【ITニュース解説】Exposed Router Management: 8.09 Million RouterOS Assets and the 9,560 That Still Answer on SSH

ネットワークの安全を守る上で、私たちが普段意識しない場所に潜む危険は少なくない。今回は、インターネット接続の要となる「ルーター」と呼ばれるネットワーク機器にまつわる、非常に重要なセキュリティの話を紹介する。特に、MikroTik社製の「RouterOS」というオペレーティングシステムを搭載した機器で発見された問題と、その実態を調査した結果について解説する。システムエンジニアを目指す皆さんにとって、こうした具体的な事例は、日々の業務におけるセキュリティ意識の向上に直結するだろう。

最近、MikroTik社のRouterOSに深刻な脆弱性、つまりセキュリティ上の欠陥が見つかった。この脆弱性は、具体的には二つの欠陥が組み合わさることで、悪意のある攻撃者がネットワーク機器の管理者権限を不正に奪い取れてしまうというものだ。特に危険なのは、この攻撃が「認証なし」で実行できてしまう点にある。通常、ネットワーク機器にログインするにはユーザー名とパスワードが必要だが、この脆弱性があると、それらがなくても管理者として機器を操作されてしまう可能性があるのだ。しかも、この攻撃は、機器のリモート操作に使われる「SSH」という通信サービスが、インターネットに直接公開されている場合に限り機能する。つまり、外部からSSH経由でアクセスできる状態にあるRouterOSデバイスが、この攻撃の標的となる。この二つの脆弱性は、すでに実際の攻撃にも利用されていることが確認され、アメリカのサイバーセキュリティ機関であるCISAも、直ちに修正が必要な「既知の悪用されている脆弱性」として警告を発している。

では、実際にどのくらいのRouterOSデバイスがこの危険な状態にあるのだろうか。インターネット上のデバイス情報を収集・分析している「ZoomEye」というサービスが調査を行った。まず、インターネットに接続されており、ZoomEyeが「RouterOS」と識別できるデバイスの総数を調べたところ、約809万台にものぼることが分かった。これらはルーターだけでなく、無線LANアクセスポイントなど、RouterOSが稼働する様々なネットワーク機器の総数を示している。 次に、このRouterOSデバイスの中で、特に「SSHサービスがインターネットに公開されている」もの、つまり今回の脆弱性が悪用される条件を満たすデバイスの数を調査した。その結果、9,560台ものデバイスが該当することが判明した。この約1万台という数字は、今回の脆弱性を用いた攻撃が実行されうるデバイスの具体的な数を示しており、システムエンジニアが対策を講じる上で非常に重要な情報となる。 なぜ「RouterOSデバイス総数」と「SSH公開デバイス数」にこれほどの大きな差があるのか。それは、多くのRouterOSデバイスがSSHサービスを有効にしていないか、インターネットに公開していないか、あるいはZoomEyeがSSHサービスを検出できていないためと考えられる。この9,560台という数字は、あくまでZoomEyeが検出できた範囲での下限の推定値であり、実際にはこれ以上のデバイスが危険にさらされている可能性も考慮に入れる必要がある。

ただし、この約809万台や9,560台という数字を解釈する際には、いくつかの注意点がある。 まず、「インターネットに認識されているデバイス」イコール「脆弱なデバイス」ではないということだ。ZoomEyeはデバイスがRouterOSを使っていることは識別できるが、そのデバイスが最新のセキュリティパッチを適用しているかどうか、つまり脆弱性が修正されているかどうかまでは分からない。パッチを適用済みの安全なデバイスも、未適用の危険なデバイスも、同じRouterOSとしてカウントされるのだ。 次に、「SSHサービスが公開されている」イコール「すでに攻撃を受けて侵害された」ではないという点も重要だ。SSHサービスがインターネットに公開されていることは、攻撃を受けるための「前提条件」に過ぎない。実際に攻撃が行われ、デバイスが乗っ取られたかどうかを確認するには、そのデバイス自身のログ（操作履歴）を詳細に調査する必要がある。 これらの数字が示すのは、「注意が必要なデバイスの規模」だ。約1万台という数は、組織が協力して対策を進めるには管理可能な範囲ではあるが、同時に攻撃者にとっては、自動的に広範囲にスキャンを仕掛ける価値がある、十分な数のターゲットであることも意味している。

もし皆さんがRouterOS機器を管理する立場にあるなら、このニュースは具体的な行動を促す。以下のような手順でセキュリティ対策を進めることが推奨される。

1. デバイスの洗い出し: まず、自社や管理している関連会社のRouterOS機器をすべて特定する。支社や外部委託先の機器も見落とさないことが重要だ。
2. SSH公開状況の確認: 洗い出したデバイスのうち、どれがSSHサービスをインターネットに公開しているかを把握する。今回の脆弱性悪用の前提条件となるのはこの状態だ。
3. ファームウェアのバージョン確認と更新: 各デバイスのソフトウェア（ファームウェア）のバージョンを確認し、MikroTik社が提供するセキュリティパッチが適用された最新バージョンに更新する。これが脆弱性そのものをなくす最も直接的な方法だ。
4. 不審なアクティビティの調査: デバイスのユーザーリストやログイン履歴を徹底的に確認する。見覚えのないユーザーアカウントや、不審なログイン履歴がないかを調べる。これは、すでに攻撃を受けていないかを確認する上で不可欠だ。
5. 設定変更の確認: ファイアウォールの設定、定期実行されるスクリプト、通信の転送設定などに、身に覚えのない変更がないかを確認する。攻撃者が不正な設定を追加している可能性があるからだ。 特に、ファームウェアの更新は脆弱性を解消し、ログのレビューはすでに被害を受けていないかを判断するために非常に重要となる。

ネットワーク機器は、本社と離れた場所にあったり、異なるチームが管理していたり、一度導入すると長く使われたりするため、組織内で正確な機器の在庫や設定状況を把握するのが難しい場合が多い。今回のZoomEyeによるような外部からの露出度測定は、組織が把握しきれていない「インターネットからどのように見えているか」という重要な情報を提供してくれる。これにより、内部の台帳情報だけでは見えなかった危険な露出を客観的にチェックできるのだ。 RouterOSに限らず、このような外部からの測定は、時間の経過とともにセキュリティ対策がどれだけ進んでいるかを確認する上でも役立つ。もし対策のアドバイスが出た後、インターネットにSSHを公開しているRouterOSデバイスの数が減少していれば、それは組織が適切に修正作業を進めている証拠となる。逆に、数が減少しなければ、いくら内部で「対策済み」とされていても、実際には危険な状態が続いていることを示唆する。

今回のニュースは、インターネットに接続されたデバイスのセキュリティ管理の重要性を改めて浮き彫りにした。システムエンジニアを目指す皆さんにとって、脆弱性情報へのアンテナを常に張り、自らが管理するネットワーク機器の外部への露出状況を正確に把握し、そして迅速かつ適切な対策を講じる能力は、今後ますます求められるだろう。単にソフトウェアを動かすだけでなく、それがどのような環境で稼働し、どのようなリスクを抱えているのかを理解し、主体的にセキュリティを高めていく姿勢が、現代のシステムエンジニアには不可欠だ。