【ITニュース解説】監視カメラやNASを狙う「Mirai」感染活動を引き続き観測 – JPCERT/CC

今回のニュースは、JPCERT/CC（ジェイピーサート・シーシー）が発表した情報セキュリティに関する観測結果についてである。特に、「Mirai」というマルウェアが、インターネットに接続された監視カメラやNAS（ネットワーク接続ストレージ）といったIoTデバイスを狙う攻撃活動を依然として続けており、その攻撃は「TCP 23番ポート」に向けたパケットが多数観測されている点が報告されている。

まず、「Mirai」とはどのようなマルウェアなのか説明する。Miraiは、IoT（Internet of Things）デバイスを主なターゲットとする悪質なソフトウェアの一種だ。IoTデバイスとは、スマートフォンやパソコン以外にも、インターネットに接続してデータのやり取りを行う監視カメラ、スマート家電、ルーター、NASなど、私たちの身の回りにある様々な「モノ」を指す。Miraiは、これらのIoTデバイスに感染すると、そのデバイスを乗っ取り、攻撃者が遠隔から操作できる「ボット」と呼ばれる状態にする。そして、多数の感染デバイスが集まって「ボットネット」を形成し、これを利用して特定のウェブサイトやサーバーに対して大量のアクセスを送りつける「DDoS攻撃（分散型サービス拒否攻撃）」などを行う。DDoS攻撃は、攻撃対象のサービスを過負荷にしてダウンさせたり、利用不能にしたりすることが目的だ。Miraiの感染経路として特に注目すべきは、出荷時のデフォルトパスワードや、簡単に推測できる脆弱なパスワードが設定されているデバイスを自動的に探し出して感染を広げる点にある。

次に、なぜ監視カメラやNASといったデバイスがMiraiの標的になりやすいのかを考える。これらのデバイスは、インターネットに接続することで遠隔からのアクセスやデータの共有といった利便性を提供する。しかしその一方で、導入時にセキュリティ設定がおろそかになりがちという問題がある。例えば、出荷時のデフォルトパスワードをそのまま使い続けていたり、デバイスを制御するソフトウェアであるファームウェアの更新を怠っていたりするケースが少なくない。システムエンジニアを目指す者として、これらのデバイスがインターネットに直接接続されていることの意味を理解する必要がある。インターネットに接続されたデバイスは、常に世界中の悪意ある攻撃者から狙われる可能性があるため、適切なセキュリティ対策が不可欠だ。監視カメラやNASは、常に稼働している上に、ある程度の処理能力とネットワーク帯域を持っているため、DDoS攻撃の踏み台として利用されやすい特性も持つ。

そして、今回のニュースで特に強調されている「TCP 23番ポート」について解説する。TCP 23番ポートは、「Telnet（テルネット）」というネットワークプロトコルが標準で使用するポート番号である。Telnetは、かつてはリモートからサーバーやネットワーク機器を操作するために広く利用されたが、大きなセキュリティ上の問題がある。それは、Telnetによる通信が「平文」、つまり暗号化されていない状態で行われるという点だ。このため、Telnetを使ってログインIDやパスワードなどの情報が送受信されると、ネットワーク上でその通信を傍受している第三者に簡単に内容を盗み見られてしまう危険性がある。Miraiは、このTelnetサービスが有効になっているIoTデバイスを探し出し、辞書攻撃や総当たり攻撃といった方法で、一般的なIDとパスワードの組み合わせを片っ端から試すことで、デバイスへの侵入を試みる。もしデフォルトパスワードや簡単なパスワードが設定されていれば、Miraiは容易にデバイスを乗っ取ることができてしまうのだ。現在では、Telnetに代わり、通信が暗号化される「SSH（Secure Shell）」などのより安全なプロトコルが利用されることが強く推奨されている。SSHはTCP 22番ポートを使用し、Telnetが抱える平文通信の脆弱性を克服している。

今回の情報を発信している「JPCERT/CC」についても触れておく。JPCERT/CCは、日本国内におけるコンピュータセキュリティインシデントに関する情報を収集し、分析し、対応を支援する中心的組織である。彼らは、インターネット上のサイバー攻撃の状況を常に監視しており、今回のニュースのように、特定の攻撃活動の動向を定期的に報告している。JPCERT/CCが「TCP 23番ポート宛てのパケットが依然として多く観測されている」と報告しているのは、MiraiのようなマルウェアによるTelnetを狙った攻撃が、現在も活発に行われ続けているという警告に他ならない。これは、過去の脅威が完全に消滅したわけではなく、常に新たな脅威とともに既存の脅威も存在し続けるという現実を示している。

システムエンジニアを目指す上で、このニュースから得られる教訓は非常に多い。まず、ネットワークに接続されるあらゆるデバイスにはセキュリティリスクが伴うことを理解し、そのリスクを最小限に抑えるための知識と技術を習得する必要がある。具体的には、次の点に特に注意すべきだ。 第一に、デフォルトパスワードの変更と強力なパスワード設定の徹底である。どんなデバイスでも、初期設定のパスワードは必ず変更し、推測されにくい複雑なパスワードを設定する習慣を身につけることが重要だ。 第二に、不要なサービスやポートは閉じ、必要なサービスのみを最小限に有効にすること。今回のTelnetのように、セキュリティ上のリスクが高いとされているプロトコルやサービスは、原則として無効化するか、より安全な代替手段に置き換えるべきである。もしTelnetをどうしても使う必要がある場合は、アクセス元を厳しく制限するなどの対策が必須となる。 第三に、デバイスのファームウェアやソフトウェアは常に最新の状態に保つこと。セキュリティアップデートには、既知の脆弱性を修正するパッチが含まれていることが多いため、これを適用することは攻撃からデバイスを守る上で極めて重要だ。 第四に、定期的なセキュリティチェックとログ監視である。不審な通信やログイン試行がないかを常に確認し、異常があれば迅速に対応する体制を整える必要がある。 最後に、JPCERT/CCのような信頼できる情報源から最新のセキュリティ情報を継続的に収集し、自身の知識をアップデートしていくことの重要性も認識しなければならない。

今回のニュースは、インターネットが利便性をもたらす一方で、常にセキュリティ上の脅威と隣り合わせであることを改めて示している。システムエンジニアとして、単にシステムを構築するだけでなく、そのシステムをいかに安全に運用するかという視点を持つことが不可欠だ。Miraiのようなマルウェアの脅威は今後も形を変えて現れる可能性があり、常に最新の情報を学び、適切な対策を講じ続けることが求められる。このような継続的な努力こそが、安全で信頼できる情報社会を築く基盤となる。