IoT家電をネットの脅威から守る--パナソニック製品セキュリティセンターの取り組み

　オーディオ、ビジュアル機器や白物家電など、インターネットにつながる家電が増えた。遠隔操作ができたり、動作状況がわかったりとメリットは大きいが、一方で、サイバー攻撃などのリスクはどうなっているのだろうか。パナソニック 製品セキュリティセンターは10月25日、現在の製品セキュリティ強化の取り組みを紹介した。

攻撃の様子をリアルタイムで可視化したシステム。矢印の始点が攻撃している場所、終点が攻撃を受けた場所になっている

　 製品セキュリティセンターは、本社直轄部門として2016年に発足。しかしセキュリティ対策についての歴史は長く、パナソニックがネット接続家電を販売し始めた2003年頃に、本社研究所で、接続性やセキュリティについて取り組みを開始。その後もデジタル家電接続検証センターや技術品質本部、解析センターなどを経て、現在の形になった。

　サイバー攻撃の数は増え続けている状況だが、そのうち半数はIoT機器を狙っており、IoTマルウェアの数も急増しているという。それにあわせて被害も増えてきている状況だ。

　パナソニック 製品セキュリティセンター製品セキュリティグローバル戦略部の大澤祐樹氏は「マルウェアがネットに放たれると、接続している機器が感染し、感染した機器はさらに別の機器に感染を広げる。感染した機器は攻撃者の配下に置かれ、一斉に攻撃をしかける。これにより、機器を乗っ取られた被害者はいつのまにか加害者になってしまうこともある」とIoTマルウェアによる典型的な被害例を挙げる。

パナソニック 製品セキュリティセンター製品セキュリティグローバル戦略部の大澤祐樹氏

　こうした被害を受けないためにもセキュリティ対策は万全をきたす必要があるが、その共通認識として根底にあるのは「だれがどうやってセキュリティを担保するのか」（大澤氏）ということ。パナソニックではメーカーとして出荷する製品のセキュリティを担保し、出荷後も攻撃の危険を発見した時はソフトウェアアップデートを提供。この2つがメーカーに求められているという。

　そのためパナソニックでは、企画、設計、実装、検証、販売・サービスといった商品のライフサイクルにあわせたセキュリティ対策を実施。出荷前にリスクの最小化をはかり、出荷後に問題起こった場合は速やかに対応するという、2つの取り組みを実施している。

　現在の製品セキュリティにおける課題は、「進化し続ける攻撃」「特定製品を狙う攻撃」「増え続けるIoTマルウェア」「製品のセキュリティコスト」の4点。大澤氏は「攻撃はさらに巧妙化しているため、その動きについていかなければいけない。特定のメーカーやデバイスの弱点を狙った攻撃も数多い。特化した攻撃は自社製品のセキュリティを担保するために個別にフォーカスして取り組んでいく」と現状の取り組みを話す。

　さらに「セキュリティの向上のためにいくらでもコストをかけ続けていいのかというとそれは違う。妥当なセキュリティを低コストで実現したいという思いもある」とメーカーならではの視点を踏まえて、課題に対するセキュリティ対策について話した。

　パナソニックでは、これらの課題解決に向け「Panasonic IoT Threat Intelligenceプラットフォーム構想」を着想。家電を標的にするマルウェアを独自で収集し、そのマルウェアの特徴を分析、IoT機器の防御に役立てるという3つのステップで業界全体の底上げを図る。

「Panasonic IoT Threat Intelligenceプラットフォーム構想」

　すでに、日本と台湾に観測拠点を設置。拠点には、パナソニックの冷蔵庫や洗濯機、空気清浄機、テレビ、エアコン、BDレコーダーなどのIoT家電を直接ネットに接続して置いている。「あえて無防備な状態の特殊な環境に置くことで、攻撃を収集している。リスクを最大化してモニターしておけば、ネット接続環境が5GやIPv6などに変わっても、予め状況をシミュレーションして先手を打てると思っている」（大澤氏）とした。

　今後は開発中の製品を拠点内に置くことで、攻撃を事前に収集し、開発側にフィードバックすることも想定しているとのこと。「開発中の製品は社内でなければテスト環境に出しにくい。これはメーカーならではのノウハウ」（パナソニック 製品セキュリティセンター製品セキュリティグローバル戦略部部⻑の林（りん）彦博氏）と特徴を話す。

パナソニック 製品セキュリティセンター製品セキュリティグローバル戦略部部⻑の林（りん）彦博氏

観測拠点には9つのIoT機器を設置。歯車のようなものがネット環境を表しており、攻撃を多く受けると速く周り、おさまるとゆっくりになる。急激に攻撃が増えると警告マークが出る

　2017年11月から観測をはじめ、期間はすでに2年弱に及ぶ。2億件の攻撃を観測し、2万を越えるマルウェアを収集。そのうち4718がIoTマルウェアだったという。集めたマルウェアは、ほかの部分に悪影響を及ぼさないよう設計されたサンドボックスと呼ばれる環境で実行させることで、挙動を観察し、モニタリング。マルウェアの特徴を分析しているという。この一連の流れは自動化し、限られたリソースで活動できるようにしている。

　今後は、観測拠点を米国、欧州など段階的に増やしていく方針。大澤氏は「メーカーが直接情報収集をすることで、分析結果を直に開発者にフィードバックし、機器開発に役立てたい。世の中には同じ悩みをもったメーカーも多いので、業界全体を底上げするような取り組みにつなげていけたら」とした。