IoTセキュリティ — Perry Leaによる実践ガイド

編集者注：モノのインターネット（IoT）の保護は、各IoTアプリケーション内のデータストリームとソフトウェアの完全性のためだけでなく、それらのアプリケーションに結びついたエンタープライズリソースの完全性のためにも極めて重要です。IoTセキュリティは複雑な問題であり、考えられる脅威と対応する緩和策を理解するための体系的なアプローチを必要とします。

『IoTアーキテクトのためのインターネット・オブ・シングス』第12章で、Perry LeaはIoTセキュリティの核心原則を掘り下げます。この章は複数パートシリーズの一部として提示され、以下を含みます：

• サイバー用語101
• IoTサイバー攻撃の解剖
• 物理およびハードウェアセキュリティ
• 暗号技術
• 重要な暗号機能
• ソフトウェア定義境界とブロックチェーン

『IoTアーキテクトのためのインターネット・オブ・シングス』、Perry Lea著より抜粋。

第12章. IoTセキュリティ

Perry Lea著

サイバーセキュリティ用語

本書の冒頭章では、世界中で数十億台のデバイスが接続され、二桁成長率によってアナログ世界が地球上最大の攻撃対象面に変わるという、IoTの膨大な規模が概説されました。エクスプロイト、マルウェア、悪意あるアクターが、すでに世界規模でビジネス、ネットワーク、生活を混乱させています。アーキテクトとして、私たちはIoTスタックを理解し、センサーからクラウドまであらゆる層にセキュリティを組み込む必要があります。

歴史的に、多くのIoT導入ではセキュリティが事後考慮として扱われてきました。メモリ、処理能力、消費電力の制約により、モダンなPCやWebプラットフォームで見られるエンタープライズグレードの保護を適用することが困難になることがよくあります。この章では、最も破壊的なIoT固有の攻撃をレビューし、物理デバイス、通信プロトコル、ネットワークインフラストラクチャ全体での実用的な対策を概説することで、それらのギャップに対処します。

また、ソフトウェア定義境界やブロックチェーンなどの先進的な概念を探り、2017年米国サイバーセキュリティ改善法とIoTメーカーへの影響についての議論で締めくくります。

攻撃と脅威の用語

以下は、IoTシステムを標的とする最も一般的な攻撃ベクトルの簡潔な用語集です：

• 増幅攻撃：正当なサービス（例：NTP、DNS）を利用して被害者へのトラフィックを増幅。NTPは556倍、DNS増幅は179倍に達する。
• ARPスプーフィング：攻撃者のMACアドレスを正当なIPにリンクする偽造ARPメッセージを送信。
• バナースキャン：ネットワークサービスをプローブし、応答ヘッダーを解析してシステム情報を特定。
• ボットネット：コマンド＆コントロール（C2）サーバーによって調整される、侵害されたIoTデバイスのネットワーク。通常DDoS、スパム、スパイ活動に使用。
• ブルートフォース：認証情報や鍵を網羅的に試行し成功するまで続ける。
• バッファオーバーフロー：割り当てられた境界を超えてメモリを上書きし、悪意のあるコード実行を可能にする—境界チェックのないC/C++コードベースで特に蔓延。
• C2（コマンド＆コントロール）：侵害されたデバイスに指示を出す中央サーバー。
• 相関電力解析攻撃：暗号操作中の消費電力測定を相関させて暗号鍵を抽出。
• 辞書攻撃：事前コンパイルされたユーザー名/パスワードペアのリストを使用して不正アクセスを試みる。
• 分散型サービス妨害（DDoS）：多数のソースからトラフィックを大量送信しターゲットを圧倒。
• ファジング：不正な形式のデータを送信し、デバイスの応答に基づいて脆弱性を発見。
• 中間者攻撃（MITM）：二者間の通信を傍受し、潜在的に改ざんする。
• NOPスレッド：バッファオーバーフロー時に命令ポインターを整列させるためのno-operation命令シーケンス。
• リプレイ攻撃：取得したネットワークパケットを再送信して受信者を欺く。
• リモートコード実行（RCE）：バッファオーバーフローやプロトコルの脆弱性を介して、攻撃者がデバイス上で任意のコードを実行可能にする。

これらの用語を理解することは、進化する脅威ランドスケープに耐えられるレジリエントなIoTシステムを構築するための第一歩です。