2019.10.02IoT機器の“技適”が2020年4月から変わる。セキュリティ対策としてアクセス制御機能やアップデート機能などが必須化する。IoT機器ベンダーはどのように対応すればいいのか、注意すべきポイントをまとめた。一部を改正する省令(平成31年総務省令第12号)」が公布され、2020年4月1日から施行されるためだ。端的に言えば、IoT機器にセキュリティ対策機能の実装が必須になった。背景にDDoS攻撃「我々が特に注目しているのは、IoT機器の大量感染による大量のDDoS攻撃だ」。課長補佐の影井敬義氏はこう説明する。影井敬義氏IoT機器がサイバー犯罪者に乗っ取られ、ボットネット化して大規模なDDoS攻撃を仕掛ける事例が相次いでいる。2016年10月21日、米Dyn社のDNSサーバーに大規模なDDoS攻撃が2回行われた。同サービスを利用していたAmazon、Netflix、Twitterなどの著名サイトが影響を受け、しばらく繋がりづらい状態になった。この事件には、IoTマルウェアの「Mirai」が利用されたとみられている。Miraiは初期パスワードや「123456」のような、強度の低いパスワードなどを使用しているルーターなどのIoT端末を次々と乗っ取りボット化する。その結果、Dyn社のDNSサーバーへの攻撃は1.2Tbpsに達したとの報告もある。した事件を踏まえて総務省も「国として何か対策をしなくてはならない」と、IoT機器の技適基準を見直す検討を重ね、省令改正に至った。追加必須の3機能今回の改正で新たに必須となる機能は大きく3つある。(1)アクセス制御機能、(2)初期設定のパスワードの変更を促す等の機能、(3)ソフトウェアの更新機能、またはこれらの同等以上の機能である。(1)アクセス制御機能とは、「IDやパスワードなどで認証する機能だ」と影井氏は説明する。通信送受信の設定を正規ユーザーのみが変更できるようにする必要がある。そのパスワードについては、(2)初期設定で、デフォルトからの変更を促す機能が求められる。これは画面などを操作する中で促す必要があり、説明書などに記述するだけでは要件を満たさない。(3)ソフトウェアの更新機能については、IoT機器に搭載されている全てのソフトウェアが対象になるわけではない。通信の送受信の機能に係るファームウェアのことだ。このファームウェアが「(攻撃者が狙う)脆弱性のポイントになるので、ファームウェアの更新機能は必須になる」と影井氏は強調する。アップデートされたファームウェアが、電源が切れて再起動した後、出荷時の初期状態に戻ることが無いようにもする必要がある。ファームウェアの更新方法としては、自動更新が推奨されるが、現時点では自動更新は必須ではない。[2020.02.20]新着記事一覧はこちら国内唯一の5G/6G調査研究会!「5Gでの日本の遅れを取り戻したい」。5G、6G、MaaSをテーマにした調査研究会が4月に運営開始する。食品業界に義務付けられるHACCP。SD-WANは、ネットワーク品質を劇的に変化させる。快適な校内無線LANには、VPNなど校外NWの整備も必要だ!AWSやGCPなどメガクラウドに直結する新時代のデータセンターアット東京のデータセンターは“つなぐ”価値に磨きをかける!仮想NWを始めるならヤマハで!ヤマハの仮想ルーター「vRX」なら、これまでのノウハウをクラウドでも活かせる。Webexは社内外、誰とでも高品質なオンライン会議が行える。自社サービスとしても展開可能。記事の無断転載を禁じます。