などの共通パスワードが設定されており、変更しないまま使用されるケースが多い。攻撃者はデフォルト認証情報のデータベースを使って大量のデバイスに自動ログインを試みる。
ファームウェア更新の欠如: PC やスマートフォンと異なり、IoT デバイスは自動更新機能がないか、メーカーのサポートが早期に終了することが多い。脆弱性が発見されても修正パッチが提供されず、永続的にリスクを抱え続ける。
暗号化の不備: コスト削減のために処理能力が限られた IoT デバイスでは、通信の暗号化が省略されていたり、弱い暗号アルゴリズムが使われていたりする。デバイス暗号化が実装されていないデバイスも多い。
広い攻撃面: 不要なポートが開放されている、デバッグ用インターフェースが残っている、Telnet や FTP などの古いプロトコルが有効になっているなど、攻撃面が広い。
物理的アクセス: IoT デバイスは屋外や共有スペースに設置されることがあり、物理的な改ざんやファームウェアの抽出が容易な場合がある。

IoT セキュリティの実践対策

IoT デバイスのセキュリティを強化するために、以下の対策を実施してください。

デフォルトパスワードの即時変更: デバイスを設置したら最初にパスワードを変更する。可能であれば長く複雑なパスワードを設定し、デバイスごとに異なるパスワードを使用する。
ネットワークセグメンテーション: IoT デバイスを PC やスマートフォンとは別のネットワーク (VLAN やゲスト Wi-Fi) に隔離する。IoT デバイスが侵害されても、メインネットワーク上の機密データにアクセスできないようにする。家庭用ルーターでもゲストネットワーク機能を活用できる。
ファームウェアの定期更新: メーカーの Web サイトやアプリで更新通知を確認し、速やかに適用する。自動更新機能がある場合は有効にする。
不要な機能の無効化: UPnP (Universal Plug and Play)、リモートアクセス、使用しないプロトコルは無効にする。UPnP はファイアウォールに穴を開ける原因になる。
購入時の選定基準: セキュリティアップデートのサポート期間を公表しているメーカーの製品を選ぶ。極端に安価な無名メーカーの製品はセキュリティ対策が不十分な傾向がある。

企業における IoT セキュリティ管理

企業環境では家庭よりも多数の IoT デバイスが稼働しており、管理の複雑さが増します。

資産管理: ネットワーク上のすべての IoT デバイスを把握し、台帳で管理する。「シャドー IoT」(IT 部門が把握していないデバイス) は重大なリスク。ネットワークスキャンツールで定期的に未知のデバイスを検出する。
ゼロトラスト適用: IoT デバイスからのアクセスも信頼せず、デバイス認証とアクセス制御を厳格に適用する。デバイス証明書による認証が理想的。
監視とログ: IoT デバイスの通信パターンを監視し、異常な通信 (大量のデータ送信、未知の外部サーバーへの接続) を検知する。SIEM との統合が有効。

産業用 IoT (IIoT) では、工場の制御システムや医療機器など、侵害が物理的な被害につながるデバイスも含まれます。これらのデバイスはインターネットから完全に隔離するか、厳格なアクセス制御を適用する必要があります。

よくある誤解

IoT デバイスは小さいから攻撃者に狙われない: 攻撃者は個々のデバイスではなく、大量のデバイスを一括で狙います。Mirai ボットネットのように、脆弱な IoT デバイスを数十万台規模で乗っ取り、DDoS 攻撃やスパム送信の踏み台にするケースが実際に発生しています。
家庭内ネットワークにあれば IoT デバイスは安全: ルーターの内側にあっても、IoT デバイスがインターネットに接続している限りリスクは存在します。デバイスの脆弱性を突いた攻撃や、同一ネットワーク上の他のデバイスからの横方向の攻撃 (ラテラルムーブメント) が成立する可能性があります。

IoT デバイスセキュリティ