ここから本文です
研究室
情報セキュリティ研究室

情報セキュリティ研究室

IoTセキュリティフォーラム2015聴講報告

IoTセキュリティフォーラム2015聴講報告

【主催】横浜国立大学先端科学高等研究院,インプレス

【会場】Sola City Hall(東京都御茶ノ水)

【会期】2015年9月30日

【報告者】九州大学大学院システム情報科学府 フォン助教,ISIT松本研究員

【概要】
■オープニング基調講演”我が国のサイバーセキュリティ戦略について” NISC参事官 三角 育生氏

講演は,最近起きた年金機構の情報漏洩インシデントについての解説に続き,サイバーセキュリティ戦略本部の解説,新しい「サイバーセキュリティ戦略」の骨子について述べられた.セキュリティ人材育成については,人材の質的/量的不足について具体的な数字で説明された点が興味深かった.

■特別協賛講演”IoT時代のセキュリティモデル「Adaptive Trust」”Aruba Networks佐藤 重雄氏

無線LAN機器大手Aruba Networksの進めるセキュリティ対策の紹介であり,セキュリティ対策アーキテクチャRed-Black Separation(
信頼の分岐点をデータの発生源に可能な限り近づける)が紹介された.説明中,野良APへの接続対策手法(Deauthメッセージをforgeする)が興味深かった.

■特別講演”IoTセキュリティの全体像とその整理”IPA中野 学氏

IoT時代のセキュリティの在り方について,既に報告されている事例(人体シミュレータマネキンの脆弱性,スマートライフルの脆弱性)を例にした説明.次にIPAの進めるセキュリティ検討手法と対策コンテンツが紹介された.

■”繋がるクルマ ITSにおけるセキュリティの運用管理について” ITSサービス高度化機構若宮 正洋氏

自動車のセキュリティを考える上で,運用管理機関とエンティティ(役割主体)の関係を明らかにすることは(情報セキュリティより)重要となる.講演ではその検討のためのユースケースを示し,これらを実現するITSシステムと,本格的な導入が進められようとしているETC2.0サービスが紹介された.

■”IoTの現場で利用されるオープンソースの脆弱性とその対策”OGIS総研吉井 雅人氏

OSS(Open Source Software)は現在多くの製品に採用されているが,IoTデバイスにおいては特に活用が拡大すると見込まれている.しかし製品内のOSSに脆弱性が存在した場合その影響範囲は多大である(Heartbleed, Ghost bugなど).講演ではこのような脆弱性の検証ツール2種(特にバイナリに対する検証用ツールParamida,静的検証ツールCoverity)が紹介された.

■”CRYPTRECにおける最新の共通鍵暗号性能評価” 東北大 本間尚文先生

暗号技術の実装法/評価法に関する調査/検討を行うCRYPTRECプロジェクトの,その中でもIoT時代のローエンドマイコンで用いることを想定した軽量暗号(CLEFIA, LED, Piccoloなど)の評価についての紹介.軽量暗号が,特にメモリフットプリントの制約が厳しい状況でいかに有効活用できるかが示された.

■”あらゆるモノが攻撃を受けた時、あなたはどうしますか?” イクシア小関 能史氏

イクシア社が提供するソリューションの紹介.講演中,特にPerfectStorm Breaking Pointテスタを用いたサイバーレンジトレーニング(サイバー攻撃演習)の紹介が興味深かった.

■”IoE時代における自動車の情報セキュリティ” トヨタ小熊 寿氏

自動車セキュリティ全般について,またTCG(Trusted Computing Group)の活動の紹介.講演タイトルのIoE(Internet of Everything)が示唆的だが,自動車ネットワークはIoTの枠組に包括されるとの主張が印象的だった.

■”IoT時代のセキュリティを実現する半導体IPとソフトウェア・ソリューション” 日本シノプシス和田 信氏

IoT時代のchallengeのテーマとしてScalability, Fragmentation, Diversity, Management, Interoperabilityを挙げ,これらに答えるSynopsysのソリューションが紹介された.

■”IoTサービスにおけるプライバシーとトラスト” セコム IS研究所 松本 泰氏

講演ではIoTサービスにおいては「何処でも」のIoTサービスを提供するための「トラスト」、 「何処でも」利用できるIoT機器の(トラストのための)セキュリティが十分に考慮される必要があるとして,IoTサービスにおけるプライバシの過大について述べた.

■”ATLAS脅威レベル解析システムによるIoTセキュリティの現状と対策” ARBOR Network  佐々木 崇氏
ATLASとは,ダークネットを観測する脅威レベルの解析システム(Active Threat Level Analysis System ).IoT時代の脅威として,IoTデバイスを踏み台として使った攻撃を紹介し,ISPによるDDoS検知・防御サービスなどが紹介された.

■”制御技術とIoTのセキュリティ連携について” 技術研究組合制御システムセキュリティセンター小林 偉昭氏

制御システムとは,上下水システムや化学プラントなど社会インフラを支えるシステムであり,これらが攻撃を受ければ当然大きな脅威となる.講演では制御システムへの攻撃の事例を紹介後,制御システムのセキュリティ標準の動きとしてIEC62443, ISASecure認証スキームが紹介された.

■”IoT機器の脆弱性対応を考える-BBルータ脆弱性を悪したサイバー攻撃対処事例から-“Telcom-ISAC推進会 西部 喜康氏

講演ではTelcom-ISACの概要紹介後に,サイバー攻撃への対処のためには大規模な事業間の協調対処が必要であると主張され,IoTに関する事例として家庭用ブロードバンドルータの脆弱性とサイバー攻撃の事例が紹介された.

■”成功事例から見えるIoTビジネスの現在とセキュリティ対策の考え方”  NTTPCコミュニケーションズ 小原 英治氏,大久保 敦史氏

第一部では,同社が手掛けたIoTに関する成功事例(シスメックス,和歌山市役所,北原電牧社,東京大学など)が紹介され,第二部では,IoTにおけるセキュリティのコンセプトとして企業情報システムとの違いがセンサー~ゲイトウェイのネットワークにあるとの説明から,レイヤモデルに基づく対策について紹介された.

■クロージング基調講演”ネットワーク観測からみるIoTの衝撃的現状とその打開策” 横浜国立大学 吉岡克成先生

横浜国大のハニーポットが捉えたマルウェア感染機器の現状から,感染経路の多くがtelnet(古いサービスであるにも関わらず残されており,なおかつ運用上もデフォルトID/PASSで放置されている)であること,当該サービスへの攻撃が昨年から急増していることが明らかにされた.

講演ではハニーポットでIoTデバイスをエミュレートするため多様なデバイスプロファイルを作成し未知のマルウェアを多数検出することに成功している.講演では実際の攻撃者の振る舞いをデモで見せるなどリアリティに満ちたプレゼンが行われた.

最後に,このような現状への対策として,IoTハニーポットの国際展開の重要性,またShodanなどと連携した能動的観測の高度化の必要性が主張された.