「Security Days」（東京：2016年10月5～7日）にて、「いまIoTデバイス保護に求められるセキュリティ対策とは？～Linux OSベンダーの視点から考える課題と解決策～」と題した講演を行った、ミラクル・リナックスの小林慎氏

　これらの数は今後も加速度的に増えていくとみられているが、その普及に伴って、IoTデバイスのセキュリティホール（脆弱性）を悪用した事件も散見されるようになっている。その中には、監視カメラの悪用やPOSシステムのマルウェア感染など、プライバシーや財産に大きな危険性をもたらすものも含まれている。

　情報セキュリティ総合展示会「Security Days」（東京：2016年10月5～7日）にて、ミラクル・リナックスが行った講演では、IoTデバイスの保護に求められるセキュリティ対策とその課題、解決策について、Linux OSベンダーの立場から語られた。

IoTデバイスの特長は「多」「動」「開」「省」

　セキュリティ対策を施すということは「IoTデバイスやIoTゲートウェイが正しく動作するべきにはどういった手段を執るべきか」を検討した結果である訳だが、登壇したミラクル・リナックスの小林慎氏（マーケティング本部 プロダクトマーケティング部 アシスタントマネージャー）は「セキュリティソフト導入など単発的な対応では防ぐことはできない。OSレベルからの防御が必要となる」と多層的な施策の必要性を訴える。

　IoTはつながることを表す概念であるがため、エンドデバイスはもちろんのこと、ゲートウェイやネットワークそのもの、バックエンドのサーバまで関与する領域は幅広い。どこか1箇所だけを対象にセキュリティを強化してもその効果は薄いからだ。加えて小林氏はIoTデバイス（エンドデバイス）の特長として、「多」「動」「開」「省」の4つを挙げる。

IoTを構成する4要素

IoTデバイス・IoTゲートウェイの特性

求められる「セキュリティ・バイ・デザイン」

　M2Mでの利用に比べてデバイスの数が多く、コネクティッドカーのようにデバイスが動くこともあり、閉域網ではなくオープンネットワークが使われることもあり、デバイスの小型化や省リソースも求められる――。小林氏の挙げる「多」「動」「開」「省」はいずれも十分なセキュリティを確保する際の課題となるものだが、大変だからといって対策をしなければ人命に関わるトラブルに発展する可能性もある。

　世界最大のセキュリティイベントである「Black Hat USA」では近年、自動車のセキュリティに関する発表に注目が集まっており、2015年のイベントでは「ジープ・チェロキー」のネットワーク対応車載情報機器を使って車両の遠隔操作が可能になるという脆弱性が報告されている（この問題は現在、修正パッチが提供されている）。

　また、2016年8月には警察庁がtelnet（23／TCPポート）へのアクセス増を報告しており、その発信元はLinux系OSを搭載した機器であるとしている。これはつまり、ネットワークカメラやデジタルレコーダーといった一般家庭にもあるLinux系OS搭載機器が所有者の知らぬ間にBot化し、攻撃手段とされている可能性を示している。

IoTセキュリティの課題と対策

　このように「多」「動」「開」「省」への対応は猶予のならぬ状態となっているが、小林氏はその対処策はそれぞれ存在し、加えていえば、「企画設計開発の段階でセキュリティを意識した設計であること」の大切さ、つまり、「セキュリティ・バイ・デザイン」の必要性を訴える。

　これはデバイスやネットワーク、サービスを組み合わせたIoTを構築した後ではなく、構築する前から対策を施すことで、結果的にはシステムリソースや金銭的コストの低減につなげるという発想だ。

　その「セキュリティ・バイ・デザイン」の例として小林氏は同社の組み込み機器向けソリューション「Embedded MIRACLE IoT Securityアーキテクチャ」を紹介した。これは、セキュア領域を持ったハードウェアとコンテナを構築した仮想環境、適切なセキュリティ設定を持ったOS、セキュリティソフト、2段階認証を持つOTA（Over The Air）アップデート機能などを組み合わせたもので、IoTのエンドデバイスを多層的に防御する。

ミラクル・リナックスの「Embedded MIRACLE IoT Securityアーキテクチャ」

　このアーキテクチャにおいてアプリケーションは仮想環境内で実行されるために問題発生時の影響を最低限にとどまる他、OTAによるOSとセキュリティソフトの更新により、常にデバイスは脅威に対して最新の状態が保たれる。OS（Embedded MIRACLE）もrootユーザーの削除やアクセス制限、FireWallポリシーの設定が施されており、ポートスキャンなどの攻撃に対処している。

　小林氏はIoTデバイスが原因となった情報漏えいや脆弱性の事例を数多く挙げながらも「実例よりもIoTデバイスとIoTゲートウェイは狙われている」と注意を喚起し、OSのレベルから「セキュリティ・バイ・デザイン」の意識が必要であると訴えた。