サイバーセキュリティとネットワークカメラ
近年、IoTという言葉が一般的に用いられるようになってきたように、ありとあらゆるモノやコトがネットワークに接続できるようになった。
遠隔地でDVDレコーダーの予約を入れたり、エアコンのスイッチを入れたり、体重計の日々の結果をスマートフォンに記録することも可能だ。
さらにいうと、PCやスマートフォンがなくてもアレクサに話しかけるだけで照明をコントロールしたり、買い物までできてしまう。もはやデバイスとネットワークは切り離すことができなくなっている。
一方で懸念されるのが、情報セキュリティにおけるリスクである。近年のサイバー攻撃はあまりにも巧妙化しており、防ぐことは極めて困難になってきている。
亜種の不正なプログラムは数えきれないほど日々、増えている。また、攻撃方法も変化してきており、ウイルス対策ソフトでは検出しないグレーゾーンのスパイウェアを最初に標的となるPCに潜らせる手法が増えている。PCからコントロールサーバーに接続させることでボットPCとして遠隔操作できるようにするなど、高度なサイバー攻撃が一般的な手法となった。もはや、どのようなセキュリティ対策を行っても、限界があるのが事実だ。
※グレーゾーンという書き方をしているが、これはそのプログラムそのものは必ずしもマルウェアとは断定できない（または断定することが難しい）ソフトウェアのことである。例えば、特定のサーバーに対して定期的に情報を送信したり、ファイルをダウンロードを行うプログラムは、一般的な業務ソフトウェアにおいても同様の仕組みで動くものもあるため、ウィルス対策ソフトは不正なプログラムとして検知できないのだ。
そもそもウィルス対策ソフト自身がクライアントPCから得られた情報をサーバーに報告したり、新しい定義ファイルやシグネチャをダウンロードしている。このような挙動を行うソフトウェアは一般的なものである。接続先となるサーバーが適切なサーバーか、それとも不正なコントロールを行うためのサーバーかどうかの違いである。プログラムそのものは不正とは判断しにくい。
ありとあらゆるデバイスがインターネットに接続されるようになった今日、セキュリティ対策は重要な課題となっている。もちろん、ネットワークカメラも例外ではなく、どのメーカーも対応に追われている状況だ。
完璧な製品やソフトウェアは存在しない
さて、ここでアクシスコミュニケーションズ社のWebサイトをご覧頂きたい。そこにはしっかりと以下が明記されている。
Axisでは、製品およびサービスに悪意のある攻撃に利用される可能性がある弱点が全く存在しないことを保証することができません。
これは何もネットワークカメラだけに限ったことではない。ファームウェア(またはソフトウェア)には必ずバグや脆弱性が存在する。完全に安心ができる製品など存在しないのだ。
ネットワークに接続するデバイスの宿命とも言えるかもしれないが、脆弱性が発覚する度に各メーカーはその対策を繰り返し行っている。以下のURLで脆弱性に関する検索ができるので参考にして欲しい。
VIVOTEKの製品
ここで、VIVOTEKの取り組みを紹介しておく。VIVOTEKはトレンドマイクロとの協業を進めており、同社のIoT機器向けセキュリティソリューション「Trend Micro IoT Security」を組み込むことができるのだ。
対策の流れとしては以下の通りである。
※以下はVIVOTEK社のホームページを翻訳したものである。
- 総当たり攻撃の検出
システムが定義された回数の失敗したログイン試行に基づいてブルートフォース攻撃を検出すると、そのIPアドレスをブロックしてそれ以上の攻撃を防ぐために防御メカニズムが自動的にアクティブになります。
- 侵入検知と防止
マルウェアまたは不正なアクセス行動が検出された場合、シャットダウン後、コンソールの制御、物議を醸すWebサイトへのアクセス、または侵入行動は、攻撃メカニズムによって自動的に保護されます。
- インスタントダメージコントロール
未知の攻撃が発生した場合、システムはすべてのデータにリモートからパッチを適用して侵入防止チームに転送し、タイムリーに分析および解決します。これにより、内部感染の拡散が効果的に減少します。
VIVOTEK Cybersecurity: Security within Security (animation version)
工場出荷時のパスワードを利用している場合
近年、ネットワークカメラもmiraiと呼ばれるLinux系のデバイスに感染するマルウェアが流行し、多くのカメラがサイバー攻撃の標的となってしまった。
また、工場出荷時のユーザー名やパスワードで運用しているために、意図せず、カメラの映像が公開されてしまったケースも多く存在する。
以下のURLに公に晒されてしまったカメラの一覧がある。
※なお、以下のURLに接続する場合は、読者の自己責任でお願いしたい。不正侵入に当たる可能性があり、筆者は決して閲覧を推奨していないことをご理解頂きたい。
接続された方であれば分かるかと思うが、国別、地域別、メーカー別に表示させることができる。中にはわざと観光地のＰＲやデモ用として公開しているものもあるが、明らかに設定上の不備で意図せず映像が晒されているカメラも存在している。
総当たり攻撃でパスワードを解析される可能性もゼロではないため、ユーザーはできるだけランダムで分かりにくいパスワードを設定しておくことが望ましいと言える。
（※上記のサイトであるが、全く別の視点で見ると実は非常に貴重なサイトである。
各メーカーのカメラの映像を一度にこれだけ見ることが出来るサイトは実はなかなか存在しない。各メーカー毎に映像品質や暗闇での撮影した場合のサンプルとして確認することができる。ただし、繰り返しになるが、不正なアクセスになるリスクがあるため、閲覧は自己責任でお願いしたい。）
記事が長くなってしまったので、次回の記事にて筆者のネットワークカメラシステムにおけるサイバーセキュリティについて、紹介したい。
