英海軍、ドローンのカメラが中国のIPアドレスと通信していたことを受けネット接続を遮断

英海軍のドローン艇に搭載されたカメラが中国のIPアドレスと通信していたことが、英国防省(MoD)によるサイバーセキュリティ評価の過程で発覚しました。これを受けて当局はカメラのインターネット接続を遮断しました。

問題のカメラサブシステムは、Kraken Technology Group社のK3 Scout艇に搭載されていたサードパーティ製のものです。軍用ハードウェアからの予期しない外部通信により、サプライヤー審査およびデバイスレベルのセキュリティに厳しい視線が向けられています。

この接続がどのようにしてサプライヤー審査を通過したのか、また後の段階のテストでようやく判明した理由については、依然として疑問が残っています。

The Telegraphによると、調査担当者はカメラから中国国内のIPアドレスへ向けた「ハートビート通信」を検知したとのことです。ハートビート通信とは、接続されたデバイスがオンライン状態で稼働し続けていることを、別のシステムに伝えるために一般的に用いられる通信方式です。

当局はこの接続を発見した後、カメラのインターネット接続を遮断しました。中国のIPアドレスの所有者は公には特定されておらず、この通信の目的は依然として不明のままです。同様のIoTカメラのサプライチェーンリスクの事例は、組み込みコンポーネントが調達段階では購入者に把握されないようなネットワーク動作を引き起こしうることを示してきました。

英国防省(MoD)の調査担当者は、内部システムや機密データが侵害されたり、外部に送信されたりした証拠は見つからなかったとしています。Kraken社も、英海軍と共同で実施した監査の結果、機密情報が想定された通信経路の外に流出した形跡はなく、発見された脆弱性はすでに解消されたと述べています。

サードパーティ製カメラがサプライヤー審査の信頼性に疑問を投げかける

問題のカメラはKraken社が製造したものではありません。この機器はサードパーティのサプライヤーから供給されており、カメラの一部部品は英国外で製造されたものでした。報道によれば、当該サプライヤーは配備前にセキュリティ面の保証を提供していたとされています。

英国防省のCyber Security Modelでは、サプライヤーがサイバーセキュリティ対策を下請けの各階層にまで徹底することが義務付けられています。しかし、こうした事前の保証があったにもかかわらず、後のテストでは調査が必要な外部通信が依然として検出されました。組織が接続機器の実際のネットワーク上での挙動を検証せず、書類上の手続きやベンダーの申告のみに依拠している場合、同様のサードパーティリスク管理の問題が発生しうると指摘されています。

サプライヤー審査はリスク低減に役立ちますが、組み込みデバイスのセキュリティは導入後に何が起こるかにも左右されます。ファームウェアの更新やクラウド依存によって、デバイスの接続先や送信する情報が変化することがあるためです。

セキュリティチームは接続機器の実際の挙動を検証すべき

カメラやIoT機器、組み込みハードウェアを使用する組織は、ベンダーが提供する文書をあくまで出発点として捉え、配備前に実際のネットワーク動作を検証する必要があります。受け入れテストでは、想定される外部への通信先を洗い出したうえで、業務上必要のない接続はブロックすべきです。

ネットワークセグメンテーションを導入しておけば、後に予期しない通信が発生した場合でも、デバイスが到達できる範囲を制限できます。 

一方で、ネットワーク検知・対応(NDR)は、配備後に新規または異常な接続をセキュリティチームが発見する助けとなります。ファームウェアの更新や設定変更が行われた際には、デバイスの挙動が変化する可能性があるため、その都度改めて確認を行うべきです。

機密性の高い環境を管理するセキュリティチームは、データ流出が確認されていない場合であっても、原因不明の外部通信については調査を行うべきです。デバイスを隔離し、通信先を特定し、その接続が存在する理由を確認することで、気づかれないままの通信経路がより大きな露出につながる事態を防ぐことができます。

あわせて読みたい:Palo Alto Networksは中国において新たな規制当局の厳しい審査に直面しています。規制当局は、機密性の高い企業環境全般で使用される同社製品を精査しています。