IoTが生み出す“明日のボットネット”――監視カメラによるDDoS攻撃の実態と対策

ボットネットという概念は、多くの人々がIRCを使ってWeb上で会話していた時代に誕生しました。ウイルスに感染した何千台ものコンピュータがサーバーの入り口に大量のリクエストを送りつけ、サーバーは処理しきれなくなり、やがてクラッシュへと追い込まれます。

実際、かつてのDDoS攻撃の多く(おそらく大多数)はこの手法で実行されてきました。今日でもハッカーの多くは「多数のデバイスに感染させ、一斉に攻撃させる」という基本的方法論の変形を使い続けています。PCとともに長い歴史を持つボットネットですが、その現代版は防犯カメラ(CCTV)、洗濯機、高機能な家庭・業務用ルーターなどで構成されています。これらのデバイス群は「モノのインターネット(IoT)」と呼ばれるインターネットの新たな層を形成しており、かつて指摘されていた脆弱性が現実のものとなりつつあります。

防犯カメラによって仕掛けられる攻撃

IoTのセキュリティ脆弱性を取り上げてから1年後、スマートホーム化の流れに潜む落とし穴に気づき、ハッキングの観点からこのテーマを記事にしました。歴史上初めて、コンピュータ以外のデバイスがインターネット接続の主流になりつつあるのです。

防犯カメラ、ルーター、各種センサー、さらには信号機までもが固有のIPアドレスを持つようになった今、ハッカーたちはここに格好の攻撃対象を見出しています。このつながった世界を自在に行き来することで、悪意ある者は演算能力を持たないデバイスの大軍団を意のままに操れるようになり、DDoS攻撃の可能性は想像を超えて拡大していきます。

その好例が2016年9月22日の攻撃です。セキュリティジャーナリスト、ブライアン・クレブス氏のサイトに対する攻撃は毎秒620ギガビットに達しました。この規模の攻撃を受ければ、小規模なデータセンターがDDoSの脅威を凌ぐのは極めて困難であり、実際、ホスティング業者はサービス提供を断念せざるを得ませんでした。

攻撃の仕組み

信号機にウイルスを感染させるという発想は突飛に聞こえますが、決して不可能ではありません。とはいえ、ハッカーがIoTデバイスを利用してサーバーを攻撃する最も一般的な手口は、「接続リクエストの偽装(スプーフィング)」です。これは、特定のデバイスへメッセージを送り、指定したIPアドレスに接続リクエストを強制的に送信させるものです。これをループで繰り返せば、狙ったIPアドレスへリクエストを殺到させられます。この方法ならデバイスに感染させるという手間が不要なため、「手を抜きたい」攻撃者にとって特に魅力的な手段となっています。

防止策

IoTデバイスからのDDoS攻撃を防ぐこと自体はそれほど難しくありませんが、ファームウェア開発者の協力が不可欠です。デバイスを特定のエンドポイントからのコマンドにのみ応答する設計にすれば、反射攻撃の可能性はほぼ排除できます。それが難しい場合でも、可能な限りデバイスを閉じたプライベートネットワーク内に配置すれば、外部とのやり取りを遮断し、スプーフィングを防げます。最終手段としては、「スパム」とみなせるコマンド(例えば1秒間に3回以上の接続要求)を送ってくるデバイスを無視するようプログラムすることも有効です。

DDoS攻撃に対するIoTセキュリティにどう向き合うべきだと思いますか? ぜひコメントであなたの意見をお聞かせください!