IoT SECURITY / BOTNET
Miraiとは？家庭のルーターや監視カメラがDDoS攻撃に悪用される仕組み
家のWi-Fiもカメラも普通に使えている。それでも、裏側で別のWebサイトを攻撃していることがあります。IoTマルウェア「Mirai」を例に、その理由と防ぎ方を理解しましょう。
いつものネットワーク機器が攻撃の一員に？
例えば自宅のネットワークカメラを購入し、付属のIDとパスワードを変更せずに設置したとします。遠隔管理用の接続口がインターネットに公開されていると、外部からログインを試される可能性があります。
攻撃者が侵入に成功すると、その機器は持ち主が気づかないまま外部から操作される「ボット」になることがあります。大量のボットを束ねたものがボットネットです。Miraiは、こうしたIoT機器を狙うマルウェアとして知られています。
Miraiがボットネットを広げる4段階
外部から機器を探す
インターネット上の到達可能な機器を探す。初期のMiraiではランダムな宛先IPアドレスへの探索が特徴だった。
弱い認証情報を狙う
Telnetなどの遠隔ログインが開いている機器に対し、初期設定のままのID・パスワードなどを試す。
機器がボット化する
侵入に成功した機器がマルウェアを実行し、攻撃者が遠隔から指示できる状態になる。
C&Cから命令を受ける
C&C（Command and Control）サーバの指示により、多数の感染機器が同じ標的へ大量の通信を送る。
Miraiの初期の流行では、ネット接続された機器の弱い・既定の認証情報が大きな問題でした。ただし「Mirai系」の亜種は多く、すべてが同じ感染方法を使うわけではありません。既知の脆弱性を悪用する亜種もあるため、パスワード対策だけで十分とは限りません。
DDoS攻撃は何が困るのか
DDoSは Distributed Denial of Service（分散型サービス妨害） の略です。たとえるなら、1人の迷惑電話ではなく、数万台の電話機が一斉にお店へ電話し、本来のお客さんがつながらなくなる状態です。
感染したIoT機器
多数
カメラ・ルーターなど
攻撃の指示
C&C
ボット群への遠隔命令
被害を受けるサービス
接続困難
大量通信で処理が逼迫
ここで重要なのは、Miraiの主な攻撃目的が「感染機器の画面を改ざんすること」ではなく、感染機器を遠隔操作し、標的への大量通信に参加させることだという点です。
操作ラボ：家庭のIoT機器を守れるか
家庭の機器を例に、管理ポート・認証情報・更新状態を切り替えてみましょう。外部から狙われやすい条件を変えると、攻撃経路をどこで遮断できるかが変わります。
INTERACTIVE LAB
自宅のIoT機器はどう狙われる？
実際のスキャン・接続・マルウェア実行は行いません。仕組みを理解するための概念モデルです。
外出先から映像を見るために管理機能を公開した例
初期のMirai型の認証情報攻撃経路：成立し得る
外部公開と既定パスワードが重なると、初期のMirai型の攻撃経路が成立し得ます。
攻撃の流れを1段階ずつ確認
① インターネットから探索
攻撃者が外部から到達できる機器を探します。
この段階のリスクを設定から確認できます。
※ 更新の有無は、既知の脆弱性悪用への耐性に関係します。このモデルは既定認証情報による侵入経路を示すもので、実機の安全性や感染を判定するものではありません。
今日できる防御策
1. 初期パスワードを変更する
機器ごとに推測されにくい固有のパスワードを設定します。初期設定のままの認証情報は、誰でも知り得る場合があります。可能なら多要素認証も利用しましょう。
2. 不要な外部公開をやめる
Telnetや不要なリモート管理機能を無効化します。ルーターのポート転送設定やUPnPによる自動公開を見直し、外部から直接アクセスできる範囲を最小限にします。
3. ファームウェアを更新する
メーカーが提供するセキュリティ更新を適用します。サポートが終了した機器は、安全な機器への交換を検討してください。
4. 機器を把握し、通信を監視する
家庭や職場のネットワークに何台のIoT機器があるか把握しましょう。身に覚えのない大量の外向き通信や動作の不安定さは、調査のきっかけになります。ただし症状だけで感染は断定できません。
感染が疑われたときの対応
まず機器をネットワークから切り離し、メーカーの案内を確認します。必要に応じて信頼できる手順で初期化・ファームウェア更新を行い、管理パスワードを変更したうえで再接続します。マルウェアによっては再起動で一時的に消えても、侵入口が残っていれば再感染することがあります。