2018年のIIoTデバイスへの3つのサイバーセキュリティの課題

2018年のIIoTデバイスへの3つのサイバーセキュリティの課題 – 記事

自動化や産業用インターネット(IIoT)に関する最もよくある懸念事項は、サイバーセキュリティについてです。IEEEの専門家がIIoTデバイスに対する3つの課題と可能な対応について検討しています。

消費者向けIoTデバイスのサイバーセキュリティの課題はよく文章化され、2016年にMiraiボットネットがDynに攻撃したことで最もよく実証されました。IIoTにはサイバーセキュリティのリスクの例がいくつかありますが、AmazonやPayPalやNetflix、Spotify、Twitter、Visaなどに一日中アクセスできなくなるほど大衆の注目を集めた攻撃はいまだにありません。しかしながら、一度IIoTのデバイスへの攻撃が成功してしまったなら、その威力は大変深刻で、人の命に関わる可能性もあります。
IIoTデバイスの大規模かつ予防可能なサイバー攻撃に向けて、刻々と時間が進む中、それらを導入するメーカーと企業は以下の3つの課題に取り組まなければなりません。

IIoTデバイスへのダメージはIoTデバイスに対するダメージよりも長期にわたる

MiraiやReaperなどのIoTボットネットは、ハードコードされたパスワードや、ベビーモニター・セキュリティカメラ・DVRなどの消費者向けIoTデバイスにおいて不十分に暗号化されたものなど、貧弱なセキュリティ管理のために広まってしまいました。
消費者向けIoTデバイスメーカーは、古いデバイスを消費者が最新にアップグレードする度に、そのデバイスが廃れてしまったと考えています。ベンダーが製品のライフサイクルに最新のセキュリティを実行し続ければ、これらのIoTデバイスのサイバーキュリティが徐々に改善されていくことを意味しているのですが、現状では、デバイスの寿命はとても短いのです。

反対に、IIoTデバイスの寿命は7〜10年と長いです。これはIIoT領域でのセキュリティの悪用が、私たち消費者向けのデバイスよりもはるかに長い寿命を有することを意味しています。
例えば、あるセンサーで使われているソフトウェアのアップデートが何年にも渡ってされていない場合、IIoTランサムウェアの悪用は何度でも繰り返されるのです。

この領域には少なくとも2つの明白なソリューションがあります。
1つ目は、メーカーがIIoTデバイスに暗号化を施すことです。
このような暗号化を追加することの欠点は、追加された処理によってバッテリーの持ちが短くなるということです。この欠点は、価格をあげ容量の大きいバッテリーを提供すること、または、強制的にデバイスを廃れさせることによって、軽減することができますが、IIoTエコシステムに強制的に更新するという、洗練されず高価な方法となります。

もう1つの案としては、IIoTデバイスを購入している企業が、企業のその他の機密機器と同じようにIIoTデバイスを扱うことです。
合理的な組織では、現在、ラップトップ、デスクトップ、スマートフォン、および仮想デスクトップインフラストラクチャ(VDI)は全てソフトウェアの更新をサポートすることが求められます。
新しいIIoTデバイスが遠隔のソフトウェアアップデートをサポートすることで、未知のセキュリティ脆弱性を持つ何十万ものデバイスを管理するのに役立つことでしょう。

第三者のアタッカーは間違ったデータを挿入したり、既存のデータを改ざんしたりする可能性がある

IIoTの主な傾向の1つは、予防保守によって「壊れたら直す」という費用の削減をすることです。このモデルによって、コストを30%削減できるという研究もあります。
たとえば、飛行機の先端から後部に配置されたセンサーに基づいて航空機のメンテナンス問題を診断し予測するサービスは、「想定外のメンテナンス」を減らすのに役立ちます。

同様に、農業機械のハードウェア障害を予測するサービスは、機械が使用されていない時にメンテナンスを計画することにより、業務効率を向上させることができます。
ただし、これらのサービスに加入している企業でも、リモート監視サービスに送信されたデータが改ざんされた場合には被害を被ります。この改ざんは、2つの方法で発生する可能性があります。

1つ目のシナリオでは、監視されたハードウェアに物理的にアクセスするアタッカーは、偽のデータを監視サービスに送信するデバイスを導入する必要があります。
2つ目のシナリオは、監視データの中央ストアを侵害して変更することです。

この脅威には、少なくとも3つの明確な解決策があります。

最も明白な1つ目の策は、遠隔監視サービスに依存しないことです。
第2の解決策は、新しいデバイスが装置されないよう、IIoTデバイスの定期的で厳しい装置配備を行うことです。
第3の潜在的な解決策は、人の知識を活用し、異常なデータ傾向に分析者の注意を促すことです。

IIoTデバイスの普及はネットワークのセグメント化を止める言い訳ではない

加速された時間枠で何千ものデバイスが潜在的に配置されている場合、ネットワーク設定をスキップしてIIoTデバイスへのネットワーク接続を制限する方が便利かもしれません。

十分な考えと安全なハードウェアがあれば、IIoTに関するリスクは予防できます。サイバーセキュリティの現実は、第三者のアタッカーが不正なビジネスを行っており、正当な企業と同じ予算、人員、時間制約に直面していることです。

多くの第三者アタッカーは、IIoTやその他のコンピューティングデバイスのセキュリティが甘い企業をターゲットとします。企業は、IIoTセキュリティのためにも、これらのシンプルなソリューションを導入する必要があります。

原文はこちら: 3 Cybersecurity Challenges for IIoT Devices in 2018

2018年のIIoTデバイスへの3つのサイバーセキュリティの課題 世界のIoTに関するレポート公開中