IoT機器のソーシャルエンジニアリング対策はどれかを見分ける
ITパスポート試験 令和6年度 問73 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
IoT機器のセキュリティ対策のうち，ソーシャルエンジニアリング対策として，最も適切なものはどれか。
- ア
IoT機器とサーバとの通信は，盗聴を防止するために常に暗号化通信で行う。
- イ
IoT機器の脆弱性を突いた攻撃を防止するために，機器のメーカーから最新のファームウェアを入手してアップデートを行う。
- ウ
IoT機器へのマルウェア感染を防止するためにマルウェア対策ソフトを導入する。
- エ
IoT機器を廃棄するときは，内蔵されている記憶装置からの情報漏えいを防止するために物理的に破壊する。
会話形式の解説
講師今回は、IoT機器のセキュリティ対策の中からソーシャルエンジニアリング対策に当たるものを選ぶ問題です。対策として正しいかどうかではなく、どの種類の脅威を防ぐ対策なのかに注目してください。
受験者選択肢を読むと、どれもセキュリティ対策として正しいことを言っているように見えます。ソーシャルエンジニアリングという言葉も、カタカナで何となく技術っぽく感じてしまいます。
講師名前のせいで誤解されやすいのですが、ソーシャルエンジニアリングは技術的な手段を使わず、人の心理や行動の隙を突いて情報を手に入れる手口をまとめた呼び方です。なりすまし電話、肩越しののぞき見、ごみ漁りなどが代表的な例です。
受験者技術を使わない手口なんですね。そうすると、通信を暗号化して盗聴を防ぐ対策は違いそうです。盗聴は通信を技術的に傍受するものなので。
講師そのとおりです。暗号化は盗聴という技術的な脅威への対策です。人の隙を突く手口に備えるものではありません。
受験者メーカーから最新のファームウェアを入手してアップデートするものも迷いました。メーカーとのやりとりがあるので、人が関わるように見えます。
講師そこが引っかかりやすいところです。ファームウェアの更新が防ぐのは、機器の脆弱性、つまりソフトウェアの欠陥を突く攻撃です。セキュリティ上はとても大切ですが、防ぐ脅威は技術的な攻撃なので別の種類の対策です。
受験者マルウェア対策ソフトの導入も、不正なプログラムによる攻撃を防ぐものなので技術的な対策ですね。
講師はい。そうすると、廃棄するときに記憶装置を物理的に壊す対策が残ります。捨てられた書類や機器をあさって情報を得る行為はトラッシング、またはスキャベンジングと呼ばれ、ソーシャルエンジニアリングの代表的な手口の一つです。
受験者ごみ漁りへの対策だったんですね。でも、初期化するだけでは足りないのですか。
講師IoT機器の記憶装置には設定情報や認証情報が残っていることがあり、初期化しただけでは復元される場合があります。物理的に壊せば読み出されないので、この手口への確実な対策になります。
受験者防ごうとしている脅威が技術による攻撃なのか、人や物の扱いの隙なのかで分ければよいということですね。
講師はい、その見分け方が使えます。ほかにも、のぞき見を防ぐ画面フィルタや、電話で問い合わせてきた相手の本人確認なども、ソーシャルエンジニアリング対策の例です。誤りの選択肢も対策としては正しい内容なので、内容が正しいかどうかだけで選ばないように気をつけてください。
まとめ
ソーシャルエンジニアリングとは、技術的な手段を使わず、人の心理や行動の隙を突いて情報を手に入れる手口の総称です。なりすまし電話、肩越しののぞき見、ごみ漁り（トラッシング）が代表的な例です。通信の暗号化、ファームウェアの更新、マルウェア対策ソフトの導入は、いずれも技術的な攻撃への対策なので当てはまりません。廃棄時に記憶装置を物理的に壊すことは、捨てられた機器から情報を探るトラッシングへの対策になるため、これが正解です。選択肢の内容が正しいかどうかではなく、防ごうとしている脅威の種類で見分けるのがポイントです。
解答・解説
正解はエです
この問題のテーマ
IoT機器のセキュリティ対策を並べた選択肢の中から、ソーシャルエンジニアリングへの対策に当たるものを選ぶ問題です。対策を「技術的な攻撃への対策」と「人や物の管理の隙を突く手口への対策」に分けて考えられるかが問われています。
解き方の考え方
最初に、ソーシャルエンジニアリングとは何かを確認します。技術的な手段を使わず、人の心理や行動の隙を突いて情報を手に入れる手口をまとめてこう呼びます。代表的なものに、なりすまし電話、肩越しののぞき見、ごみ漁り（トラッシング）があります。次に、各選択肢が防ごうとしている脅威が技術的な攻撃なのか、人や物の扱いの隙なのかを見分けます。暗号化・ファームウェア更新・マルウェア対策ソフトの3つは技術的な対策なので、廃棄物から情報を探る手口に備えるエだけが残ります。
選択肢ごとの解説
- ×ア IoT機器とサーバとの通信は，盗聴を防止するために常に暗号化通信で行う。アの通信の暗号化は、盗聴を防ぐための技術的な対策です。盗聴は通信を技術的な手段で傍受する脅威で、人の心理や行動の隙を突く手口ではありません。そのため、ソーシャルエンジニアリング対策には当たりません。
- ×イ IoT機器の脆弱性を突いた攻撃を防止するために，機器のメーカーから最新のファームウェアを入手してアップデートを行う。イのファームウェアの更新は、機器の脆弱性を修正して、その脆弱性を突く攻撃を防ぐための技術的な対策です。セキュリティ上はとても大切ですが、対象はソフトウェアの欠陥を狙う攻撃です。ソーシャルエンジニアリングとは別の種類の対策になります。
- ×ウ IoT機器へのマルウェア感染を防止するためにマルウェア対策ソフトを導入する。ウのマルウェア対策ソフトの導入は、不正プログラムの感染を防ぐための技術的な対策です。マルウェアはプログラムによる攻撃なので、人の隙を突く手口への対策とはいえません。
- ○エ IoT機器を廃棄するときは，内蔵されている記憶装置からの情報漏えいを防止するために物理的に破壊する。エの廃棄時に記憶装置を物理的に壊す対策は、捨てられた機器から情報を読み出されるのを防ぎます。廃棄物をあさって情報を得る行為はトラッシング（スキャベンジング）と呼ばれ、ソーシャルエンジニアリングの代表的な手口の一つです。IoT機器の記憶装置には設定情報や認証情報が残っていることがあり、初期化しただけでは復元される場合もあります。そのため物理的な破壊は、この手口への確実な対策になります。
補足
誤りの選択肢はどれも「対策として正しい内容」なので、内容が正しいかどうかだけで判断すると迷います。設問が求めているのは「どの種類の脅威への対策か」なので、防ごうとしている脅威が技術によるものか、人や物の管理の隙を突くものかで分けると判断しやすくなります。のぞき見を防ぐ画面フィルタや、電話で問い合わせてきた相手の本人確認なども、ソーシャルエンジニアリング対策としてよく出題されます。
POINT
- ソーシャルエンジニアリングとは、技術的な手段ではなく、人の心理や行動の隙を突いて情報を手に入れる手口をまとめた呼び方です。
- 代表的な手口には、なりすまし電話、肩越しののぞき見（ショルダーハッキング）、ごみ漁り（トラッシング）があります。
- 廃棄された書類や機器から情報を探る行為もソーシャルエンジニアリングに含まれるので、廃棄時の確実な消去や物理的な破壊が対策になります。
- 暗号化、ファームウェアの更新、マルウェア対策ソフトは、いずれも技術的な攻撃に対する対策です。