現在地 HOME > 掲示板
> ＩＴ5 > 161.html
★阿修羅♪
|
現在地 HOME > 掲示板
> ＩＴ5 > 161.html
★阿修羅♪
|
|
| Tweet |
インテリジェントビルに潜むセキュリティの盲点【IT_Media記事】
http://www.itmedia.co.jp/enterprise/0402/28/epn06.html
ニュース
2004/02/28 23:36:00 更新
IPネットワークを用いて空調や照明、ドアの開閉や監視カメラなどを制御できるインテリジェントビルが増えているが、ここにセキュリティ上の落とし穴があるという。
はじめからネットワーク設備を整備し、IPネットワーク越しに空調や照明、ドアの開閉や監視カメラなどを制御できるインテリジェントビルが増えている。オフィスビル建築ラッシュに沸く日本でもここ1〜2年ほどの間、オープンなIPネットワークを利用したビル監視システムを導入するケースが増えてきた。
こうしたインテリジェントビルでは、制御・監視系にIPネットワークを利用することでコストを減らせるし、遠隔地からの管理も行えるようになる。だが、実はここに落とし穴が潜んでいる。米SunStorm Security Groupのハリー・リーガン氏は、RSA Conference 2004のセッションの中で、IPネットワークを活用した制御システムが盗聴やセッションハイジャックの危険性にさらされていることを指摘した。
リーガン氏はまず、ビル管理については、技術的な側面よりも組織的な問題があると語った。本来ならポリシーや手順についてともに作業すべきところが、「情報セキュリティに携わる人々と物理的なセキュリティに携わる人々はたいてい別で、間に大きな溝がある」（同氏）。
しかも設備や物理的セキュリティの担当者は、往々にしてすべてを納入業者に丸投げしがちで、自らシステムには触りたがらない。監視システムの基盤がWindowsなどの汎用OSだったとしても、脆弱性の検出とパッチの適用というサイクルからは除外されることが多いという。「この結果、安全ではないシステムが残されることになる。攻撃者のターゲットになりかねない」（リーガン氏）。
エアコンやドア制御などに利用されているレガシーな制御機器は、たいてい、RS232CやRS485といったシリアルインタフェースを利用している。最近はこの信号をIPネットワーク越しにやり取りできるようにするコンバータが市販されており、これを用いて制御系をIPネットワークに統合するケースも増えてきた。
こういった事例では、遠隔地からIPネットワーク経由で監視・コントロールを行えるというメリットが強調されることが多い。しかし一方で、悪意ある人物に非常に容易に盗聴されてしまう危険性もあるという。nmapなどのツールを用いてスキャンを行えば、比較的容易に制御機器の存在を把握できるし、悪くするとコンソールへのアクセスさえ可能という。
しかも悪いことに、制御機器のパスワード設定はオプションになっていることが多い。仮にパスワードを設定していたとしても、その情報は平文で流されるため、Man-in-the-Middle攻撃によって盗聴を行い、セッションを乗っ取ることが可能だ。
希望は、制御系機器の製造に携わる業者の間で、ようやく標準化の動きが生まれていること。そしてIT系のベンダーがこの分野に参入しつつあることだ。「制御機器とITの両方に詳しいコンサルタント会社は少ないが、増えてはいる」（リーガン氏）。
現時点での対処策としては、制御・監視系のネットワークは、一般のIPネットワークとは別立てで構築するか、せめて異なるVLANで動かすようにすべきという。また監視系といえども、きちんと検査・監査の対象に加えるべきだと同氏は述べている。
関連リンク
RSA Conference 2004
[高橋睦美，ITmedia]
題名には必ず「阿修羅さんへ」と記述してください。