エンベデッドシステムスペシャリスト 2023年午前2 問15

問題文

総務省及び国立研究開発法人情報通信研究機構（NICT）が2019年2月から実施している取組“NOTICE”に関する記述のうち、適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：NICTが運用するダークネット観測網において、マルウェアに感染したIoT機器から到達するパケットを分析した結果を当該機器の製造者に提供し、国内での必要な対策を促す。

イ：国内のグローバルIPアドレスを有するIoT機器に対して、容易に推測されるパスワードを入力することなどによって、サイバー攻撃に悪用されるおそれのある機器を調査し、インターネットサービスプロバイダを通じて当該機器の利用者に注意喚起を行う。（正解）

ウ：国内の利用者からの申告に基づき、利用者の所有するIoT機器に対して無料でリモートから、侵入テストやOSの既知の脆弱性の有無の調査を実施し、結果を通知するとともに、利用者が自ら必要な対処ができるよう支援する。

エ：製品のリリース前に、不要にもかかわらず開放されているポートの存在、パスワードの設定漏れなど約200項目の脆弱性の有無を調査できるテストベッドを国内のIoT機器製造者向けに公開し、市場に流通するIoT機器のセキュリティ向上を目指す。

🔒 解説は解答すると表示されます

NOTICEは、サイバー攻撃に悪用されるおそれのあるIoT機器を調査し、その機器の利用者に注意喚起を行う取組です。

具体的には、NICTが国内のグローバルIPアドレスを持つIoT機器に対し、容易に推測できるパスワードを使ってログインを試みます。悪用されるおそれのある機器が見つかった場合、NICTから情報提供を受けたインターネットサービスプロバイダ（ISP）が、その機器の利用者に注意喚起します。

この仕組みを述べているのがイです。

ア
ダークネットで観測したパケットを分析し、機器の製造者に情報提供する内容です。NOTICEの中心は、推測されやすいパスワードを使ってIoT機器を調査し、ISPを通じて利用者に注意喚起することです。調査対象や通知先が異なります。
イ
NOTICEの説明です。容易に推測されるパスワードを使って機器を調査し、ISPを通じて利用者に注意喚起します。
ウ
利用者の申告を受けて、所有する機器に侵入テストや脆弱性調査を実施する内容です。NOTICEは、利用者からの申告を起点とするリモート診断サービスではありません。
エ
製品のリリース前に、製造者がテストベッドを使って脆弱性を調査する内容です。NOTICEは、製品開発段階の検査ではなく、すでにインターネットに接続されている機器を調査し、利用者に注意を促す取組です。

「IoT機器のセキュリティ向上を目指す取組なら、どれもNOTICE」と考えてしまう
目的が似ていても、調査方法や対象が異なります。NOTICEは、インターネットに接続された機器のパスワードを調査する点が重要です。
「NICTが利用者に直接連絡する」と考えてしまう
NOTICEでは、調査で見つかった機器の利用者に対し、ISPを通じて注意喚起します。
「NOTICEは製品の脆弱性を網羅的に検査する」と考えてしまう
製品の開発段階で行う詳細な脆弱性診断とは異なります。NOTICEの調査対象は、インターネット上で悪用されるおそれのあるIoT機器です。

NOTICEは、NICT法の改正によって可能となった調査を活用し、2019年2月に始まった取組です。機器の利用者が、初期設定のままのパスワードや推測されやすいパスワードを使い続けると、第三者に機器を不正利用されるおそれがあります。

注意喚起を受けた場合は、パスワードを推測されにくいものに変更し、機器のファームウェアを最新にするなどの対策が大切です。

Q. NOTICEはIoT機器に侵入して情報を盗む取組ですか？
A. いいえ。サイバー攻撃に悪用されるおそれのある機器を調査し、利用者に対策を促す取組です。目的は被害の予防です。

Q. 注意喚起を受けたら、まず何をすればよいですか？
A. 機器の管理画面などからパスワードを変更し、ファームウェアを更新してください。機器の取扱説明書や製造者の案内に従って対処します。

関連キーワード: NOTICE、NICT、IoT機器、グローバルIPアドレス、推測されやすいパスワード、インターネットサービスプロバイダ、注意喚起

\ せっかくなら /

エンベデッドシステムスペシャリストを
クイズ形式で学習しませんか？

すぐに利用可能！