近年、製造業のお客様から、IoTシステムに対する脆弱性診断のご相談が増えています。
工場やプラントに配置されたIoT機器がクラウド上のAPIと通信し、設備監視やデータ分析を行うシステムは、今や多くの現場で導入が進んでいます。
しかし、IoT化によって新たに生まれるのが「インターネット経由のリスク」です。
IoT化により“公開API”を持つことになった製造業
工場やプラントで利用されるシステムは、閉域ネットワーク内で運用されることが多かったのではないでしょうか？
しかし、IoTの登場により、工場内の機器がクラウドAPIと通信、ブラウザから利用できる管理画面、取引先とのデータ連携APIといった「インターネットに公開されたAPI」を持つ構成が増えてきています。
その一方で、急速な変化により、APIのセキュリティ設計や認可設計が十分に追いついていないケースが見られているように思います。
IoTシステムで特に多い認証・認可の不備
当社の診断において特に多く確認されるのが、APIの認証・認可に関する問題です。
IoT機器は固定のAPIキーや証明書を用いてクラウドAPIへ接続するケースが一般的です。
しかし、
- デバイス認証が固定キーのまま長期間運用されている
- 鍵のローテーションが行われていない
- 認証後の権限制御が十分に設計されていない
- デバイスごとのアクセス制御が実装されていない
といった設計が多く見られます。
特に問題となるのが、「過剰な権限付与」です。
例えば、あるIoT機器は特定のデータ送信APIのみ利用できれば十分な設計でしたが、
実際には、
- 他設備のデータ取得が可能
- 本来不要なAPIまで実行可能
- クラウド内の複数リソースへアクセス可能
といった設計になっていたケースがあります。もし1台の機器の認証情報が漏えいした場合、その権限の範囲内で横展開が可能となり、データ改ざんや情報漏えい、設備状態の不正変更、遠隔操作といったリスクにつながります。
クラウド側の設定不備も重大なリスク
実は、IoTシステムではクラウド基盤の利用が前提となりますが、クラウド設定の不備も多く確認されています。
例えば、
- ストレージ（例：S3）が誤って公開設定になっている
- IAMポリシーでワイルドカード権限が付与され、アクセスキー・シークレットキーに過剰な権限が与えられている
- 管理ポートや内部APIが外部公開されている
これらは単純な設定ミスや、設計段階の考慮不足によって発生します。
IoTシステムは設備データや品質情報など、競争力に直結する情報を扱うため、漏えい時の影響は非常に大きくなります。
IoTシステムは複数レイヤーにまたがる
IoTシステムは単一のWebアプリケーションではなく、非常に複雑なシステムです。
- IoT機器
- クラウドAPI
- データベース
- 分析基盤
- 管理画面
といった複数レイヤーで構成されます。
そのため、どこか一箇所の脆弱性が突破口となり、システム全体へ影響が拡大する可能性があります。
特にクラウドAPIは「物理設備とインターネットをつなぐ入口」です。ここが弱いと、物理世界に影響を及ぼすリスクが発生します。
Proactive Defense の脆弱性診断
Proactive Defense では、IoTデバイスとクラウドが連携する監視システムに対し、
- WebAPI脆弱性診断（認証・認可・入力検証）
- クラウドセキュリティ設定診断（IAM・ストレージ・ネットワーク）
- 管理画面へのWebアプリケーション脆弱性診断
といった複数レイヤーにまたがる評価を実施しています。
産業系システム特有の構成を理解したうえで、安全性の確保をサポートいたします。
＼ 脆弱性診断に関する無料相談受付中！ ／
