IoTセキュリティ対策 診断・解析入門 | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ
本投稿記事は、当社の内定者である黒林檎氏にIoTの解析について調査してもらいました。IoTのセキュリティはまだまだ課題が山積みですが、解析入門ということで調査結果を公開いたします。 はじめに 日本でもIoTのハッキングが注目視されてきました。 IoTが"Internet of Things"の略称であり"モノのインターネット"というのは既知かと思います。 様々な"もの"がインターネットに接続され、情報交換することにより相互に制御する仕組みであり、スマートウォッチなどが想像されがちですがそれはIoTにおけるほんの一部であり、実際はインターネットなどにより通信する仕組みを備えた家電製品などもIoTの一種になります。 本稿では、今後重要性を増すIoT機器のセキュリティ診断・解析について具体的な解析手法にも触れながら入門編を寄稿いたします。 IoTのハッキング(診断)とは？ 大まかにIoTの診断を
最も危険な検索エンジン？ 「Ｓｈｏｄａｎ」が浮き彫りにする無防備なネット環境
ニューヨーク（ＣＮＮＭｏｎｅｙ） 「グーグル検索で見つからないものは誰にも見つけられないと思われがちだが、それは真実ではない」――。インターネットの「闇グーグル」とも呼べる検索エンジン「Ｓｈｏｄａｎ」を開発したジョン・マザリー氏はそう話す。 ウェブサイトを巡回して情報を収集するグーグルに対し、Ｓｈｏｄａｎはサーバー、ウェブカメラ、プリンター、ルーターなど、インターネットに接続された機器５億台あまりを巡回して情報を収集する。 ごく単純な検索でも、Ｓｈｏｄａｎに表示される結果には息をのむ。インターネットに接続された無数の信号機、防犯カメラ、ホームオートメーション機器などが簡単に見つかるほか、親水公園やガソリンスタンド、ホテルのワインクーラー、火葬場などの制御システムも検索できる。サイバーセキュリティーの専門家は、原子力発電所や粒子加速器の制御システムまで探し当てたという。 何よりも恐ろしいこと
SHODANとCensys | IoT
インターネット接続機器のセキュリティ検査 データが丸見えの状態になっている複合機やプリンターのことが２０１５年１月の朝日新聞で大きく報道されていました。その報道を受けてIPA（独立行政法人情報処理推進機構）は改めて注意喚起をしていました。この問題は以前から指摘され、改善がされつつあると思われていたのですが、現状はあまり進んでいなかったということなのかもしれません。 IPAは２０１４年２月には、「組織のネットワークや機器の管理者は、インターネットから機器への不要な通信を遮断するか、適切な設定でインターネットに接続するなど、安全な運用の継続が求められる」と早急の対応を促し、そして、不適切な設定でインターネット上に公開されている機器を発見し、速やかに対処するために「SHODAN」を活用した検査方法の技術レポートを公開していました。「IPA テクニカルウォッチ 『増加するインターネット接続機器の不
ShodanとCensys：IoT検索エンジンの危険性
ShodanとCensysは、モノのインターネット（IoT）デバイスを探す検索エンジンです。こうした特殊な検索エンジンは、さまざまな形で悪用される恐れがあります。 周りを見回してみてください。私たちは今、モノのインターネット（IoT）に囲まれて暮らしています。日常生活の中で、自宅のWi-Fiルーターから交通信号管理システム、街頭防犯カメラに至るまで、インターネットに接続されたモノをいろいろと目にします。接続されているモノは、すべて現実世界とWeb世界という2つの世界で見つけることができます。 インターネット上で情報を検索するためにGoogleが存在するように、IoTデバイスを探すために特殊な検索エンジンが存在します。ShodanとCensysです。 Shodanは、最初の（そしておそらく最先端の）IoT検索エンジンで、登場したのは7年以上前です。この名称は、『システム・ショック』というコン
サイバーセキュリティ研究における倫理プロセス
サイバーセキュリティ研究における倫理的な研究プロセスについて ICTの進展にともない、誰も踏み入れたことがない、前例が十分にない倫理的領域を取り扱う機会が出てきました。これに伴い、ステークホルダ(利害関係者)の明確化、インパクトの見積もり、リスクの最小化努力、Responsible disclosure(研究成果の社会的な影響を考慮して、事前に必要な手続きを踏んだ後、研究成果を開示すること)を実施し、自身の研究を研究倫理的観点から実践して論じることの必要性が高まってきています。 サイバーセキュリティ研究における研究倫理とは、自身の研究を研究倫理的観点から実践して論じることであり、そのために必要となる適切な手続きを倫理的な研究プロセスと呼んでいます。MWS組織委員会では、『日本学術振興会(JSPS) サイバーセキュリティ 第192委員会 サイバーセキュリティの研究倫理を考えるWG』の支援(2
史上最悪規模のDDoS攻撃 「Mirai」まん延、なぜ？
史上最悪規模のDDoS攻撃 「Mirai」まん延、なぜ？：新連載：ITの過去から紡ぐIoTセキュリティ（1/4 ページ） 新たなテクノロジーが生まれると、それを取り巻くさまざまなサービスが生まれ、多くの価値をもたらしてくれます。ですが、そのメリットを享受できるのは大多数の善良なユーザーだけではありません。よからぬことをたくらむ犯罪者もまた、新たなテクノロジーを活用し、さまざまな手法で金銭やそれにつながる個人情報を盗み取ろうと試みます。 この20年あまりでインターネットと社会・経済のデジタル化は大幅に進展しましたが、それに伴ってサイバー犯罪が増加し、無視できない被害を及ぼしています。そして今、IoT（Internet of Things）についても同じことが起こりつつあるのです。 連載：ITの過去から紡ぐIoTセキュリティ 家電製品やクルマ、センサーを組み込んだ建物そのものなど、あらゆるモノ
急増するIoT機器への攻撃、対策に不可欠な法的整備とは？ - IT Research Art
前のエントリの関係で、WirelessWire News「急増するIoT機器への攻撃、対策に不可欠な法的整備とは？」という記事についてもみていきましょう。 IoTセキュリティ総合対策では、「脆弱性対策に係る体制の整備」「民間企業等におけるサイバーセキュリティ対策の促進」、セキュリティ関連技術の「研究開発の推進」、セキュリティ関連の「人材育成の強化」、「国際連携の推進」がでています。 ここで、「脆弱性」という用語について、もう一回考え直してみました。 私(高橋)が委員を務めているIPAの脆弱性研究委員会では、2002年から、脆弱性についての対応についての枠組みを検討してきています。 そこでは、脆弱性については、「コンピュータウイルス、コンピュータ不正アクセス等の攻撃によりその機能や性能を損なう原因となり得る安全性上の問題箇所（ウェブアプリケーションにあっては、アクセス制御機能により保護すべき
NICT法改正と不正アクセス禁止法 - IT Research Art
電気通信事業法およびNICT法が改正されました。「電気通信事業法及び国立研究開発法人情報通信研究機構法の一部を改正する法律」ということになります。条文は、こちらです。 基礎的な資料は、こちら。 このうちのNICT法改正の部分についてみていきます。オムニバス法というのかと思いますが、そのうちのNICTの調査権限のほうについてまとめてみましょう。 趣旨としては、「国立研究開発法人情報通信研究機構（以下「機構」という。）は、平成三十六年三月三十一日までの 間、特定アクセス行為を行い通信履歴等の電磁的記録を作成すること、特定アクセス行為による電気通信の送信先の電気通信設備に係る電気通信事業者に対し、送信型対電気通信設備サイバー攻撃のおそれ への対処を求める通知を行うこと等の業務を行うこととすること。 」ということになります 条文も、ちょっと分析してみましょう。 1 組織法上の根拠 一定の行為をなす
「史上類を見ないレベル」のDDoS攻撃を引き起こしたマルウェア「Mirai」を作成し逮捕されたハッカーがFBIに協力していたと判明
by Charles Deluvio IoT機器を乗っ取り過去最大規模のDDoS攻撃を引き起こしたマルウェア「Mirai」を作り出した3人のハッカーは、2017年に逮捕されました。その後、20代のハッカー3人はFBIの捜査を手伝うことで、懲役刑ではなく保護監察処分となっていたことがわかりました。 Hackers’ Cooperation with FBI Leads to Substantial Assistance in Other Complex Cybercrime Investigations | USAO-AK | Department of Justice https://www.justice.gov/usao-ak/pr/hackers-cooperation-fbi-leads-substantial-assistance-other-complex-cybercrime
Miraiの作成者JhaとWhiteに有罪判決。世界中に数々のDDoS攻撃を引き起こしたMiraiに一旦終止符。 - 忙しい人のためのサイバーセキュリティニュース
(この記事は、Brian Krebs氏のブログ記事”Mirai IoT Botnet Co-Authors Plead Guilty”を基に作成しました。逐語翻訳ではなく、若干内容を補足しております。) アメリカの司法省は今週火曜日、2名の男に対して有罪判決を言い渡した。 その2人の男が犯した罪は『Mirai』の作成である。 Miraiとはボットネットに分類されるマルウェアだ。 Miraiはインターネット上に存在する脆弱なIoT端末をスキャンし、ボットネットの一員に加える。 ターゲットとするIoT端末の例としては、監視カメラやデジタルビデオレコーダー等のインターネットに接続された端末。 脆弱なIoT端末を支配下に加える事で、これまで多くのターゲットに対してDDoS攻撃を仕掛ける。 Miraiの作成者は”21歳と20歳”の青年たち 今回アメリカの司法省に有罪判決を言い渡されたのは、 Para
我々は「モノのインターネット」からインターネットを守る必要がある、ところまで来てしまったのか - YAMDAS現更新履歴
Essays: We Need to Save the Internet from the Internet of Things - Schneier on Security おなじみブルース・シュナイアー先生のエッセイだが、「我々はモノのインターネットからインターネットを守る必要がある」というタイトルからして苦いものがある。 ここで取り上げられているのは、著名なセキュリティ分野のジャーナリストであるブライアン・クレブスが被害を受けた史上最大級の DDoS 攻撃の話なのだが、ちょうどありがたいことに江添佳代子さんがこの話題について書かれているので、未読の方にはご一読をお勧めする。 標的となった著名セキュリティ・ジャーナリスト | THE ZERO/ONE 15万サイトを攻撃した「vDOS」の秘密を暴く | THE ZERO/ONE 2年間で62万ドル稼いだ2少年 | THE ZERO/ON
ゼロワンオンカジチャンネル
ミスティーノは、仮想通貨でも遊べるオンラインカジノです。仮想通貨での入金には、Bitcoin、Ethereum、Litecoin、Bitcoin Cashなどが使用できます。また、出金も仮想通貨で行うことができます。 また、ミスティーノでは、スロットやテーブルゲーム、ライブカジノ、ポーカー、ビデオポーカー、バカラ、サイコロなど、様々なオンラインカジノゲームが楽しめます。さらに、スマートフォンやタブレットでのプレイも可能ですので、いつでもどこでもカジノゲームを楽しむことができます。 実際にミスティーノで遊んでみた感想 ミスティーノでは、新規登録や入金などに応じて、さまざまなボーナスが提供されています。 新規登録ボーナスとしては、入金不要で手に入る「フリースピン」があります。また、入金ボーナスとしては、入金額に応じた「マッチボーナス」が提供されることがあります。さらに、プレイヤーのレベルが上が
第33回 ハニーポットが示した「野良IoT」の脅威
IoTは世の中を大きく変える可能性を持っているが、そのセキュリティ対策は部品レベルで考えなければならない課題だ。今回はIoTの具体的な脅威の実情について、横浜国立大学の研究をもとに考察する。 ハニーポットで判明したIoTデバイスの現状 IoTセキュリティに関して、横浜国立大学が以前から大変興味深い研究をしている。この研究をされている吉岡克成准教授の資料（「IoTセキュリティの現状と今後の課題」2016年8月3日の講演資料）によると、2016年1～6月の半年間に、インターネット経由で横浜国立大学に攻撃を仕掛けたマルウェア感染機器・システムは約60万台に上るという。たった一カ所にこれだけの攻撃が集中したということは、大変驚くべき結果だ。 なぜ、マルウェア感染機器がこのような膨大な台数になるのか。その鍵は、感染機器の種類にある。感染機器はネットワーク機器などのIT系のものに留まらず、監視カメラや
ＩｏＴ機器を破壊する新しいウイルス初確認 | NHKニュース
あらゆるモノをインターネットで結ぶ、「ＩｏＴ」と呼ばれる技術の普及が進んでいますが、こうした機器を破壊してしまう新しい種類のウイルスが広がり始めていることがわかりました。これまで、ほかのサイバー攻撃の踏み台としてＩｏＴ機器を悪用するウイルスはありましたが、破壊を目的としたものは初めてです。 これに対して、横浜国立大学の吉岡克成准教授の研究グループが、インターネット上に広がるウイルスの分析を続けた結果、こうしたＩｏＴ機器に感染し、プログラムを破壊して動かなくしてしまう新しいウイルスが、ことし１月以降、広がり始めていることがわかりました。 ＩｏＴ機器を狙う従来のウイルスは、ひそかに感染を広げてサイバー攻撃の踏み台にすることが目的で、感染した機器の機能にはほとんど影響がありませんでした。 ところが今回のウイルスは、ＩｏＴ機器そのものの破壊を目的としていて、吉岡准教授が調査用に用意したＩｏＴ機器を
研究会 - 「計測セキュリティ」の研究課題
新しい情報社会の概念がCyber Physical SystemやInternet of Thingsといった言葉で語られ，物理世界あるいは論理世界からのデータの計測，その通信，蓄積，処理を踏まえた利用（物理世界の制御を含む）とその結果の確認，さらには保守管理などの全ての側面に関し，適切なセキュティが求められる時代が到来しようとしている．ネットワーク上のセキュリティ、記録のセキュリティ，機器・ソフトウェアのセキュリティ，クラウドデータ処理のセキュリティ，サービスのセキュリティなどの，既によく理解されているセキュリティに加え，データ取得・収集段階（制御結果確認段階を含む）における情報・物理セキュリティ，すなわち「計測」のセキュリティが，新しい情報社会において重要となることは明らかである．そこで，これを「計測セキュリティ（Instrumentation Security）」というまとまった学術
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
セキュリティ動向 2018
【セキュリティ ニュース】総務省、「Shodan」同等の調査システムを構築 - 国内IPアドレス6％が応答（2ページ目 / 全2ページ）：Security NEXT
“野良IoT”が“サイバーデブリ”と化し、ネット空間の環境汚染問題を引き起こす恐れ【IoT推進委員会 第7回シンポジウム】
野良ＩｏＴ駆逐に法の壁 改正も検討 : 科学 : 読売新聞（YOMIURI ONLINE）
「ＩｏＴ乗っ取り」攻撃でツイッターなどがダウン : 科学 : 読売新聞（YOMIURI ONLINE）