IoT組み込みデバイスのセキュリティ対策について

この資料は、急増するIoTデバイスへのサイバー攻撃に対抗するため、開発段階から運用時まで一気通貫でセキュリティを確保する「セキュリティ・バイ・デザイン」の具体的な実現手法を解説したセミナー資料です。

この資料でわかること
• IoTデバイスを狙うサイバー攻撃（ボット化など）の現状と、上流工程での対策の重要性
• ソースコード不要で、ファームウェアのバイナリから脆弱性やガイドライン準拠を自動診断する仕組み
• 運用中のデバイスを、CPU負荷1%未満で未知の脅威からリアルタイムに保護する超軽量エージェントの機能

背景・目的

火災報知機やスマートロック、産業ロボットなど、あらゆる機器がインターネットにつながる「IoT時代」が到来しています。しかし、それに伴いIoTデバイスを狙ったサイバー攻撃も急増しており、攻撃全体の約半数を占めるまでになっています。特に、マルウェア「Mirai（＝デバイスに侵入して乗っ取り、他のサーバーを攻撃する踏み台にするウイルス）」の亜種による被害は今も拡大しています。

こうした脅威に対し、従来の「セーフティ（＝物理的な安全性）」設計だけでなく、企画・設計段階から情報セキュリティを確保する「セキュリティ・バイ・デザイン」の考え方が不可欠となっています。しかし、サプライチェーンの複雑化やオープンソースソフトウェア（OSS）の増加により、手作業での部品管理や脆弱性把握は限界を迎えています。

取り組み・わかったこと

本資料では、IoTデバイス専用のセキュリティプラットフォーム「Vdoo（ビドゥ）」による2つのアプローチを紹介しています。

1つ目は、開発・テスト段階でファームウェア（＝デバイスを制御する内蔵ソフト）のバイナリファイルをアップロードするだけで、わずか30〜60分で自動診断を行う「Vision」です。ソースコードを開示することなく、既知の脆弱性（CVE）や設計上の欠陥、部品構成表（BOM）、さらには日本の経産省やCCDS（＝重要生活機器連携セキュリティ協議会）を含む16種類の国内外ガイドラインへの準拠状況を可視化し、優先すべき修正方法を提示します。

2つ目は、出荷後のデバイスに組み込む超軽量の保護エージェント「ERA」です。CPU使用率1%未満、ストレージ1MB未満という極めて少ないリソースで動作し、ファイル書き換えやメモリ改ざんなどの不審な挙動をリアルタイムに監視・ブロックします。これにより、万が一脆弱性が残ったまま出荷されたデバイスであっても、仮想パッチのように未知の脅威から保護し続けることが可能です。

開発者やPSIRT（＝製品セキュリティ対応チーム）の負担を減らし、安全なIoT製品を迅速に市場へ送り出すための具体的な手法について、詳しくは資料本編（PDF）をご覧ください。