IoTとは？

IoTの意味

機器や設備をネットワークにつなぎ、状態の収集や遠隔操作を行う仕組み。防犯カメラ、複合機、センサ、産業機器などが該当する。管理者が意識されず初期パスワードのまま放置されやすいことから、乗っ取りの温床として問われる。

IoTの具体例

事務所の複合機と防犯カメラをネットワークにつないだまま、設置業者の初期パスワードを変えていなかった。外部から映像が閲覧できる状態だったと指摘を受け、機器の一覧を作って管理者と更新責任者を割り当てた。

IoTは試験でどう引っ掛けられる？

「PCではないから対策不要」は誤りで、乗っ取られてDDoS攻撃の踏み台にされる。多くの機器は画面がなく異常に気づきにくいため、資産台帳への登録とネットワーク分離が現実的な対策になる。

IoTと関連する用語

• セキュリティ設定の不備
• ボット・ボットネット
• 情報資産台帳

IoTが出た過去問

• ネットワークカメラなどのIoT機器ではTCP 23番ポートへの攻撃が多い理由はどれか。

  正解：TCP 23番ポートはIoT機器の操作用プロトコルで使用されており、そのプロトコルを用いると、初期パスワードを使って不正ログインが容易に成功し、不正にIoT機器を操作できることが多いから

  要点：23番はTelnet。初期パスワード放置のIoT機器が狙われる

  TCP 23番ポートはTelnetで使われ、IoT機器の遠隔操作用インタフェースとして開放されたままのことが多い。Telnetは通信が暗号化されないうえ、出荷時の初期IDとパスワードが変更されないまま運用される機器が多いため、総当たりや既知の初期認証情報で容易に侵入され、ボット化に悪用される。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問6（IPA）