• TOP
  • 特集一覧
  • IoTにおける監視カメラの安全性をどう確保するべきか【前編】
2018/05/28

IoTにおける監視カメラの安全性をどう確保するべきか【前編】

メイン画像

IoTデバイスのセキュリティが話題となる中で、特に注目されているのがインターネットにつながる監視カメラ、いわゆるIP監視カメラです。

IP監視カメラは、センシングを行うその他の各種IoTデバイスと比べて比較的コンピューティング能力が高く、高速の通信帯域を確保できるため、サイバー犯罪者にとって最大の標的となっています。2016年に起きたIoTボットMiraiによる事例では、Linuxベースのデバイスがボットに感染しました。

このボットネットは、史上最大ともいわれるDDoS(distributed denial-of-service)攻撃に利用されていました。この攻撃では、通信量が最大で通常の50倍と爆発的に増加し、インターネットトラフィックは1.2Tbpsという記録的な数値に達したと報道されています。この攻撃における莫大な通信は遠隔操作で引き起こされましたが、ここで使われた多くのデバイスは乗っ取られたIP監視カメラでした。作成者がMiraiのプログラムコードを公開したため、亜種が複数出現し、脆弱なIP監視カメラの悪用を繰り返しています。

このような中、IP監視カメラのサイバー攻撃からの保護は大きな懸案事項となりつつあり、例えば台湾ではすでにサイバーセキュリティを強化するための規制に乗り出しています。IP監視カメラにおけるセキュリティの確保は、今後の監視カメラ市場の鍵を握るひとつの要素になりつつあります。

本稿では、IoT化に伴いさらに重要度を増していくIP監視カメラのサイバーセキュリティについて、前後編の2回に分けて解説します。

なぜIP監視カメラが狙われるのか?

IoTデバイスを攻撃するサイバー犯罪者の主な動機は、金銭的利益を得ることです。サイバー犯罪における収益化を考えたとき、IP監視カメラが標的になる理由には以下のような点が考えられます。

・24時間365日インターネットにつながっている
他の多くのIoTデバイス同様、IP監視カメラは正常に機能するために常にインターネットにつながっている必要があります。
インターネット上に露出していると、サイバー犯罪者が標的となるカメラを見つけ出して悪用を試みることも容易になります。一度侵入が成功すれば、その後はカメラを思いどおりに悪用できるようになります。

・低コストでのハッキングが可能である
PCのハッキングとは異なり、IP監視カメラのようなIoTデバイスへの侵入方法を見つけた場合、同様の手口を類似モデルの別デバイスにも比較的容易に適用することができます。
そのため、1デバイス当たりにかかるハッキングコストが極めて低く済みます。

・セキュリティ管理が行き届いていない
セキュリティ担当者によって管理されており、利用者が毎日オフィスで使用するPCとは異なり、一度セットアップされたIP監視カメラを利用者が日常的に操作することはほとんどなく、セキュリティ管理が行われていません。
また、市販のセキュリティアプリを別途インストールすることもできません。

・コンピュータとして比較的高性能である
IP監視カメラのコンピューティング能力には余力があり、これは通常、仮想通貨マイニングのようなハッキング関連のタスクを実行するのに十分です。
その上、リソースを消費していても利用者が日常的に操作しないため、多くの場合気付かれることもありません。

・高速で大容量の通信帯域が利用できる
ビデオ通信を行うために常時接続され、高速で大容量の帯域幅を確保できるIP監視カメラは、サイバー犯罪者にとってDDoS攻撃の起点に利用できる格好の標的となります。

IP監視カメラへのサイバー攻撃とは?

通常、IP監視カメラに関するサイバー攻撃は以下の手順で行われます。

1.初期感染
サイバー攻撃者は、まずTelnet、SSH、UPnP(Universal Plug and Play)などのポートが開かれているデバイスをインターネット上で検索し、これらを見つけると、例えば、Miraiのようにデバイスに初期設定されている認証情報を利用するか、PersiraiReaperのようにパッチが適用されていないシステムの脆弱性を悪用してデバイスへアクセスし管理者権限を得ます。

2.コマンド&コントロール
サイバー攻撃者は、ひとたびIP監視カメラの管理者権限を奪うと、悪意のあるスクリプトをデバイス上にダウンロードして実行したり、カメラ内の情報をコマンド&コントロール(C&C)サーバに送信したりします。
攻撃者は、C&Cサーバを介して侵害されたIP監視カメラに対し、仮想通貨マイニングやUDP(User Datagram Protocol)フラッドによる他のサーバやデバイスへのDDoS攻撃といった不正な命令を実行します。

3. 拡散活動
サイバー攻撃者が使用するマルウェアの中には、ネットワークをスキャンし、同じ感染手法を用いて他の脆弱なデバイスに増殖できるタイプのものもあります。
攻撃者は、すでに確認されているIoTボットのように、この拡散活動を自動的に行わせることも、C&Cサーバ越しに手動で作動させることも可能です。

ホームネットワークと企業内ネットワークにおけるセキュリティリスク

一般消費者向けに販売されている家庭用のIP監視カメラは、その多くがインターネットに直接つながっています。つまり家庭用IP監視カメラは、自宅にあるパソコンとほぼ同じレベルでインターネットの脅威に晒されているのですが、それにもかかわらず、IP監視カメラには、パソコンのようにセキュリティ対策ソフトウェアをインストールすることができません。このようなリスクを抱えながらも、家庭用IP監視カメラは手軽な価格で容易に入手できることもあり、今後も市場の成長が見込まれています。

一方、家庭用IP監視カメラは、それ程のセキュリティリスクに晒されていないと主張する人々も多く存在します。

なぜなら、ほとんどの製品は企業向けに設計されており、基本的に企業はIP監視カメラをLAN内に導入することでインターネットから検索できないようにするためである、というのが彼らの主張する根拠です。この主張は正しいかもしれませんが、下記のような現実的なリスク要因が考慮されていない可能性もあります。

・システムインテグレーターはIP監視カメラを想定通りに導入していないかもしれません。
多くの場合、新たなデバイスの導入から運用にあたっては、より手軽な方法が選択されがちだからです。それにより保守が容易になることも要因として挙げられます。企業のLAN内に導入されているはずのIP監視カメラが、外部から参照可能な状態になっているケースがあるのはそのためです。

・IP監視カメラのビジネスモデルが変化しつつあります。
サービス提供事業者は、例えば高齢者の見守りなどカスタマイズされたサービスの運営にIP監視カメラを使用しています。このようなサービスでは、IP監視カメラをインターネット上で利用可能にすることが、利用者とリモートオペレータが必要に応じて同時にカメラにアクセスするための最も簡単な方法です。

・ハードウェアおよびソフトウェアの全体的なコストを削減するため、ビデオ解析など最新の付加価値的な機能が、クラウド側に導入されています。
これにより、特定機能のオン/オフを切り替えたり、カメラのハードウェアのスペックに関係なく新しい機能を追加したりするといった柔軟性が生まれると同時に、クラウド上のデータをサイバー攻撃者に狙われるリスクも存在することになります。

このように、ホームネットワークか企業内ネットワークかを問わず、IP監視カメラがインターネット接続される傾向が強まっています。世界中に数多くのIP監視カメラが設置されていることを考えると、インターネットに公開されているIP監視カメラはそのうちのごく一部だとしてもかなりの数にのぼるため、サイバー犯罪者にとっては標的となり得ます。

もう1つの懸念として、IP監視カメラ利用時のサイバーセキュリティ対策として、ネットワーク分離が挙げられがちな点についても言及しておきます。IP監視カメラをLAN内に配置したとしても、ハッキングから守られている保証にはなりません。

例えば、巧妙に作られたマルウェアはLAN内で容易に拡散可能なため、そのLANに外部から持ち込まれた携帯デバイスなどが容易に感染媒体になり得る、ということがあります。悪名高いIoTボットであるMiraiを例にとると、その標的はLinux上で動作するIP監視カメラだったにもかかわらず、拡散に際して重要な役割を果たしたのは、Windows環境で感染を広げ、感染環境内のネットワーク上でMiraiの対象機器を探すトロイの木馬でした。

続く 後編では、これらIP監視カメラを巡るサイバーセキュリティ上の脅威を防ぐためのセキュリティ戦略について解説します。

IoTにおける監視カメラの安全性をどう確保するべきか【後編】

JEFFREY CHENG

JEFFREY CHENG

Senior Manager

Global Consumer Sales Enablement and Business Development

Trend Micro

国立台湾科技大学でMBAを取得。情報セキュリティソフトウェア業界でのプロダクトマネージャのキャリアを経て、現在はIoTセキュリティ関連の製品開発およびテクノロジーエバンジェリストとして活躍。サイバーセキュリティに関する台湾の複数の政府プロジェクトのコンサルタントを務める。

おすすめの動画

IoTで広がる世界とそのセキュリティ

運営社情報

セキュリティブログ
is702
PageTop