Wind River Blog Network 翻訳版
本サイトでは、Wind River Blog Networkの一部を翻訳し公開しております。

February 15, 2017

組込み環境におけるセキュリティインシデントへの対応

投稿者:Tim Radzykewycz

現実問題として、脅威や何らかのセキュリティ侵害の影響を受けないコンピュータシステムは存在しません。しかし、不正侵入検知(IDS)を導入して侵入を検知し、インシデント対応チーム(IRT)にすぐに連絡して侵入を調査し、事前に侵入タイプを特定して対処計画を整備しておくというのが、業界のベストプラクティスとなっています。

このベストプラクティスは一般的なIT環境に当てはまりますが、組込み環境には、どのように当てはめることができるのでしょうか。組込み環境は実に幅広く多様であり、対応も各分野によって異なります。自動車や医療分野では適切なことでも、工場で求められること、あるいは家電に関して適切なこととは、大幅に異なる可能性があります。

いかなる場合でも、セキュリティを評価して、侵害への対処方法を具体的に計画するべきです。評価が非常にシンプルで、その評価に基づく計画も極めて単純になる場合もあれば、一般的なIT環境と比べ、評価や計画が著しく複雑になる場合もあります。最も効果を高めるには、評価と計画をデバイスの展開前に行うべきであり、実際、通常は製品設計の段階で実施すべきです。こうした要件を考慮せずに設計されたデバイスに、後から機能を組み込むことは困難であり、最終的に重大な事態を招く可能性があります。今日のネットワークに接続された環境では、セキュリティの後付けは不可能です。

評価を行い、対応計画を策定したら、IDSの要件と必要な機能について検討します。これは大きく分けると、侵入検知方法とその報告方法という2つの分野になります。セキュアブート時に測定された値を、必要に応じて侵入検知計画に統合することができます。ネットワークトラフィックに基づいて侵入を検知する場合は、Wind River Linuxのsnortおよびsuricataパッケージが役立ちます。ファイルの整合性に基づいて侵入を検知する場合は、Wind River LinuxのIMA Appraise機能が役立ちます。この機能によって、改ざんされた実行可能ファイルを検知できます。あるいはより大局的には、侵入検知をシステムのバックアップと統合すれば、プロセスをduplicityリモートバックアップシステムと統合して、実際の検知をリモートで実行することができます。

組込み環境では一般的に、検知はイントラネット内の情報よりも、デバイス内の情報に大きく依存します。しかしそれは、デバイスのタイプや、デバイスが展開されている業界や環境にも左右されます。たとえば、工場で使用されるロボットには当然のことながら、ネットワーク環境にかかわらず、一定レベルの検知機能が備わっているはずです。ただし、ロボットが接続されているネットワークが、インターネットから一部分離されている場合は、侵入検知にそれほど時間がかからない可能性があります。この例では、ゲートウェイデバイスによって保護がより容易になるかもしれません。しかし、ゲートウェイで十分な分離が行われない場合、同じ工場のロボットでもより強固な保護が必要になります。まったく別の例をあげると、宇宙探査機には異なる侵入検知の要件が存在し、攻撃が検知された場合の緊急時対応計画も異なります。さらに、診療記録の表示に使用されるタブレットであれば、侵入検知機能の多くをリモートサーバーに依存しているかもしれません。

セキュリティ評価と、侵入検知の要件について明らかになったところで、次に策定されるのが緊急時対応計画です。IT環境では、インシデント対応チームについて検討する必要があります。前述のとおり、組込み市場は実に多様であるため、インシデント対応計画も市場そのものと同様に極めて多様になります。実質的な対応チームが存在せず、マーケティングチームや広報チームがインシデント関連の連絡に対応している場合もあれば、法的な理由などから、何がセキュリティ侵害にあったかを特定する必要があり、対応チームの存在が不可欠である場合もあります。

要するにIoTの世界には、セキュリティの計画と対応を左右する、多様かつ膨大なセキュリティ環境が存在しています。組込み分野で世界をリードするウインドリバーは、要件に対応する技術と、評価、対応計画の策定、およびインシデント対応調査を支援するコンサルティングの専門性でお客様を支援します。詳細については、当社の包括的なセキュリティ専門性をご覧ください。