lang="ko">習</span>之2019-07-24IoTペネトレーションテストの十大問題(企画編)サイバーセキュリティは、技術を売るよりも、どうやって使うかを企画する方が面白い。「ペネトレーションテストは完成度の高い部品でやるべきである」という理想と「出荷後や出荷直前に脆弱性が見つかっても簡単には直せない」という現実。このふたつのギャップに由来する。本質的な解決は不可能な問題である。市場に出荷する1年前には、発見した脆弱性を修正をすることのできる最期の試作品となることもあるが、その後で不慮の事態によって変更が生じることもまたある。代替策として、初回起動時に強制アップデートをするという例があるが、これができる製品は限定される。補題:修正の困難性Webサービスの脆弱性であれば、データセンターにあるサーバのプログラムを直して対応完了にできるだろう。それでも困難な問題といえるであろうが、台数の多いIoT製品のプログラムを直すのはそれとは簡単さが全く異なる。出荷後の修正が必要な場合はリコールに発展し、その費用は莫大である。リコールをせずに修正すると、当局からリコール隠しと指摘される恐れがある。関連する問題:テストは計画的に最期の試作品がリリースされてから、発見した脆弱性を修正することができるデッドラインまでの時間は、せいぜい1〜2ヶ月しかない。このため、ずいぶん前から計画的に実施する必要がある。黎明期においては急遽で実施が決まることも多く、関係者から叱られやすい。「どれだけのテストケースをやれば十分と言ってよいか?」という、ペネトレーションテストにおける究極の問題である。そもそもペネトレーションテストにおいては、テストケースの網羅性を保証するのは困難であるが、一方で不十分なテストも許されることではない。これはIoTに限った話ではないが、IoTのサイバーセキュリティテストはWebの世界に比べて未成熟であるため、十分性を説明する手段が確立されておらず、より重大な問題と言える。海外の評価者は、契約終了後の瑕疵を絶対に認めない。彼らは手を動かすのは好きだが、報告書を書くのは嫌いである。計画段階のかなり早い時期で必ず問題となることのひとつ。評価者から「事前にどのような情報を頂戴できますか?」と聞かれて顕在化する。情報の量によって、テストできる内容が変わるため重要な判断ポイントであるが、例えばマイコンのファームウェアは評価者に提供できないことも多い。ブラックボックスかホワイトボックスかは決め打ちするしかないのだが、その理由の根拠を上司に問われて悶絶する。費用に関わる背景から、ペネトレーションテストの必要性を問われる頻度は高い。やったほうが良いのは議論の余地がないが、その分の費用は最終的にお客様が負担することになる。法律で必須となっているわけではないので、実施するための確固とした理由がない。一方で、必須にされてもそれはそれで困る。複数のシステムを組み合わせた製品では、製品全体をテストするのが難しい場合がある。その場合に、全体のうちのどのシステムをテストすべきか、システム単位だけで全体はやらなくてよいのか、といった決めねばならぬ問題が生じる。関連する一連の製品群において、複数のバリエーションがあるときに「最初に開発される製品が最も豊かな機能を有しているとは限らない」という事実に由来する問題。最初に最も豊かな機能の製品でテストできれば、以後に再テストの必要性はないが、往々にそうではないため、その度に再実施の検討が必要になる。評価者は、評価対象の製品をおもちゃと同じと思っているかのようだ。少なくとも製品への愛情は有していないし、値段や価値はわかっていない。このため評価対象を貸す前に、破壊の可否を強く意識づけるべきである。評価対象に対して不可逆なテストをする前には、発注者に必ず確認をさせる。関連する問題:何個いるねん試作品の値段は高い。それを知らない評価者は、無邪気に好きなだけ数を要求する。一方で、数が少なすぎると、もし壊れた時にテストが途中で止まるリスクがある。論理的な解として、テストの総工数をデッドラインまでの日数で割り算すれば、非破壊試験のための試作品の個数が算出できる。一方でこの計算をするには、事前に工数を精度よく見積る必要がある。much8費用妥当性問題コンペティタが少なく、且つどの企業も確固たる見積の根拠を有していないため、費用が営業担当者のひと声によって決まりやすい。スキルを定量化するための指標がない。経済産業省が基準を公開しているが、IoT向けのものはない。海外において評価会社の一覧を公開しているものはあるが、日本にはない。「有名なところにやってもらったほうがいいんじゃないか」という有声を重視する風潮。厳しい要求をすると、受注できる人がまったくいなくなるか、そこまでいかなくとも選択肢がなくなってしまう。発注者が報告書を第三者へ開示するのに、事前に承諾を求める評価者がいる。競合他社への開示を躊躇することまでは同意するが、そうでもないのに開示されて困るようなテストをさせてはならない。関連する問題:対策要否の判断が悩ましい評価者からの指摘において、業界相場に比べて過剰な対策を推奨していたり、攻撃者による悪用が困難であったり、果ては事実と異なる推測で書かれていたりすることがある。そんな指摘であっても、発注者は報告書を読み込んで対策要否を考えなくてはならない。彼らには、指摘は多ければ多いほうがいいという勘違いと、0件では報告書を発行できないというプライドがあるらしい。この問題は、テストの終盤で明らかになるためタチが悪い。大きな製品や第三者が目にすることが許されない製品は、運搬が容易ではないため、テストする場所が限られる。テスト中は社員の常時立会いが必要になる。海外にいる評価者のために輸出を希望されることがあるが、輸出前に該非判定書類を作成するのは面倒で且つ時間がかかる。代わりに海外から人を呼ぶのは、渡航費や宿泊費のムダである。01:53広告を非表示にするもっと読むコメントを書く2019-07-15モビリティ・サイバーセキュリティ・コミュニティをつくりたいので賛同者求むコメント欄に2人以上書込みあったらやります。01:28広告を非表示にするもっと読むコメントを書く2019-01-23重要インフラサービス障害2016年度下期以降に発生した『重要インフラサービス障害』とみられる事例を収集します。個人としては、"障害"という単語は民間企業では使わないようにと指導を受けているため、重要インフラサービス障害という呼び名は好きではありません。まとめ神社やお寺にある手水舎に、温泉が引かれているところをまとめます。湯量が豊富な温泉にしかできない贅沢ですので、必然としてよい温泉地に存在します。18:32広告を非表示にするもっと読むコメントを書く2018-07-28シャチハタで資格ロゴを名刺にスタンプする(CISSP版)私がいま専門にしている情報セキュリティの分野では、自分が取得した資格のロゴを名刺に印刷することがよくあります。Googleで画像検索すると出てきます。右上のロゴがそれです。@ITしかし、わたしが所属している会社では、名刺に入れられる資格が限定されています(弁護士など3個くらい)。情報セキュリティの資格ごときでは、印刷してもらえません。はじめはロゴをシールにして、名刺に貼るのを考えましたが、シールは意外と値段が高いですし、枚数が多いと貼るだけで一苦労。そんなある日、シャチハタで自分の印鑑を買ったとき、「ロゴを浸透印でつくって名刺に捺せばいいじゃん」と思いついたわけです。シャチハタで調べると、ピッタリの商品がすぐみつかりました。商品名は「スクエアネーム12」です。Bタイプなら文字だけでなく、マークなどが自由に指定できます。インキの色も、CISSPのロゴと同じ緑色があります。