VDOOのIoTセキュリティに対する全体的アプローチ

VDOOのセキュリティへのアプローチは、当社のセキュリティ専門家と組み込みシステムセキュリティ研究者により考案され、デバイスを中心に据えています。デバイスを分析し、同デバイス固有の脅威状況とセキュリティギャップを理解する自動化テクノロジーは、全体的な360度の保護シールドとしてのセキュリティ層を順に確立するための基礎を築きます。当社のアプローチにより、デバイスのセキュリティの全責任を担い、測定可能、高速かつコスト効率の良い方法でIoTのセキュリティ問題に対応することができます。このアプローチは、デバイス製造業者とデバイスを配備する企業に対処するものであり、新旧のデバイスに適しています。

IoTのセキュリティの課題

IoTエコシステムのセキュリティの課題には、デバイス製造業者、デバイスを配備する組織、インテグレーター、規制当局、個人ユーザーなど、すべての関係者が関与しています。各関係者はある程度セキュリティ状態を改善することができますが、真の変化を導くことができるのは、この連鎖の最初の連結部を成すデバイス製造業者です。

デバイス製造業者の課題は、製造するデバイスに含まれるサードパーティのコンポーネントの可視性が欠如しているサプライチェーンプロセスにあります。しかも、不安定なコンポーネントを認識していても、事前にサードパーティプロバイダーがコードを修正したり、発見された脆弱性に対処したりするのに数か月から数年かかることがあります。デバイス製造業者がサードパーティのコンポーネントを手動で修正するためのコードにアクセスすることは滅多になく、たとえアクセスしたとしても、多大な時間、資源、スキルが必要となる場合があります。この課題は、コミュニティでサポートされなくなったパッケージがデバイスに含まれている場合にオープンソースコードを扱うと、さらに難しくなります。デバイス製造業者は、デバイスごとの部品票を生成し、重大なセキュリティ問題を迅速かつ測定可能にするために、デバイスのコンポーネントの可視性を得る必要があります。そのようなプロセスは、製品化に要する時間およびIoT導入全体に影響を及ぼし、長時間を要する広範なコード修正ではなく、安定したセキュリティ要件の優先順位付けに基づき、セキュリティギャップのリスク低減と強化に焦点を当てた場合にのみ高速となります。

サプライチェーン、市場、テクノロジーの課題に基づいた、IoTのセキュリティ実施可能性

セキュリティバイデザイン

セキュリティの基礎的要素をデバイスに織り込む

デバイスのリリース前の段階で適切なセキュリティを組み込むことで、攻撃対象領域が劇減し、ほとんどのIoT のサイバー脅威に取り組むことができ、脆弱性が存在したとしても悪用することが極めて困難になります。適切なセキュリティの実装が行われると、デフォルトの認証情報を利用し、保護されていないAPIやその他のソフトウェアの脆弱性を悪用し、欠陥のある通信プロトコルを利用し、ファームウェアを上書きし、総当たり攻撃を行うなど、基礎的・先端的または既知・未知を問わず、あらゆる攻撃方法が弱体化します。適切なセキュリティを実装し、様々な攻撃ベクトルでデバイスを不正利用しにくくするために、デバイス製造業者はセキュリティ問題を認識するだけでなく、その影響の他にも、当然ながら修復方法も理解していなければなりません。このように、VDOO は他の脆弱性検査ツールやコードレビューツールと差別化します。

この段階で重要な役割を担うVDOOのソリューションはVision™です。Vision™は、詳細なリスク低減ガイドのわずか数分後にはデバイスのファームウェアを分析し、バランスの取れたセキュリティ要件レポートを提供する、デバイス中心のセキュリティ強化自動化プラットフォームです。

セキュリティ – 条件と指示

セキュリティの現実を把握して安心感を実現

VDOOは、セキュリティの現実と安心感の関係こそがIoTエコシステムに真の変化をもたらすと考えています。それにより、現在はデバイスの安全が十分でなく、デプロイヤの信頼も低くなっているため伸びていない普及率を上げることができるからです。従って、当社は高度なセキュリティ認証メカニズムを提供することで、デバイス製造業者が自社デバイスへの適切なセキュリティ体制の実装に投資したことを証明する手助けをするわけです。これは、デバイスを配備する組織がより優れた可視性とリスク評価能力に基づいてデバイスの代替となる端末を評価しつつ、より賢い決断をするのにも役立ちます。

デバイスのセキュリティが適切な状態になると、デバイス製造業者の証明として、デバイスの包装に押印される物理的なスタンプとして、さらに、デバイスのセキュリティ体制を他のネットワークノードに伝えるデジタル署名として、VDOOの CertIoT™が提供されます。

ランタイムのアクティブ保護

セキュリティレベルを大幅に高めるための事前措置

エンドデバイス上のランタイムセキュリティは、ゼロデイ脆弱性のような未知の脅威はもちろん、ネットワーク経由で識別できない脅威に対処するために不可欠です。確かに、正しいセキュリティを組み込むことは重要な一歩であり、リスクの影響度低減に役立つものの、それだけでは不十分です。どんなに高度なセキュリティで保護されているデバイスにも、攻撃者は絶えず大金要求、窃盗、名声、さらには気晴らしを目的として手の込んだ手口やゼロデイ攻撃で侵入を試みるからです。そこで、固有の属性とプロファイルに基づいた各種接続デバイスに対する具体的なランタイム保護を提供することが課題です。

VDOOの組み込みランタイムエージェント、ERA™は、具体的な潜在的脅威及び技術的範囲とリソースに対処するために、各デバイスモデル向けに自動生成されています。ERA™により、オンデバイスの検出と防止が可能になり、他のネットワークセキュリティソリューションとの統合により、予測的セキュリティと制御が実現します。オンデバイスエージェントによる内部からのデバイス保護は、一般的なネットワークのソリューションでは検出不可能なIoTデバイスの脅威に対処する唯一の効果的なソリューションであるため、不可欠なものです。

予測的セキュリティとランタイム脅威インテリジェンス

攻撃者の一歩先を行く

新たな脅威が出現したら、直ちにデバイスのファームウェアを脆弱性のないバージョンにアップデートすることで、引き続きデバイスを保護するために、最新の脅威を監視し続けることは大変重要です。

VDOO Quicksand™ハニーポットソリューションは、攻撃者をおびき寄せ、ご利用のネットワークが攻撃者の標的になっているか否かを確認する他、その攻撃手段、手口、目的を明らかにするために構築されました。ハニーポットは、デバイス上で行われるあらゆる活動を可視化し、既知・未知を問わず広範な脅威を監視することができます。Whistler™は、セキュリティに影響を与える洞察力に富んだ最新情報とプッシュアラートを提供するように設計されています。この2つのソリューションはいずれも、巧妙化する攻撃者に迅速かつ自動的に対処することを目的としています。

このアプローチにより、当社の全製品が自動化され、デバイス中心で、業種にとらわれないものとなったことで、これらの要素が統合されて、IoTセキュリティのエンドツーエンドソリューションになりました。

稼働中のVDOOのエンドツーエンドのIoTセキュリティプラットフォームをご覧ください