2024年7月12日

NECサイバーセキュリティ戦略統括部 セキュリティ技術センターの長浜です。
2024年3月1日にOWASP IoT Security Testing Guide（ISTG）が公開されました。[1]

昨今IoT機器に関するニュースでは、各国でIoT機器に対する認証や規制の検討が行われていると報道されています。日本では、IoT製品に対するセキュリティ適合性評価制度構築の検討[2]が行われ、米国でもU.S. Cyber Trust Mark[3]と言われる認証制度作成の検討が行われています。一方、欧州連合(EU)では2024年に施行が予定されているEUサイバーレジリエンス法（CRA）[4]が審議されています。CRAでは、IoT機器を含むデジタル機器に対しての規制を強化しようとしています。
本ブログでは、昨今IoTへの規制が検討されている中、公開されたISTGの内容を紹介します。

目次

OWASP IoT Security Testing Guide(ISTG)とは

OWASP IoT Security Testing Guide(ISTG)は、OWASPが発行しているIoT機器に対するペネトレーションテストの包括的な方法論を提供するためのガイドです。本ガイドの中では、IoTデバイスモデルや攻撃者モデルの定義に加え、テスト方法の例などが記載されています。特に、本ガイドを利用することでIoTデバイス開発者とペネトレーションテスターとの間に共通用語が確立されコミュニケーションが円滑化できるとしています。

OWASP IoT Security Testing Guideの構成

ISGTは大きく2つのブロックから構成されています。
IoTデバイスや攻撃者のモデル、テスト方法の定義のための「IoT Security Testing Framework」とテスト方法や目的、脆弱性の修正方法案などがまとまった 「Catalog of Test Cases」から構成されています。
本ブログでは、「IoT Security Testing Framework」にのみフォーカスして紹介を行います。「Catalog of Test Cases」は、個々の内容についてはガイドを直接ご覧いただければと思います。

IoT Device Model

本ガイドのIoTデバイスの構成は、何らかの筐体(Enclosure)に囲まれていることを前提としています。要は回路基板やチップなどの内部とユーザなどが操作する空間（デバイス外部）が物理的に分離されていることを想定しています。内部と外部とのやり取りには「Interfaces」を介してのみアクセスが可能であり、ガイドの中では、「Interfaces」は筐体の一部としては見なさないとしています。また、侵入対象となるデバイス内部の要素を「Components」と定義してしています。

Components

「Components」とは、IoTデバイスの構成するパーツのことです。各コンポーネントは理論的には個別にテストが可能なソフトウェアやハードウェアから構成されています。IoTデバイスのペネトレーションテストの範囲はコンポーネントリストが最大範囲となります。

Componentsは以下の4要素で構成されます。

Interfaces

2つ以上のコンポーネントを相互接続するための要素とあります。デバイス内部と外部を接続するだけではなく、デバイス内部の要素同士もインターフェイスを介してのみ通信を行うこととなります。
インターフェイス内の分類としては、大きくデバイス内部や外部のマシン同士の通信に利用するインターフェイスとIoTデバイスに人間からの入力を受け付けるためのインターフェイスの2つに分類されます。

Attacker Model

ここまでで、IoTデバイスのモデルを定義してきました。次に攻撃者のモデルについて紹介します。

本ガイドの中では、完全な脅威モデリング手法の一つであるSTRIDEモデルによるアプローチではなく、CVSSのメトリクスにおける「攻撃元区分」と「必要な特権レベル」の2つを拡張してAttacker Modelを作成しています。

物理アクセスレベル（physical access levels: PA）

物理アクセスレベルはCVSSにおける「攻撃元区分」をもとに作成されています。CVSSにおける「攻撃元区分」におけるネットワークとローカル、物理の3つのコンテキストを使用しています。物理コンテキストについては、IoTデバイス筐体を開封できるか否かでコンテキストを2つに分けて評価できるように拡張されています。

上記のように、物理アクセスレベルは攻撃者とIoTデバイスとの距離を定義することができます。この際物理アクセスレベルは、デバイス全体に適応されます。本定義に基づきペネトレーションテストを実施する際には、物理アクセスレベルの定義に沿ったコンポーネントにテストを実施する必要があります。

認可アクセスレベル（authorization access levels: AA）

認可アクセスレベルはCVSSメトリクスの「必要な特権レベル」をもとに作成されています。CVSSで定義された値に加え、製造業者レベルアクセスと呼ばれる非常に高い権限を追加しています。Webアプリケーションなどのサーバは管理されたエリア内で運用されることが多いですが、IoTデバイスは管理されていないエリアに設置して利用されることがよくあります。そのため、製造業者レベルアクセスでのデバイスに対する攻撃が可能になるため追加されています。

上記のように、認可アクセスレベルはIoTデバイス内に含まれるデバイスコンポーネントごとの認可/パーミッションに依存します。ペネトレーションテストの際には、各デバイスコンポーネントにおける認可アクセスレベルを定義することが重要となります。この際、ペネトレーションテストの目的は、低権限で高権限のアクセスができないかを評価するべきなので、AA-1に設定されたコンポーネントに対しては、認可アクセス検査は有益な検査ではないと考えられています。

Testing Methodology

テスト方法は、IoTデバイスに対してペネトレーションテストを実行するための方法論を説明しています。これらはIoTデバイスモデルと攻撃者モデルで提示されたコンセプトに基づき、既存のペネトレーションテストワークフローやフレームワークとともに使用できます。したがって、個別のデバイスコンポーネントのためのテストケースのカタログを含み、テスト時に利用可能なテストケースはデバイスモデルと攻撃者モデルを適応した結果に依存します。

テストケースのカタログの構造

テストケースのカタログは階層構造になっています。単一のルーツノードから始まり、デバイスモデルの各コンポーネント、攻撃カテゴリ、テストケースの順に階層構造になっています。
各テストケースには、アクセスレベルなどを定義する「必要条件（Requirements）」とテストケースの説明としての「要旨（Summary）」、テスト担当者が確認すべき内容がまとまった「テスト対象（Test Objectives）」、脆弱性を修正するための方法を例示している「低減策 (Remediation)」の4つから構成されています。テストケースは89種類作成されています。

ここでは、個別のテストケースは紹介しませんが、気になる方は直接ガイドを参照いただければと思います。

まとめ

今回は、OWASPのIoT Security Testing Guide(ISTG)をご紹介しました。IoTデバイスに対するテストシナリオを考える際には非常に有益なガイドかと思います。今後自社でIoTデバイスのセキュア化に取り組んでみたい方やペネトレーションテスト・IoT機器診断を取り組みたい方は、本ガイドを利用してもよいのではないでしょうか。

参考文献

執筆者の他の記事を読む