組み込み機器・IoTセキュリティ診断（脆弱性診断・ペネトレーションテスト）

IoTデバイスの急速な普及によって、サイバー攻撃の対象と考えられる組み込み機器に対するセキュリティは近年重要視されています。
サイバーディフェンス研究所では様々な組込み機器を対象に、機器単体の解析や機器の有する通信機能・ネットワークサービスへの擬似攻撃を行います。異常パケット送信によるロバストネスの評価に限定したものではなく、基板、シリアルコンソール、IC単体、機器間通信、無線通信、Webインターフェース、ファームウェア解析など、物理層からアプリケーション層までの全てを対象としたペネトレーションテストを実施、機器に内在するセキュリティ上の問題点を様々な角度から検証し、機器のセキュリティ向上及びお客様の品質管理の向上を支援します。

組み込み機器・IoTセキュリティ診断とは

組み込み機器・IoTセキュリティ診断は、セキュリティエンジニアが組み込み機器やIoTデバイスに対して擬似的な攻撃を行うことで、その製品のセキュリティを評価する手法です。

診断対象となるデバイスの通信プロトコル解析、デバック用のインターフェイスを悪用可否検証、デバイスの分解を伴うリバースエンジニアリング、ネットワーク経由での侵入可否検証や、Webインターフェイスを持つ組み込み機器・IoTデバイスであればWebアプリケーションに対する脆弱性診断と同様のアプローチの診断も行います。

組み込み機器やIoTデバイスは、一般的なIT機器と比較して長期間運用されるケースも存在することから、リリース前の診断実施だけでなく運用後に発見された脆弱性対応の仕組み化も重要です。

特徴

多彩な攻撃アプローチ

機器の分解を伴う基板上攻撃やファームウェアの解析、機器の有する通信インタフェースやWebUIへの攻撃、あるいは機器と連携するシステム・アプリケーションを介する攻撃など、様々な攻撃口からの診断を行います。

参考：組み込み機器の診断手法（ CDIエンジニアブログ）

最適な攻撃ツールや治具の検討・開発

機器の構成要素や仕様を把握し、攻撃手法の検討を行った上で、対象機器への攻撃に有効な攻撃ツールや治具の準備、必要に応じて開発までを行い、最適な手法により診断を実施します。

豊富な経験と高い技術力

組込み機器開発経験者、組込み機器関連プロトコルの実装経験者、バイナリ解析技術者など組込み機器診断に必要な経験と技術力を備えたメンバーで対応します。

サイバーディフェンスが誇る専門チーム

サイバーディフェンス研究所には、国際的なCTF入賞経験のあるエンジニアに代表される優れたペネトレーションテスターに加えて、法執行機関での勤務経験者、脅威リサーチャー、重要インフラ制御システムの開発者など様々な専門性を持ったエキスパートが在籍しています。

サイバーディフェンス研究所なら、顧客の事業リスクを正確に捉え、守るべき対象を深く理解し、攻撃者と同様の思考に基づき卓越した攻撃を実行することによって、真の脅威を顕在化させるだけでなく、実効性のある対策の助言が可能です。

情報セキュリティサービス基準に適合

当研究所の組み込み機器・IoTセキュリティ診断は、経済産業省が定める『情報セキュリティサービス基準』に適合したサービスとして、『情報セキュリティサービス基準適合サービスリスト』に登録されています。

これは特定営利活動法人日本セキュリティ監査協会（JASA）による審査を経て、一定の技術的要件および品質管理要件を満たし、品質の維持向上に努めている情報セキュリティサービスであることを示すものです。

• 経済産業省「情報セキュリティサービス審査登録制度」

• 「情報セキュリティサービス基準」

• 「情報セキュリティサービス台帳」

想定される脅威シナリオ

物理的アクセスに基づく攻撃

組み込み機器やIoTデバイスに対する物理的な接触が可能である場合、デバイスの改造や取り外しによる情報や権限の奪取が懸念されます。

例えば、攻撃者がセンサーデバイスに不正な機器を接続するなどして、デバイスが収集するデータを窃取される、デバイスの権限を奪取されるなどの可能性があります。

ファームウェアの改ざん

攻撃者が組み込み機器やIoTデバイスからファームウェアを抽出、改ざんすることによって、組み込み機器やIoTデバイスを不正に操作したり誤作動を生じさせます。

ネットワーク経由の攻撃

組み込み機器やIoTデバイスに対する通信内容の盗聴やリプレイ攻撃、ネットワーク経由での不正アクセスや悪意あるファイルの設置などを行います。

デフォルトの認証情報

ユーザーがデフォルトのユーザー名やパスワードを変更せずに使用している場合、攻撃者がこれらの情報を利用してデバイスに不正アクセスされる可能性があります。

サプライチェーン攻撃

デバイスの製造プロセスやアップデート環境などが侵害されることによって、製品にセキュリティ上の問題が組み込まれる可能性があります。

診断項目はサービス実施内容をお打ち合わせさせて頂き決定します。一般的なネットワーク/Webアプリケーションの診断項目に加え、下記のようなハッキングが可能です。

対象となる機器の仕様、構成などを伺った上で最適なお見積りをご提案致します。予算に応じた診断範囲をご提案することも可能です。下記お問い合わせよりお気軽にご相談ください。

ファームウェアのアップデート

メーカーから提供されるセキュリティパッチやアップデートを実行します。ファームウェアの脆弱性は攻撃者に悪用される可能性があり、最新のセキュリティアップデートを確実に適用することが重要です。

デフォルトの認証情報の変更

デバイスの初期設定で使用されるデフォルトのユーザー名やパスワードを変更します。これらのデフォルト情報は攻撃者にとって予測しやすく、変更しないまま使用することは望ましくありません。

強力な認証手段の使用

マルチファクタ認証（MFA）や強力な認証メカニズムを実装して、不正アクセスからデバイスを保護します。

ネットワークセグメンテーション

IoTデバイスは他のネットワークデバイスから分離され、必要最小限の通信のみが許可されるようにすることで、攻撃のリスクを最小限に抑えることができます。

データの暗号化

データの送受信や保存時に暗号化を使用することで、データ漏洩のリスクを軽減します。特に機密性の高い情報には強力な暗号化手段を採用するべきです。

セキュリティポリシーの設定

デバイスには明確で堅固なセキュリティポリシーを設定し、不要なサービスやポートを無効化することでアタックサーフェスを減少させます。

ログの監視と分析

ログを適切に収集し、定期的に監視・分析することで異常なアクティビティを早期に発見し、対応することができます。

物理的なセキュリティ

物理的なアクセスを制限し、権限のないユーザーによる物理的な接触を回避するべきです。

アクセスコントロール

アクセス権限とロールを適切に設定し、不正利用を防ぎます。

サプライチェーンセキュリティ

デバイスの開発から製造、運用、保守までのサプライチェーン全体でセキュリティを確保することが重要です。不正な変更がないか、サプライチェーンにおけるリスクを把握しておく必要があります。

これらを遵守することで、組み込み機器やIoTデバイスのセキュリティを向上させることができます。

その他のセキュリティ診断（脆弱性診断）サービスについて

サイバーディフェンス研究所ではアプリケーションのみならず、ネットワークや組み込みデバイス、制御システムなどを対象に、一流のセキュリティエンジニアによる高品質な診断サービスを提供しています。セキュリティ課題の解決ならサイバーディフェンスにご相談ください。