IoTは5Gバックボーンのセキュリティ上の懸念を悪化させます

IoTが拡大する5Gインフラストラクチャの使用に移行するにつれて、セキュリティが不十分なIoTデバイスは5Gネットワ​​ークのセキュリティに対する脅威を増大させます。

相互接続性と利便性は、現在多くの人が日常生活に欠かせないと考えている2つのことです。世界の多くはモノのインターネット（IoT）の利便性を期待していますが、一般的に、IoTの基盤となる伝送ネットワークのセキュリティについてはほとんど考慮していません。しかし、今年は138億のアクティブなIoTデバイス接続があり、近い将来、指数関数的にさらに期待されるため、IoTネットワークのセキュリティが最も重要です。

2025年には250億を超えるIoTデバイスが見込まれているため、企業は最小特権の原則をIT担当者に適用するのが賢明です。 （出典：freepik）

世界中のモバイルネットワーク事業者を代表する組織であるGSMアソシエーション（GSMA）によると、IoTデバイスメーカーは依然としてセキュリティを念頭に置いて適切に設計および構築できていません。

さらに悪いことに、GSMAは、ほとんどのデバイスメーカーが、デバイスを保護する方法を十分に理解していないことを示唆しています。安全でないデバイスは、ハッカーに通信ネットワークへの容易なアクセスを提供し、サイバー攻撃の重大なリスクを生み出します。また、ネットワークが拡大するにつれてIoTが5Gの使用に移行するにつれて、安全でないデバイスが5Gネットワ​​ークのセキュリティを脅かします。

IoTのエッジでのセキュリティの欠如は、通信ネットワークプロバイダー、ケーブルサービス、クラウド通信プロバイダーなどの通信サービスプロバイダー（CSP）に重大なセキュリティ負荷をかけます。従来の通信事業者を超えてますます多くのプレーヤーがIoTに参加し、5Gネットワ​​ークを介してIoTデバイスに関与するにつれて、攻撃対象領域は大幅に拡大しています。したがって、CSPは、システムのセキュリティを確保するために追加の対策を講じる必要があります。

CSPのセキュリティ上の懸念の進展

GSMAは、セキュリティランドスケープの毎年のレビューで、モバイル通信業界の8つの主要な脅威と脆弱性の領域を特定しました。

• デバイスとIoT
• クラウドセキュリティ
• 5Gの保護
• シグナリングと相互接続
• サプライチェーン
• ソフトウェアと仮想化
• サイバーおよび運用上のセキュリティ
• セキュリティスキルの不足

特に接続されたデバイスの数が世界の人口をはるかに超えており、2025年までに250億の接続されたIoTデバイスが見込まれているため、デバイスとIoTのセキュリティはGSMAにとって継続的な懸念事項です。その後、デバイスのテクノロジースタックの複雑さが増します。

GSMAは、特に企業が5Gの展開を利用しているため、企業ネットワークと通信ネットワーク間の接続を重要な潜在的な攻撃ベクトルとして識別します。業界の専門家や学者は、米国政府と同様に、5Gのセキュリティリスクをここ数年調査してきました。しかし、5Gが普及するにつれて、攻撃対象領域の拡大について懸念が残ります。 GSMAは、5GCSPが実装する必要のあるさまざまなセキュリティプロトコルを提案しています。

CSPを保護するために推奨される対策の中には、特権アクセス管理があります。適切に実装されたPAMは、ハッカーが悪用しようとする特権とアクセス許可の数を制限することにより、攻撃対象領域を減らします。また、PAMは、人やプロセスが仕事をするのに必要のない権限や権利を削除することを目的としているため、CSPの運用への影響は最小限に抑えられます。

PAMとIAM

多くの読者はIAM（IDおよびアクセス管理）に精通しているかもしれませんが、PAMにはあまり精通していません。そして、それらは共通の目標を共有していますが、範囲と用途が異なります。

限られた数の管理ユーザーが頂点に座り、一般ユーザーがベースを構成するピラミッドを考えてみます。さまざまな反復で、IAMはピラミッド全体をカバーします。ただし、多くのIAMアプリケーションは、ベースのユーザー、つまりシステムに頻繁にアクセスするが管理者権限をほとんどまたはまったく持たないユーザーの権限に焦点を合わせています。一方、PAMはトップ、つまり組織の役割のために最も望ましいターゲットを作成する人に焦点を当てています。

ここでユーザーに言及するとき、それは人間を言うことと同じではないことに注意してください。 IAMおよびPAMの制御は、システム内の人間以外のIDにも適用されます。たとえば、独自のIDを持つ可能性のあるプロセスなどです。

権限とアクセス権のプロビジョニング

組織のユーザーに権限とアクセス許可を割り当てる場合、IT担当者が採用できるアプローチがいくつかあります。まず、最悪の場合、会社のシステムやデータストアへの一般化された幅広いアクセスがあります。事実上、制御はまったくありません。言うまでもなく、このアプローチはリスクが高く、組織に重大な露出をもたらします。しかし、多くの組織は、ユーザーが日常の活動を意図せずに中断させて会社の攻撃対象領域を拡大することを回避するために必要な数よりもはるかに多くのアクセスを許可しています。

慎重な企業は、最小特権、知る必要のあるアクセス、またはその2つの組み合わせの原則を適用します。最小特権は、ユーザーがシステムでどのように機能するかを扱います。知っておくべきことは、彼らがシステムでアクセスできるものに対処します。

最小特権の原則の下で、ユーザーは自分の仕事に必要な権利と許可のみを受け取ります。それ以上でもそれ以下でもありません。組織は、ユーザーが使用することのない領域に対する権限を持たないようにすることで、ユーザーのパフォーマンスに悪影響を与えることなく、不要な脆弱性を排除します。

知っておくべきことは組織のデータに適用されますが、ユーザーが職務を遂行するために直接関連し、必要なデータへのアクセスを制限する制限があります。

最小特権の欠如または知る必要のある制御は、多くの組織で一般的なID関連の脆弱性のほんの一部にすぎません。多くの組織はまだ共有アカウントまたはパスワードを持っているため、アクティビティを監査し、企業のセキュリティポリシーへの準拠を保証する機能が低下します。また、企業は古い未使用のアカウントを持っていることが多く、多くの場合、かなりの特権があり、理想的にはずっと前に削除されていたはずです。また、多くの企業は依然として、ユーザー資格情報の手動または分散型のプロビジョニングと保守に依存しています。

CSPがPAMを使用する理由（および方法）

ユーザーが持つすべての特権とアクセスは、サイバー犯罪者が悪用するユニークな機会を生み出します。したがって、これらの特権とアクセス権を制限することは、すべてのCSPの最大の利益になります。そうすることで、潜在的な攻撃ベクトルを制限し、ハッカーが特定のユーザーのIDを適切に使用した場合に発生する可能性のある被害を最小限に抑えます。ユーザーが持つ権限が少なければ少ないほど、攻撃者が成功するために必要な作業は少なくなります。

特権を制限すると、組織のシステムに損害を与える可能性のある攻撃の種類も制限できます。たとえば、マルウェアの種類によっては、効果的にインストールして実行するために、より高い権限が必要です。ハッカーが非特権ユーザーアカウントを介してマルウェアを挿入しようとすると、壁にぶつかります。

CSPが従うべきベストプラクティスのいくつかを次に示します。

1. 特権管理ポリシーの実装：単一の普遍的に適用可能なIoTセキュリティ標準がないことを考えると、CSPSは、逸脱の機会を排除することによってコンプライアンスを確保する、厳密に定義および監視されたポリシーを必要とします。ポリシーでは、権限と権限のプロビジョニングと管理を誰が制御するか、プロビジョニングの実行方法、および必要に応じて再プロビジョニングまたはプロビジョニング解除のスケジュールを定義する必要があります。さらに、ポリシーでは、パスワード強度、多要素認証の使用、パスワードの有効期限など、パスワードのセキュリティに対処する必要があります。

2. PAMとIAMの集中化：CSPには、アクセス許可とアクセス権のプロビジョニング、メンテナンス、およびプロビジョニング解除のための集中化されたシステムが必要です。高い権限を持つアカウントのインベントリを作成することで、組織が未使用のアカウントをすり抜けてしまうのを防ぐことができます。

3. 最小特権が最小特権を意味することを確認する：ユーザーが特定のタスクを実行するためにヘルプデスクに連絡する必要がある場合、ユーザーはイライラする可能性がありますが、必要以上の権限をユーザーに提供する理由はありません。ほとんどの企業エッジまたはエンドポイントユーザーは、管理者権限やルートディレクトリへのアクセス権を持っている必要はありません。特権ユーザーでさえ、広範なアクセス権を必要としません。ジョブを実行するために絶対に必要なものへのアクセスを制限します。

4. セグメンテーションによるセキュリティの追加：システムとネットワークをセグメント化すると、ハッカーが企業ネットワークに正常に侵入したときに横方向の攻撃を行うのを防ぐことができます。可能な場合は、セグメント間の信頼性ポリシーをゼロにしてセグメンテーションを強化します。

5. パスワードセキュリティのベストプラクティスを適用する：パスワードの衛生状態が悪いことは、多くの組織にとって依然として重大な脆弱性です。強力なパスワード、多要素認証、およびパスワードの有効期限のわずかな不便が、侵害の潜在的に壊滅的な結果から会社を保護することを理解するように従業員をトレーニングすることにより、セキュリティの文化を構築します。

安全なCSPは安全なIoTのバックボーンです

安全なCSPネットワークがなければ、IoTはサイバー犯罪者の遊び場になります。何百万ものエッジデバイスについて心配する前に、CSPセキュリティの専門家は内部を調べて内部システムを可能な限り保護する必要があります。最小特権の原則と特権アクセス管理システムを適用することは、有用な最初のステップです。