ホームネットワークと端末のセキュリティ

Wi-Fiパスワードだけでなく、製品全体を守る

家庭のネットワークには、ルーター、モデムまたは光回線用のゲートウェイ、ベンダーのクラウドアカウント、管理アプリ、スマートフォン、コンピューター、テレビ、カメラ、スピーカー、家電、ゲーム機、プリンター、そして場合によっては医療機器や仕事用の機器が含まれる。強固なWi-Fiパスワードは有用だが、サポートが終了したルーター、外部に露出したリモート管理ページ、乗っ取られたベンダーアカウント、セキュリティ更新を一度も受け取らない機器を埋め合わせることはできない。

AIは犯罪者が説得力のあるメッセージを書き、既知の攻撃手法を応用する助けになりうるが、だからといって家庭がまず「AIセキュリティ」のサブスクリプションを購入するべきではない。CISAが現在挙げている消費者向けの優先事項は、依然としてフィッシングの見分け方、強固で固有のパスワード、多要素認証、迅速なソフトウェア更新である。これらの対策を、ルーターと他の機器を管理するアカウントから始めて、体系的に適用すること。

接続されているものを棚卸しする

信頼できる端末から、ルーターの機器一覧または管理アプリを開くこと。機器名、所有者、用途、接続方式、ベンダーアカウント、自動更新の状況、サポート終了予定日という簡単な一覧を作ること。見覚えのない項目が自動的に侵入者を意味するわけではない——機器はしばしば分かりにくい名前やランダム化されたアドレスを使う——が、調査すること。不審な機器の電源を切るか一時的に切断し、何が消えるかを確認すること。

もう使っていない機器は撤去すること。アプリが放棄され、サポートが終了した接続機器であっても、攻撃対象領域を広げ続ける。新しい機器を購入する前に、自動更新、固有の認証情報、クラウドアカウントの多要素認証、脆弱性の報告体制、明示されたサポート期間に対応しているかを確認すること。NISTの消費者向けIoTベースラインは、物理的な機器だけでなく、アプリやバックエンドサービスを含む製品全体のエコシステムに焦点を当てている。

ルーターを意識的に設定する

ベンダーまたはインターネットプロバイダが公式に説明している方法でルーターにアクセスすること。求めてもいないメッセージ内のログインリンクをたどらないこと。そのうえで:

• 最新のファームウェアを適用し、対応していればセキュリティ更新の自動化を有効にする。
• デフォルトの管理者用認証情報を、パスワードマネージャーに保管した固有のパスワードに置き換える。
• 利用できる場合は、ベンダーのクラウドアカウントを多要素認証またはパスキーで保護する。
• 特定の、安全性が確保された必要性がない限り、インターネット経由のリモート管理を無効にする。
• 必須の機器すべてが対応していればWPA3-Personalを使い、そうでなければWPA2-AESを使う。旧式のWEPやWPAモードは避ける。
• 必要がなければ、Wi-Fi Protected SetupのPIN機能を無効にする。
• ネットワーク名を、姓、部屋番号、住所、ルーターの機種を明かさないものに変更する。
• 製品が対応していれば設定の安全なバックアップを保存し、ルーターのリセット・復旧方法を把握しておく。

NISTのコンシューマー向けルーターのプロファイルは、安全な設定、更新、アクセス制御、データ保護、インターフェースのセキュリティ、製品ドキュメントを、互いに結びついた要件として扱っている。ルーターがもはや修正を受け取らないのであれば、別のセキュリティ機器を追加するよりも、買い替えの方が有効な場合がある。

インターネットプロバイダのアカウントの名義人が誰か、そして自宅のインターネットを使わずにプロバイダに連絡する方法を書き留めておくこと。プロバイダ支給のゲートウェイは設定を制限したり、自動的に更新されたりすることがある。思い込まずに確認すること。理解しないままDNS、ファイアウォール、ブリッジの設定を変更するとサービスが中断することがあり、家庭にとって妥当な基準を満たすためにそれらの変更が必要になることはない。

ルーターが対応していれば、機器をネットワーク上で分離する

来客の機器はゲスト用ネットワークに置くこと。ルーターが分離されたIoT用ネットワークを提供している場合は、テレビ、スピーカー、プラグ、家電、カメラといった信頼度の低いスマート機器をそこに置き、機微な記録にアクセスするコンピューターやスマートフォンはメインのネットワークに残すこと。「ゲスト」や「IoT」の分離が実際にそれらの機器からメインのネットワークへの到達を防いでいるかを確認すること。製品によって実装は異なる。

ネットワーク分離は万能薬ではない。多くのスマート製品はベンダーのクラウドを通じて通信しており、クラウドアカウントが乗っ取られれば、ローカルネットワーク上の配置に関わらず機器が影響を受けうる。一部の機器はスマートフォン、ハブ、プリンター、アクセシビリティ用コントローラーとローカルで通信する必要があるため、移動させた後は家庭内の機能をテストすること。

雇用主が管理する機器を、業務方針に違反するような即興の構成に置かないこと。雇用主のVPN、更新、インシデント報告のルールに従うこと。ルーターが独立した業務用ネットワークに対応しており、雇用主がそれを認めている場合、個人用機器やIoT機器との相互作用を減らせることがある。

すべてのエンドポイントをサポート可能な状態に保つ

OS、ブラウザ、アプリケーション、セキュリティソフトウェアの自動更新を有効にすること。更新を完了させるために必要な再起動を行うこと。使っていないブラウザ拡張機能やアプリは削除すること——それぞれが権限や認証情報を保持しうる。現実的な範囲で、日常のコンピューター利用には管理者アカウントではなく標準ユーザーアカウントを使うこと。

スマートフォンとタブレットには、簡単すぎないロック解除コード、暗号化、自動更新、そして設定済みの位置検索・ロック機能を備えさせること。かけがえのないデータをバックアップし、復元できることをテストすること。一台のコンピューターに常時接続されたバックアップは、マルウェアや誤削除の影響を受けうるため、隔離されたもう一つのバージョンを保つか、バージョン履歴を持つサービスを使うこと。

プリンター、ネットワークストレージ、カメラ、ホームオートメーションのハブにも、ノートパソコンと同じだけの注意を払うこと。デフォルトの認証情報を変更し、更新を行い、使っていないサービスを無効にし、それらのインターフェースを直接インターネットにさらさないこと。ある製品を機能させるためにポート転送が必要な場合は、正確にどのサービスが外部から到達可能になるのかを理解し、ベンダーまたは専門家の助言を求めること。

スマートカメラ、スピーカー、医療機器を保護する

屋内のカメラとマイクは機微なものとして扱うこと。設置場所、誰が閲覧できるか、映像の保存期間、サードパーティ連携が本当に必要かを制限すること。サービスが役割設定に対応している場合は、一つの共有管理者アカウントではなく、家族ごとに別々のログインを使うこと。以前の居住者、来客、設置業者、廃止された機器のアクセス権は速やかに削除すること。

接続された健康・医療機器については、機密性と同じくらい可用性が重要になりうる。臨床医、製造元、プロバイダの指示に従うこと。ケアの最中に、結果を確認しないまま、クラウドアクセスを遮断したり、モニターを工場出荷時状態にリセットしたり、別のネットワークに移動させたりしないこと。NISTの遠隔医療とスマートホーム連携に関する研究は、コンシューマー向けスマートホーム機器が、在宅ケアにプライバシーとサイバーセキュリティ上の依存関係を加えると強調している。

フィッシング耐性をネットワークセキュリティの一部にする

家族の誰かがリモートアクセスソフトウェアをインストールしたり、悪意あるログインを承認したり、コードを開示したりすれば、攻撃者はルーターを攻撃する必要すらない。「文法の誤りがあるかどうか」という古い判定法は無視すること。送信者と要求されている行動を確認すること。

予期しないメッセージに含まれる、ルーター、ウイルス対策ソフト、動画配信、公共料金の「更新」リンクをクリックしないこと。既知のアプリを開くか、サービスのアドレスを自分で入力すること。ワンタイムのログインコードを電話の相手に伝えないこと。コンピューターが感染していると主張するポップアップに従って、画面共有ツールをインストールしないこと。サポートへの連絡が必要な場合は、検証済みの番号から自分で発信すること。

ルーター、インターネットプロバイダ、メール、機器ベンダー、動画配信アカウントには、パスワードマネージャーと固有の認証情報を使うこと。利用できる場合は、パスキーやハードウェアセキュリティキーを優先すること。復旧手段とバックアップ用認証器の詳細についてはデジタルアイデンティティの防御強化を参照のこと。

自前のセキュリティ運用センターにならずに監視する

新しい管理者ログイン、パスワードの変更、新しい機器、無効化されたセキュリティ機能についての通知を有効にすること。ルーターの接続機器一覧とベンダーアカウントのセッションを年に数回確認すること。誰も読まない過剰なログや通知は保護にはならない——行動に結びつくシグナルを選ぶこと。

警告サインには、説明のつかない設定変更、繰り返される多要素認証の要求、見覚えのない管理者、カメラが予期せず動いたり起動したりすること、見覚えのないポート転送、説明のつかないデータ通信量、あるいは機器が不審なページにリダイレクトされることなどがある。インターネットが遅いというだけでは、侵害の証拠にはならない。

侵害の可能性があると考えられる場合は、証拠を破壊しないよう注意しながら、該当機器をネットワークから切断すること。別の信頼できる端末を使って、メインのメール、パスワードマネージャー、ルーター、ベンダーアカウントを保護し、セッションを無効化し、ISPまたは製造元に連絡し、何が起きたかを記録すること。工場出荷時リセットは有用な証拠を消してしまう可能性があり、盗まれたクラウド認証情報の問題を解決するわけでもないため、それを自動的な最初の対応にしないこと。実害や犯罪については、IC3.govと適切な地元の窓口を通じて報告すること。

実践的なメンテナンスサイクル

今週: ルーターのファームウェアを更新し、管理者用認証情報を変更し、プロバイダとベンダーのアカウントを保護し、エンドポイントの自動更新を有効にし、ゲスト用ネットワークを作成する。

今月: 機器を棚卸しし、使っていない製品とアカウントを削除し、対応するIoT機器を分離し、カメラとマイクを見直し、バックアップをテストする。

年に2回: ファームウェアのサポート状況、アカウントのメンバー、復旧手段、接続機器、ポート転送、バックアップからの復元を確認する。サポートが終了した機器は計画的に交換する。

目標は完璧な要塞を作ることではない。それは、すべての機器が把握され、サポートされ、更新され、露出が最小限に抑えられ、復旧可能な状態にあるネットワークであり、加えて、洗練されたメッセージやリアルな声が求めてきたというだけの理由でアクセスを許可しない家庭である。