虎塚(144)11この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。こんにちは、虎塚です。分野のソリューションを利用したサービスや製品を考える際には、もちろんセキュリティ面の検討も必要です。10」がCC-by-SAライセンスで公開されています。Guidance」をご紹介します。IoTセキュリティに関するチェック事項が、1つの画像ファイルにコンパクトにまとめられて公開されています。CONでの配布物だったのでしょうか。ゲームを連想させるかわいらしいデザインですね。中身をざっくりと見てみましょう。GuidanceセキュアでないWebインタフェースあらゆるWebインタフェースで弱いパスワードが許可されていないかアカウントのロックアウトの仕組みWebインタフェースがXSS、SQLインジェクション、CSRFやその他の脆弱性について対策されているかHTTPSの利用によって情報の送信が保護されているかこの項目は、Webアプリケーションのセキュリティで気にすることの延長にあるようですね。採用するソリューションで、暗号化がどのように使われているかに気を配る必要があります。デバイス間、デバイスとインターネット間のコミュニケーションに、暗号化が使用されているか暗号化のプラクティスが受け入れられていて、プロプライエタリなプロトコルを避けているかファイアウォールオプションを有効化できるか、有効化しているかデバイスとインターネット間だけでなく、デバイス同士の通信で、どんなプロトコルや暗号化方式が使われているかを確認する必要があります。仕様が秘密にされている暗号ではなく、専門家によって強度が確認された暗号を採用しなければならないというセキュリティの原則にも触れられています。CRYPTREC暗号リスト(電子政府推奨暗号リスト)に掲載されているものを選択するとよいでしょう。採用するソリューションの設定についても、細かい確認事項があります。パスワードのセキュリティオプションが利用できるか暗号化オプションが利用できるか(たとえば、AES-128がデフォルト設定の場合にAES-256を利用できるか)セキュリティイベントをログに記録できるか単に機能が使えることをチェックするだけではなく、何が設定可能かを確認しましょう。貧弱な物理セキュリティ使用するデバイスについて、次のことを確認しましょう。最小限だけ使用しているか不必要なUSBポートを介してのようにデバイスが意図しない方法でアクセスされないか汎用機と違い、外部ポートはあればあるだけ便利という観点だけでなく、目的に必要な最小限の数に抑えたほうがセキュアだという観点が必要です。採用するソリューションの認証/認可の仕組みについて、次の事項を確認しましょう。認証が必要なところでは強いパスワードを使用しているか可能な部分で二要素認証が実装されているかパスワードリカバリの仕組みがあるか強いパスワードを要求するオプションがあるか一定期間後にパスワードが強制的に期限切れになるオプションがあるかデフォルトのユーザ名とパスワードを変更するオプションがあるかセキュアでないクラウドインタフェースデバイスをクラウド上のシステムやデータストアと通信させることは、IoT関連サービスでは一般的です。クラウドベースのWebインタフェースについて、次の観点でセキュリティをチェックします。いう考え方がベースにあるのではと思います。セキュアでないソフトウェア/ファームウェアソフトウェアやファームウェアを作成したりカスタマイズしたりしてIoTサービスに組み込む際には、次のことを確認しましょう。ソフトウェアやファームウェアがアップデートできること。脆弱性が発見された時に素早くアップデートできること暗号化されたアップデートファイルを使用していること。そのファイルの配布には暗号化が使用されていること署名ファイルを使用していること。インストール前に署名ファイルの検証をおこなうことアップデート方法を確認しておくことは大事です。アップデートの際にはすべての機器にいきなり適用するのではなく、まずは1つだけアップデートする、というような手順の整備も、検証時から必要でしょう。アップデートファイル自体の改ざんを防ぐために、ここでも暗号化が必要とされています。ハッシュ値などの署名ファイルを併用して、安全なアップデート手順を用意することが大切です。収集された個人情報は、保存時や送信時に暗号化を使用して適切に保護されているか収集したデータは個人を特定可能なものか、それとも匿名性の高いものかIoTデバイスで利用者のプライバシーに関わるデータを収集する場合には、上記のような注意が必要ですね。収集するデータの性質を理解することも重要です。セキュアでないモバイルインタフェース弱いパスワードを拒否していることアカウントロックアウトの機構を持っていること二要素認証を実装しているか送信データを暗号化しているか強いパスワードを要求するオプションを利用できるか一定期間後にパスワードの有効期限が切れるオプションを利用できるかデフォルトのユーザ名とパスワードを変更できるか収集する個人情報の量Webインタフェースやクラウドインタフェースで確認が要求される内容は、モバイルインタフェースでも同じように確認する必要があります。セキュアでないネットワークサービス利用するネットワークのセキュリティについても言及されています。Guidanceの内容を一巡りしてみました。簡潔なチェックリストになっているため、ざっと眺めるだけでも考慮漏れを予防することができそうで有用ですね。OWASPのサイトにはほかにもいろいろと有用な資料がありますので、またご紹介できればと思います。IoTで"何ができるか"に着目しているフェーズから実用段階へ移行する頃には、セキュリティやパフォーマンス、運用などの非機能の観点から、サービスや製品をブラッシュアップする必要があるでしょう。そのためにも準備が大切だと思います。リモート】クラスメソッドの会社説明会を開催しますクラスメソッドでは、AWS・AI・ビッグデータ・モバイルなどの技術職や営業のメンバーとして一緒にお仕事をする仲間を大募集しています。#cmdevio新型コロナウイルスの感染拡大を受け、本イベントを延期させていただくことになりました(開催時期未定)。お申し込みいただいた皆様には大変申し訳ございませんが、何卒ご理解いただけますようよろしくお願いいたします。AWSについてライトに色んな情報交換をしましょう。和樹25こんにちは植木和樹@上越オフィスです。Terminalの機能確定版がリリースされたので試してみました。CAFEの他、NTTデータとセブンイレブンの取り組みや、サインポスト、Zippinなどの各社と流通・小売業との連携を業界マップに作成してみました。川原征大4形態素解析の入門中で、ブログの内容の分析を試しています。作業効率化をしたという話。夏目祐樹395こんにちは、CX事業本部の夏目です。MacのタッチバーのタッチIDが非常に便利なのですが、Terminalでsudoを叩かないと行けないときに使えたらなぁと思ったので、情報を共有します。臼田佳祐295ワークフロー自動化OSSのn8nをAWS環境で建てて検証してみました。非常に期待できるサービスです。Fargateの勉強をしています。使ってみたい方は参考にしてください。洋介255SnowflakeがAWSの東京リージョン上で稼働するようになりました。データを日本に置けます。芳賀健233こんにちは!猫様の忠実なるしもべ、芳賀健です。Tokyoで開催されました。クラスメソッド株式会社が運営するAWS・iOS・HTML5に関する技術情報サイトです。