狙われる脆弱性の特徴とは？：IoT ハニーポット × OSINT による実証的アプローチ | 田口 航平 氏・中野 学 氏 | Panasonic 社
こんにちは。
サイバーセキュリティクラウド（以下、CSC）の八巻です。
今回は、Panasonic 社の田口航平 氏と中野 学 氏が登壇した 「狙われる脆弱性の特徴とは？：IoT ハニーポット × OSINT による実証的アプローチ」 についてレポートします。
講演ページ：
Intelligence の考え方と、実態に基づく脆弱性評価
講演の冒頭では、サイバーセキュリティにおける「Intelligence（インテリジェンス）」が紹介されました。大量の情報を収集し、整理し、意思決定に活かせる形に加工することで、顧客を脅威から守るというものです。
実務では、脆弱性ごとに「どれだけ急ぐべきか」「実際の影響はどの程度か」といった判断を常に迫られます。その判断には、机上の指標だけでなく、実際の攻撃状況を示すデータの指標として、Panasonic 社では IoT ハニーポットと OSINT を併用した取り組みを進めていると説明していました。
同社では洗濯機や冷蔵庫といった IoT 製品にグローバル IP を付与し、どのような攻撃が到達するのかを観測しています。観測されたデータを詳しく分析することで、出荷後の製品に対する脆弱性対応を検討する材料としているとのことでした。
CVSS だけに依存できない理由
講演の中では「現場が納得して対応に踏み切れるかどうか」が脆弱性対応の中でとても重要だと述べられていました。
CVSS は脆弱性を評価するための標準的な指標であり、Panasonic 社でも活用されていますが、スコアが低い脆弱性は後回しにされがちですが、実際の利用環境によっては CVSS が Low でも無視できないケースがあると説明されました。
例えば、次のような CVSS に含まれない情報 が存在します。
- 脆弱性が攻撃コードとして公開されている
- 既にマルウェアに組み込まれている
- 類似製品への攻撃が発生している
- オンライン上で製品に言及する投稿がある
こうした追加情報を踏まえることで、より適切なリスク判断につながると述べられていました。
IoT ハニーポットを活用した分析の意図
多数ある指標の中で、Panasonic 社が重視しているのが IoT ハニーポットで実際に観測された脆弱性 です。これは、攻撃者が実際に利用している脆弱性を把握できるため、現場に対して説得力のある説明につながるためです。
講演では次の仮説が提示されていました。
CVSS Base Score の各メトリクスには、製品分野ごとの優先度付けに活用できる情報が含まれているのではないか。
特に、なぜそのスコアになったのかという根拠を深掘りすることで、製品特性に応じた優先順位を導き出せる可能性があると説明していました。
田口 航平 氏・中野 学 氏の講演スライド(狙われる脆弱性の特徴とは？：IoT ハニーポット × OSINT による実証的アプローチ)より
調査手法：マルウェアとハニーポットの両方を解析
調査では、IoT マルウェアと IoT ハニーポットの双方から脆弱性情報を収集し、次の情報を組み合わせて分析したと紹介されていました。
- CVSS（v3.1）
- CWE（脆弱性タイプ）
- PoC の公開状況
- KEV 登録状況（Known Exploited Vulnerabilities）
- 攻撃ペイロード
分析対象となった代表的な IoT マルウェアには、Mozi、AndroxGh0ST、Raptor Train Botnet、IZ1H9 が含まれていました。
これらのマルウェアに組み込まれたエクスプロイトを列挙し、IoT ハニーポットで観測された脆弱性と照らし合わせる形で比較が行われたとのことです。
田口 航平 氏・中野 学 氏の講演スライド(狙われる脆弱性の特徴とは？：IoT ハニーポット × OSINT による実証的アプローチ)より
分析結果：攻撃者が選ぶ脆弱性の傾向
分析結果から、攻撃者がどのような脆弱性を好んで利用しているのかが明らかにされていました。
まず、IoT マルウェアと IoT ハニーポットのどちらでも CVSS Base Score が High 以上 の脆弱性が多く観測されていました。さらに、IoT ハニーポットで観測された脆弱性の 平均 CVSS スコアはマルウェアより約 0.4 高い 結果となっていました。
田口 航平 氏・中野 学 氏の講演スライド(狙われる脆弱性の特徴とは？：IoT ハニーポット × OSINT による実証的アプローチ)より
ハニーポットに到達した攻撃の多くは PoC 公開済みの脆弱性を悪用したもので、この傾向はマルウェアより高い割合を占めていたことも示されていました。
田口 航平 氏・中野 学 氏の講演スライド(狙われる脆弱性の特徴とは？：IoT ハニーポット × OSINT による実証的アプローチ)より
CWE の分布として OS コマンドインジェクションやパストラバーサルなどが上位に並び、上位 10 カテゴリで全体の 3/4 を占めていたとのことです。
攻撃者は次の特徴を持つ脆弱性を好んで悪用する傾向があると説明されていました。
- 遠隔で実行できる
- 特別な権限を必要としない
- 攻撃手法が複雑ではない
- ユーザー操作を必要としない
IoT ハニーポットの観測データ
IoT ハニーポットの観測データを年ごとに分析した結果も紹介されていました。
どの年でも High〜Critical の脆弱性が狙われる傾向は変わらず、近年は特に Critical の割合が増えている とのことです。
また、講演では Impact metrics が LOW の脆弱性でもエクスプロイトされていた 点が強調されていました。これは、スコアの高低に関わらず「ボット化の初期侵入に利用できる」脆弱性が継続して狙われていることを示す結果として紹介されていました。
実際、Base Score が 7 未満の脆弱性であっても、ハニーポット上の攻撃が確認されており、CVSS High 以上のみを基準にした場合には、こうした攻撃を見逃してしまう可能性がある と説明されていました。
さらに、インジェクション系の脆弱性（CWE-78、CWE-22、CWE-77 など）が継続的に観測されていることも示されており、これらが IoT デバイスに対する攻撃で頻繁に利用されている点が特徴として挙げられていました。
田口 航平 氏・中野 学 氏の講演スライド(狙われる脆弱性の特徴とは？：IoT ハニーポット × OSINT による実証的アプローチ)より
今回の取り組みから得られた知見
講演のまとめとして、今回の取り組みから得られた知見が整理されていました。
IoT デバイスのボット化などを防ぐためには、従来の優先度付けだけでは不十分であり、CVSS に実態を加味した優先度付け を行う必要があることが示されていました。
特に、遠隔で悪用可能で、特権不要かつユーザー操作も必要としない脆弱性については、スコアにかかわらず注意が必要である点が説明されていました。
感想
今回の講演で特に印象に残ったのは、IoTハニーポット を指標として位置付け、脆弱性管理に活用している点でした。
セキュリティの分野では、CVSS や CWE といった評価軸を中心に脆弱性を判断することが多くありますが、実際の攻撃ログという「現場からのデータ」を重視する姿勢は、実務での意思決定に直結するアプローチだと感じました。
特に、PoC 公開状況や攻撃ペイロードといった攻撃者の行動に基づく分析を取り入れることで、「どの脆弱性が実際に使われているのか」をより明確に示すことができる点は、今後の脆弱性管理において大きな示唆になると感じました。
また、CVSS の数値だけで判断するのではなく、実観測データを加えることで、対応すべき脆弱性をより適切に絞り込める可能性 がある点も非常に印象的でした。
Discussion