宮田健の「セキュリティの道も一歩から」（28）

危険なのはUSBメモリではなく「見知らぬUSBデバイス」だ

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策。しかし、堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学をお届け！　今回は、米朝首脳会談に参加したあるジャーナリストの何気ない投稿から、製造業におけるセキュリティの在り方について考えてみました。

公開 2018年07月05日 09時00分

著者

宮田健

[TechFactory]

印刷する連載新着通知を受け取る

米朝首脳会談で配られたプレスキットに……

　2018年6月12日、シンガポールで米朝首脳会談が開催されました。歴史的なイベントで、世界中からジャーナリストが集まりました。その中でちょっと興味深いお話がありましたので、今回はそれを取り上げてみようと思います。実はこの話、製造業の皆さんも無関係ではないのです――。

　その話の発端となったのは、あるジャーナリストの何気ない投稿です。

　翻訳すると、以下のような感じでしょうか。

これは便利。#KimTrumpSummitのプレスキットには、ミニUSBファンが入っています。記事を書いている間、これをPCにつなぐと涼しく、便利です。シンガポールの気温は、33℃ほどありとても暑い。しかし、ドバイよりはまし。

　中東を中心に活動するHarald Doornbosさんのこの投稿に、どのような「問題」が潜んでいるのでしょうか。皆さんもぜひ考えてみてください。

◎「工場／製造業／IIoT セキュリティ」関連記事～課題、事例、導入、対策～など

&raquo 脆弱性はなくならない、事故発生を前提とした対策があなたの工場を脅威から守る

&raquo 工場セキュリティ対策の考え方と現実的なソリューション導入の手引き

&raquo 製造業が狙われる日も近い、制御情報系システムをITセキュリティの力で死守せよ

&raquo 狙われる国内製造業――事例から学ぶIoT時代の「工場セキュリティ」（前編）

&raquo 狙われる国内製造業――事例から学ぶIoT時代の「工場セキュリティ」（後編）

⇒ 新着記事をチェックする

「USBメモリ」じゃないのに危ないの？

　まず皆さんが思うのは、「USBメモリ」の脅威でしょう。特に製造業ではUSBメモリは「大敵」レベルで嫌われているかもしれません。その理由はUSBメモリを通じて、コンピュータウイルスをはじめとする脅威が、工場系ネットワークに入り込んでしまう可能性があるからです。ここまでは皆さんも同意でしょう。

　しかし、先の投稿は単なるUSB扇風機。電源を取るためだけにPCのUSBポートを使います。ならば、リスクなどないように思えますよね。しかし、そこにもリスクが潜んでいるのです。

　実は、USB規格には脆弱（ぜいじゃく）性と呼べるようなものが存在します。「BadUSB」というちょっと厄介な攻撃です。

　これは、USBメモリなどのデバイスに手を加えることで、不正な振る舞いを行い、PCデバイスを攻撃するもの。不正な方法によってUSBキーボードのように振る舞い、コマンドを送ることでデバイスの破壊や消去もできてしまいます。大きな問題は、USBメモリだけではなく、見た目は単なるUSBデバイスのように見えても、そのコントローラー中にBadUSBを利用する仕組みが不正に埋め込まれていると、外からは判別できないという点にあります。

　「そこまでする!?」と思うなかれ、今回の舞台は、世界が注目し、世紀の一瞬ともいえる米朝首脳会談でした。いつ、誰が、どこから狙いを定めているか分かりません。その意味では、プレスキットにそのような攻撃を仕込むことはかなり合理的。“ありとあらゆるリスクが存在する”と考えると、配られたUSBデバイスを不用意にPCに接続するのは避けるべきだったと思います。

米朝首脳会談レベルと同じくらい狙われてもおかしくない「工場」

　さて、ここまで読んでも、なぜこれが自分に関連するのか分からないという方は、ぜひ、気を引き締めてください。

　製造業は企業秘密の宝庫であり、それを守るのは誰であろう、あなた自身です。ラインの構成や製造のレシピなど、情報を欲しがる人はたくさんいます。もし、その情報を欲する攻撃者が展示会などで出展社を装い、無料の「USBデバイス」を配布していたとしたら――。実は同じような構図は、身近に潜んでいるかもしれません。

　以前、とあるベンダーがこんな手法で、似たようなこと（https://togetter.com/li/1037574）を行っていました。そのベンダーが配布していたのはUSBメモリ風のデバイスで、それをPCに接続すると、PC側からは「キーボード」として認識され、「Windowsキー＋R」と「URL文字列」を打ち込むことで、WebブラウザからベンダーのWebサイトを開くというもの。興味深い方法を使った、いわば「デジタルダイレクトメール」でした。個人的には興味深くはあるものの、それを応用するといろいろなことができてしまう可能性があることは分かるでしょう。例えば、実効性は低いのですが自動でキーボードを入力し、マルウェアをダウンロードすべくURLを入力してしまうなど……。

　USBメモリというのは、例えばネットワークでつながっていない隣のマシンに、数100MB、数GBのファイルを送るには大変便利です。特に工場系ネットワークなど、インターネットに接続されていない環境に、メンテナンス目的でファイルを移動するには唯一といってもいい手段でしょう。最近ではUSBメモリを安全に、便利に使うためのソリューションも増えて、昔ほど「USBメモリは絶対悪！」という声も少なくなりつつあると思います。

　しかし、USBデバイス全体を見ると、やはりこれを使ったリスクはたくさんあります。特に製造業においては「安全策が施された、決められたUSBデバイスのみを利用可能にする」「暗号化を行う」といった、最低限のルールは守りたいものです。そして、一般のPCにおいても「見知らぬUSBデバイスは、“充電のみ”であったとしてもつながない」ことを覚えておいてください。見た目は単なる扇風機でも、BadUSBの仕組みを使った「攻撃手法」の1つかもしれないという想定ができれば、リスク回避が可能になるはずです。

　「会社の前にUSBメモリをばらまいて、誰かが社内PCに挿すのを待つ」「部長名を書いたUSBメモリを、ビルのトイレに置き忘れたかのように放置する」「会社の総務にUSBメモリとともに『拾いました。中には顧客名簿らしきファイルが……』と送りつける」などの手法は、笑い話のように聞こえますが、どれも一定の効果があると筆者は考えています。

　怖がらせたいわけではありませんが、BadUSBの仕組みは製造業の皆さんならば、知っておいて損はありません。

この連載新着通知をメールで受け取る

◎併せて読みたいお薦めホワイトペーパー：

&raquo 制御システムの「安全神話」は既に崩壊している

&raquo WannaCryが明らかにした、生産システムセキュリティ「2つの問題点」と「2つの対応策」

&raquo 2つの事例で理解する工場セキュリティ対策の考え方とソリューション導入

&raquo 5分で分かるMirai

&raquo セキュリティリスクから工場／生産ラインをどう守る？

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやたたけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追い掛けている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。現在、ITmediaエンタープライズにて、もはや誰もが人ごとではないITの課題や話題を紹介する「半径300メートルのIT」を連載中。また、それをまとめた書籍「デジタルの作法～1億総スマホ時代のセキュリティ講座」も発売中。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さまに覚えていただけるようなコラムにしたいと思います。お楽しみに！

印刷する

宮田健の「セキュリティの道も一歩から」

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。でも堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学・ネタをお届けします。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

宮田健

＠IT記者を経て、現在はセキュリティに関するフリーライターとして活動する。エンタープライズ分野におけるセキュリティを追いかけつつ、普通の人にも興味を持ってもらえるためにはどうしたらいいか、日々模索を続けている。

危険なのはUSBメモリではなく「見知らぬUSBデバイス」だ

米朝首脳会談で配られたプレスキットに……

◎「工場／製造業／IIoT セキュリティ」関連記事 ～課題、事例、導入、対策～ など

「USBメモリ」じゃないのに危ないの？

米朝首脳会談レベルと同じくらい狙われてもおかしくない「工場」

◎併せて読みたいお薦めホワイトペーパー：

著者紹介：

宮田健の「セキュリティの道も一歩から」

この記事の著者

新着ホワイトペーパー PR

関連記事

事例で学ぶ、工場セキュリティ対策の考え方と現実的なソリューション導入の手引き

狙われる国内製造業――事例から学ぶIoT時代の「工場セキュリティ」（後編）

生産ラインの安定稼働を維持したまま、セキュリティリスクに備えるには？

三菱が制御システム向けセキュリティでマカフィーと連携、高度化する攻撃に対応

NEC、GEデジタルとの提携によるIT／OTセキュリティソリューションを展開

◎「工場／製造業／IIoT セキュリティ」関連記事～課題、事例、導入、対策～など