IoTセキュリティとは？メリット、課題 & ベストプラクティス

IoTセキュリティとは？

IoTセキュリティは、従来のエンドポイントエージェントを実行できないインターネット接続デバイスを保護します。対象には、監視カメラ、ビル自動化システム、医療機器、産業用センサー、スマートオフィス機器、ネットワークインフラが含まれます。NISTのCybersecurity for IoT Programによると、IoTセキュリティには、IoTシステム、接続製品、その導入環境のセキュリティを強化する標準、ガイドライン、ツールが含まれます。

多くのIoTデバイスには、従来のエンドポイント保護を実行する処理能力がありません。セキュリティパッチのない簡素化されたオペレーティングシステムで動作し、初期設定の認証情報が変更されないまま使われます。こうした脆弱性により、IoTデバイスは従来のセキュリティツールでは検知・駆除できない マルウェア感染の格好の標的となります。

サイバーセキュリティにおいてIoTセキュリティが重要な理由

IoTデバイスは、従来のツールではセキュリティチームが監視できない、重要インフラへの直接的な攻撃経路を生み出します。2024年、米国政府監査院はIoTの脅威を国家安全保障上の優先課題に位置づけ、自治体の水道システムなど重要インフラへの攻撃を国家安全保障上の重大な課題として挙げました。連邦の監督機関がIoTの脆弱性を技術的な問題ではなく国家安全保障上の問題と位置づけるなら、経営層の関与を要する戦略的リスクに直面しています。

DHSは、IoTの統合により、エネルギー、水道、交通、医療の各分野で国家が接続インフラに依存するようになると明言しています。攻撃者がビル管理システムを侵害した場合、HVACの制御にアクセスするだけではありません。セキュリティチームが監視していないデバイスを使い、ネットワーク内に足場を築きます。侵害されたIoTデバイスは、インターネット上での組織的な攻撃に使われる大規模な ボットネットの一部になることも少なくありません。

こうしたインフラ上のリスクを理解するには、IoTセキュリティが従来のエンドポイント保護とは異なる原則で機能することを認識する必要があります。

IoTセキュリティと従来のエンドポイントセキュリティの違い

従来のエンドポイントセキュリティは、継続的な監視、振る舞い分析、自律的な対応を行うエージェントをインストールできることを前提としています。IoTデバイスには、その前提がどれも当てはまりません。

• リソースの制約により、エージェントベースの保護は使えません。 IPカメラは64MBのメモリを搭載したファームウェアで動作します。500MBを必要とするセキュリティエージェントはインストールできません。 ISACAの調査では、リソースが豊富なIT環境向けに構築された従来のセキュリティツールは、処理能力が限られるIoTデバイスにポリシーを適用できないことが明らかになりました。
• デバイスの多様性が標準化を妨げます。 保護対象には、3社製の監視カメラ、独自ファームウェアで動作するビル自動化コントローラー、変更できないFDA認証済みソフトウェアを搭載した医療機器、簡素化されたLinuxで動作するネットワークプリンターがあり、使用されるオペレーティングシステムは15種類に及びます。デバイスの種類ごとに異なるセキュリティ対策が必要です。
• 運用上の要件により、セキュリティ更新を適用できません。 医療機器には、再認証なしにパッチを適用できません。産業用コントローラーは、生産シフト中に再起動できません。ビル自動化システムは、ベンダーのサポートが終了したため、2012年のソフトウェアで動作しています。従来のエンドポイントセキュリティは脆弱性にパッチを適用できることを前提としますが、IoTセキュリティは適用できないことを前提とします。

ネットワークのセグメンテーションと制御は、エージェントベースの保護が使えない場合の唯一の選択肢です。こうしたネットワークレベルの保護には、複数のセキュリティコンポーネントの連携が必要です。

IoTセキュリティの主要コンポーネント

ネットワークレベルのセキュリティ対策は、多層防御によってIoTデバイスを保護します。自らを保護できないデバイスを単一の技術で守ることはできません。そのため、IoTセキュリティには環境全体に分散した多層的な対策が必要です。

• デバイスの検出とフィンガープリンティングにより、ネットワークに実際に接続されているデバイスを特定します。パッシブなネットワーク監視では、エージェントをインストールせずにデバイスの通信を把握します。アクティブスキャンではデバイスを調査し、稼働中のサービス、開いているポート、ファームウェアのバージョン、既知の脆弱性を特定します。
• ネットワークのセグメンテーションとアクセス制御により、IoTデバイスを重要なシステムから分離します。ビル自動化用の独立したVLAN、訪問者のデバイス用のゲストネットワーク、医療機器専用のセグメントを構築します。ネットワークアクセス制御は、デバイスが通信する前に認証要件を適用します。
• 振る舞い監視と異常検知では、デバイスの通常の動作パターンを把握し、逸脱があればアラートを発します。通常、IPカメラは予測可能な間隔でNVRにデータを送信します。ところが突然、脆弱なデバイスを探してネットワーク全体のポート23をスキャンし始めた場合、振る舞い分析が侵害を検知します。
• 脆弱性の管理と評価では、IoTデバイスの資産に影響する既知のCVEを追跡します。すべての脆弱性に直ちにパッチを適用することはできません。それでも、CISAのKnown Exploited Vulnerabilities Catalogに基づいて修正の優先順位を決め、ネットワーク制御を調整して悪用リスクを低減できます。

• 脅威インテリジェンスの統合により、IoTデバイスの活動を既知の攻撃パターンと照合します。NSAが国家によるIoTボットネット活動の侵害の痕跡を公開した際には、デバイスが該当する振る舞いを示していないか自動的に確認するシステムが必要です。

これらのコンポーネントは連携し、IoTインフラを検出、監視、保護する一体的なセキュリティの枠組みを構成します。

IoTセキュリティの仕組み

IoTセキュリティは、自動検出、ネットワークのセグメンテーション、振る舞い監視を組み合わせ、エンドポイントエージェントを実行できないデバイスを保護します。

IoTデバイスの検出と資産管理

存在を把握していないデバイスは保護できません。IoTデバイスの検出では、複数のスキャン手法を組み合わせ、対象デバイスにソフトウェアをインストールすることなく、網羅的な資産一覧を作成します。

• パッシブなネットワーク監視では、既存のトラフィックを分析して接続デバイスを特定します。新しい監視カメラがネットワークに接続され、映像管理サーバーとの通信を始めると、通信パターン、MACアドレスから特定したメーカー、プロトコルの動作に基づいてデバイスを識別します。
• アクティブスキャンは、定期的なトラフィックを生成しないデバイスを見つけるため、対象を絞ったプローブを送信します。ネットワークスキャンでは、開いているポート、稼働中のサービス、OSやファームウェアのバージョンが分かるデバイスの応答を特定します。これにより、1時間に1回しかデータを送信せず、パッシブ監視では見逃しかねない環境センサーも発見できます。
• 既存インフラとの連携では、DHCPログ、スイッチのポートマッピング、無線コントローラーの接続情報からデバイス情報を取得します。パッシブ監視、アクティブスキャン、インフラのデータを組み合わせることで、デバイスの種類、設置場所、通信方法を網羅したインベントリを構築できます。

継続的な検出により、変更をリアルタイムで把握します。午前2時に誰かが会議室のネットワークへ未承認のスマートテレビを接続しても、四半期ごとの資産監査を待たず、数分以内にアラートを受け取れます。接続されたすべてのデバイスを特定したら、次は進行中の脅威から守るための制御が必要です。

IoTセキュリティの制御と監視

ネットワークレベルの制御は、自身を保護できないIoTデバイスを守ります。デバイスレベルのセキュリティがないため、インフラ層でセキュリティを適用します。

• ネットワーク分離とマイクロセグメンテーションは、IoTデバイスの侵害による被害を封じ込めます。ビル管理システムは承認済みの管理サーバーと通信できますが、財務データベースへの接続は開始できません。攻撃者が脆弱なIoTデバイスを侵害しても、セグメンテーションによって重要なシステムへの横展開を防ぎます。
• 振る舞い分析とウォッチリストは、デバイスの活動を監視し、不審なパターンを検出します。まず、通常の振る舞いの基準を設定します。たとえば、ある医療機器は、定められたプロトコルを使い、特定の病院システムとのみ通信します。その機器が突然、外部IPアドレスへの接続を試みると、振る舞い監視がアラートと自動対応を開始します。
• 脅威への自動対応と隔離は、侵害されたデバイスをネットワークインフラから切り離します。IPカメラがボットネットの指揮統制通信に参加していることを検出すると、ネットワークレベルの隔離によって通信を遮断します。機器を物理的に取り外したり、デバイスの設定を変更したりする必要はありません。
• 構成管理と変更の追跡は、デバイス設定への未承認の変更を監視します。構成管理データベースとの連携により、パスワードの変更、ネットワーク設定の変更、未承認のファームウェアのインストールを検出します。

これらのセキュリティ対策は、セキュリティチームに測定可能な運用上・戦略上のメリットをもたらします。

IoTセキュリティの主なメリット

IoTセキュリティの導入は、運用面の即時的な改善と長期的な戦略上のメリットをもたらします。

1. ネットワーク全体の可視化により、実際の攻撃対象領域が明らかになります。IT部門が設置していない40台のIPカメラ、従業員のオフィスにある私物のスマートスピーカー、プロジェクト終了から6か月経っても接続されたままの請負業者の試験機器を発見できます。
2. 攻撃対象領域の縮小と横展開の防止により、最初の侵害地点で脅威を封じ込めます。 査読済みの学術研究によると Miraiボットネットの亜種を分析すると, 攻撃者は深刻度が「緊急」のCVE (CVSS 9.8) を連鎖的に悪用するか, デフォルトの認証情報を使って脆弱なIoTデバイスを組織的に探し, ITシステムへ侵入することがわかります. この調査では, その過程で悪用される脆弱性としてCVE-2021-36260 (Hikvisionのコマンドインジェクション), CVE-2017-17215 (Huaweiルーターでのコード実行), CVE-2020-9054 (ZyXEL NASのOSコマンドインジェクション) を具体的に記録しています. ネットワークセグメンテーションは, 侵害されたデバイスを隔離し, 攻撃者が展開できるITインフラへの横方向の移動を防ぐことで, この進行を阻止します ランサムウェアやその他のペイロードによる攻撃です。
3. 規制への準拠とリスク管理は、監査人や規制当局に対して適切な管理を実施していることを示します。 NIST SP 800-213は、連邦政府機関にIoTデバイスのインベントリ管理とRisk Management Frameworkに基づく制御の適用を義務付けています。IoTの継続的な監視と制御の実施を記録することで、これらのコンプライアンス要件を満たせます。業界固有の規制には、さらに要件が加わります。FD&C ActのSection 524Bに基づくFDAの医療機器サイバーセキュリティ要件、決済機能を持つIoTデバイスに適用される PCI DSS、医療分野のIoTデバイスに適用されるHIPAAのセキュリティ要件は、いずれも連邦政府の調達要件に加えたコンプライアンス義務を定めています。
4. インシデントの検出と対応の迅速化 により、被害が拡大する前に侵害を特定します。CISAの脅威評価では、OTネットワークの分離不足、ネットワークアクセス制御の実装不備、十分なログ取得・監視機能の欠如が脆弱性を生み出していることが判明しました。こうした欠陥により、攻撃者は重要インフラを担う組織へのアクセスを長期間維持できました。リアルタイムの振る舞い監視なら、侵害を数か月後ではなく数分以内に検出します。
5. セキュリティチームのリソース最適化により、複数拠点にまたがるデバイスの手作業での追跡が不要になります。自動検出と継続的な監視が、完了した時点ですでに古くなる四半期ごとのスプレッドシート監査に取って代わります。

これらのメリットは、セキュリティインシデントの削減とセキュリティ運用の効率化に直結します。ただし、導入時によくある失敗を避けることが条件です。

以下は、箇条書きに再構成したものです。

IoTセキュリティでよくある失敗

管理されていないデバイスを従来のエンドポイントと同様に扱ったり、セキュリティ対策を一度きりの導入で済ませたりすると、IoTセキュリティは機能しません。よくある失敗をいくつか紹介します。

• デバイスレベルのセキュリティがあると思い込むこと： 11,329件のIoTコード例を分析した学術研究では、公開されたコードスニペットの5.4%にセキュリティ上の弱点が見つかりました。メーカーのセキュリティ対策だけには頼れません。搬入口に届くデバイスには、ベンダーの主張にかかわらず、悪用可能な脆弱性が含まれています。
• ネットワークを分離せずにIoTデバイスを導入すること： CISAの脅威評価では、適切なネットワーク分離が実装されていなかったため、権限のないITユーザーが重要なSCADA VLANにアクセスできた事例が記録されています。侵害されたIPカメラから産業制御システムへ通信できてはなりません。
• サポート終了後のデバイスの脆弱性を無視すること： セキュリティ研究者は、パッチが提供されていない重大な脆弱性を持つ販売終了済みの監視機器が、実際に悪用されていることを繰り返し確認しています。ベンダーがIoT製品のサポートを終了しても、組織はパッチが提供されない既知のCVEを抱えたまま、本番環境で使い続けることが少なくありません。旧式のカメラ、ルーター、ネットワーク機器はサポート終了後も何年も稼働し、攻撃者が狙う恒常的なセキュリティ上の欠陥を生み出します。
• IoTデバイスの振る舞いを監視しないこと： IoTデバイスの侵害は、シグネチャベースの検出ではなく、振る舞いの異常から検出します。監視カメラがDDoS攻撃 通常の動作とは異なって見えます。ただし、それを見分けられるのは動作パターンを監視している場合だけです。
• IoTセキュリティを一度きりのプロジェクトとして扱う: 新しいIoTデバイスは絶えずネットワークに接続されます。従業員は私物のデバイスを持ち込み、請負業者はテスト機器を設置し、シャドーITは未承認のスマートオフィス機器を導入します。IoTセキュリティには四半期ごとの監査ではなく、継続的なデバイスの検出が必要です。

こうした間違いを避けても、IoTセキュリティの導入には根本的な制約があります。

IoTセキュリティの課題と限界

IoTセキュリティには、デバイスの多様性、運用上の要件、自社で管理できないベンダーの慣行に起因する制約があります。主な課題は次の5つです。

1. デバイスの多様性がセキュリティ制御の空白を生む: 保護対象には、変更にFDAの再認証が必要な医療機器、独自プロトコルを使う産業用コントローラー、セキュリティ機能のない消費者向けデバイス、ベンダーがすでに存在しないレガシー機器が含まれます。すべてのデバイスに通用する単一のセキュリティ対策はありません。
2. 暗号化された通信の可視性が限られる: IoTデバイスが外部のクラウドサービスへの通信を暗号化している場合、ネットワーク監視ではペイロードを調べ、コマンド＆コントロール通信やデータの持ち出しを検出できません。通信の存在は分かっても、その内容までは分かりません。
3. 運用上の要件がセキュリティのベストプラクティスと相反する: 製造ラインは24/7で稼働し、セキュリティパッチの適用のために停止できません。病院の医療機器も継続稼働が必要です。ビルの自動制御システムは、中断できない人命安全システムを制御しています。セキュリティ上の推奨事項はデバイスの再起動と更新を前提としますが、運用の現実はそれを許しません。
4. リソースの制約がセキュリティチームの対応力を制限する: GAOによると、連邦政府機関はリソース不足やゼロトラスト施策などとの優先順位の競合により、IoTセキュリティの導入を延期しました。セキュリティチームの人員と予算が不足すれば、IoTセキュリティはほかのすべてのセキュリティ施策とリソースを奪い合います。
5. ベンダーのセキュリティ対策は自社で管理できない: ネットワーク制御や監視は導入できても、デバイスのファームウェアに埋め込まれた認証情報を修正したり、メーカーに販売終了製品の脆弱性を修正させたりすることはできません。多くのIoTデバイスは、ベンダーが対処しないゼロデイ攻撃に対して脆弱なままです。ベンダーのセキュリティ対策が不十分な場合、IoTセキュリティには代替的な制御策が必要です。

こうした制約があっても、適切な導入戦略によって運用上の制約の中でIoTデバイスを効果的に保護できます。

IoTセキュリティのベストプラクティス

効果的なIoTセキュリティには、継続的な監視、ネットワークレベルの制御、セキュリティ運用全体との連携が必要です。

• 継続的なデバイスの検出とインベントリ管理を導入する: パッシブスキャンとアクティブスキャンを導入し、ネットワーク接続から数分以内に新しいデバイスを自動識別します。検出データを構成管理データベースと連携させ、承認済みデバイスを追跡します。
• ネットワークセグメンテーションとマイクロセグメンテーションを徹底する: IoTデバイスの種類ごとに専用のVLANを設け、ファイアウォールのルールで通信先を承認済みシステムに限定します。監視カメラは映像管理サーバーとのみ通信し、財務データベースや産業用制御システムとは通信させません。
• 振る舞い監視と異常検知を導入する: IoTデバイスの種類ごとに通常の通信パターンを定め、逸脱を検知したらアラートを発します。デバイスにポートスキャン、外部とのコマンド＆コントロール通信、DDoS攻撃への加担といったボットネット特有の挙動が見られると、 振る舞い監視によって自動検知と即時対応が開始されます。
• 信頼できる情報源を基に脆弱性の修正を優先する: あらゆる潜在的な脆弱性を修正しようとするのではなく、CISAのKEVカタログに掲載されたCVEのパッチ適用に注力します。KEVカタログには、実際の悪用が確認された脆弱性が掲載されています。
• ネットワークレベルのアクセス制御と認証を導入する: ネットワークリソースへのアクセス前にデバイスの認証を必須にします。最新の認証方式に対応できないデバイスは、ほかのシステムへのアクセスを最小限に制限したネットワークセグメントに配置します。
• 設定変更と未承認の変更を監視する: デバイスの設定、ファームウェアのバージョン、ネットワーク構成の変更を追跡します。デバイスが承認済みの構成から逸脱した場合や、セキュリティ設定が変更された場合はアラートを発します。
• IoTセキュリティを包括的な脅威検知プラットフォームと連携させる: IoTデバイスのデータをXDRプラットフォームに取り込み、デバイスの活動をエンドポイント、ネットワーク、クラウドのテレメトリと相関分析します。IoTデバイスの侵害はより大規模な攻撃の前兆となることが多く、統合された可視性によって複数段階にわたる攻撃活動を検知できます。

これらの対策がIoT保護の基盤となります。ただし、その実践には管理対象外のデバイスのセキュリティに特化したプラットフォームが必要です。

SentinelOneでIoTデバイスを保護

IoTデバイスはエンドポイントエージェントを実行できません。しかし、攻撃者はその導入上の制約を気にしません。監視カメラ、ビルの自動制御システム、医療機器を悪用してネットワーク内に足場を築き、重要インフラへと侵入を広げます。 SentinelOne Singularity Platformは可視性を従来のエンドポイントからネットワーク上のすべてのIP対応デバイスに広げ、この空白を埋めます。

このプラットフォームはパッシブ監視とアクティブスキャンを組み合わせ、エージェントをインストールせずにIoTデバイスを識別します。デバイスを識別し、ファームウェアのバージョンを取得して、セキュリティチームが承認していないシャドーITの導入まで明らかにする完全な資産インベントリを構築します。新しいデバイスがネットワークに接続されると、管理対象外の資産やセキュリティ上の空白を自動アラートでリアルタイムに通知します。

Purple AIはIoTデバイスのインベントリ全体を自然言語で検索し、「外部IPアドレスと通信しているカメラをすべて表示して」といった質問を的確な脅威ハンティングに変換します。振る舞いの分析で異常を検知すると（IPカメラがネットワーク上の脆弱なデバイスをスキャンする、ビル制御システムが許可なくデータベースへの接続を試みるなど）、Storyline技術が攻撃の全経過を再構築し、侵害がどのように進んだかを正確に示します。

このは、IoTテレメトリをエンドポイント、クラウド、アイデンティティデータと統合し、デバイス侵害と広範な攻撃キャンペーンの相関を可能にします。はIoTのテレメトリをエンドポイント、クラウド、アイデンティティのデータと統合し、デバイスの侵害とより広範な攻撃キャンペーンを関連付けます。この統合はとの統合により、SOCアナリストは攻撃が拡大するすべてのインフラ層を完全に可視化できます。との連携を通じ、攻撃が波及するあらゆるインフラストラクチャ層の完全な可視性をSOCアナリストに提供します。

SentinelOneのデモをリクエストすることで、従来のエンドポイントセキュリティでは届かないIoTインフラストラクチャを自律型の保護がどのように守るかをご確認いただけます。

AIを活用したサイバーセキュリティ

リアルタイムの検知、マシンスピードのレスポンス、デジタル環境全体の可視化により、セキュリティ態勢を強化します。

デモを見る

主なポイント

IoTセキュリティは、ネットワークレベルの可視化、セグメンテーション、振る舞いの監視によって、従来のエンドポイントエージェントを実行できないインターネット接続デバイスを保護します。国家を背景とする攻撃者はIoTの脆弱性を積極的に悪用して世界規模のボットネットを構築しており、FBIとNSAの文書はこうした活動が続いていることを裏付けています。

侵害されたIoTデバイスは重要インフラへの攻撃の侵入口となり、SCADAシステムや業務ネットワークへのラテラルムーブメントを招きます。継続的なデバイス検出とリアルタイムの監視により、未承認のデバイスや侵害を数分以内に検知し、攻撃者がネットワーク内に足場を築く前に阻止します。