“パンデミック”へのカウントダウンは始まっている

　では、VoIPに潜むセキュリティリスクはどのようなものがあるのか？　それは以下の5つに大きく分けることができる（図1）。

1. 通話不能
2. 嫌がらせ電話
3. 発信者の詐称
4. 盗聴
5. 呼の横取り

図1●VoIPシステムに潜むセキュリティリスク

　1の通話不能とは、SIPやICMP（Internet Control Message Protocol）のメッセージなどがIP-PBXやVoIPサーバあてに大量送信され、処理不能状態に陥ることだ。いわゆるDoS攻撃である。2の嫌がらせ電話は、IP電話などの端末あてに大量の呼を発信して使用不能状態に陥れる。これは電子メールのスパムと似ており、「SPIT（Spam over Internet Telephony）」と呼ばれている。ただし、スパムメールの場合は正規メールとともに受信ボックスにためられるので、後で確認したり削除したりといった対処をすることはできる。しかし、リアルタイムでのコミュニケーションが基本の通話では、先にSPITを受信してしまうと、正規の電話がかかってきてもつながらないという深刻な状況となる。SPITを受信し続けるほどに、正規の通話が取れなくなるのだ。その意味で、実質的な被害はメールより大きいと考えられる。

　3の発信者の詐称は、ナンバーハーベスティング（Number Hervesting）やDoS攻撃などを使って対象企業で使用されている電話番号を不正取得し、発信者詐称に悪用するというものだ。このほか、パケットの不正キャプチャーによる盗聴や、セッション乗っ取りによる通話・着信（呼）の横取りが想定される。

ネクストジェンの杉岡氏。「たった10秒間のDoS攻撃でもVoIPでは2時間半以上サービスが停止することがある」という

　ネクストジェンの杉岡氏によると、こうしたインシデントは4、5年前から通信事業者より報告されているという。同社は2002年創業時より、自社開発の試験機器による通信事業者向けVoIP／SIPシステム構築に携わってきた。DoS攻撃らしき被害報告が増加する中で、VoIPシステムが普及する企業においても同様のリスクが内在すると考え、セキュリティベンダーのラックと共同で「SIP/VoIPセキュリティ診断サービス」を提供することになった。

　「身近なところだと、2003年6月にMSN Messengerのコンタクトリストに対して『Kelvir』や『Mapson』といったウイルスが添付されたメッセージをばらまくという事件が発生している。また、2008年9月には050番号のIP端末に対して無差別にSIPパケットが送信され、不正接続を引き起こして無言電話になるという事件が発生している」（杉岡氏）

　この状況に対し、セキュリティベンダーであるラック 事業推進統括部 マーケティング部の田原美緒氏は「攻撃者としては将来性のあるターゲット。DoS攻撃による営業妨害や脅迫など、これは面白いと思ったら一気に拡大する可能性もある」と言う。基本的に、Webサーバで使える攻撃手法はSIPサーバにも使える。きっかけさえあれば、パンデミック（大流行）に至る可能性は高い。

　ビジネスは電話に依存する部分が大きい。その最たる例は、コンタクトセンターやオンライン証券などだ。「システムインテグレーターと話していると、QoS（サービス品質）は意識しても、VoIPセキュリティを突き詰めて考えていないことが多い。電子メールやWebが使えなくてもビジネスは取りあえずは止まらないが、電話が通じなくなるとビジネスは止まる恐れがある。電話というインフラの重要性がネットのそれと同列には語られていない」と、ラック 事業推進統括部マーケティング部 広報担当部長の増田隆一氏はVoIPにまつわるリスクを危惧（きぐ）する。

VoIPセキュリティを守る方法

　VoIPセキュリティにはどのような対策が有効なのか。ここでは、次の2つに分けて考えてみよう。

• 製品レベルでの対策
• 運用レベルでの対策

製品レベルでのセキュリティ対策

　製品レベルでは、まず暗号化機能を採用する方法がある。多くのSIPベースのVoIP機器は平文でやりとりするUDPで信号を送信する。このSIP信号自体を暗号化するTLS（Transport Layer Security）採用の製品を選択するとよい。このほか、先に述べた暗号化仕様のSRTPなどをサポートした製品を選択するのも1つの方法だ。ただし、企業内の通信をSIPを含めて暗号化しても、通信事業者のサービスと接続するときは暗号化データを平文に戻すゲートウェイ装置が必要になることがある。実施する前に、暗号化できる接続環境にあるかどうかを確認したい。

　もう1つは、VoIP機器の負荷防止／DoS攻撃防止機能を有効にすることだ。例えば、1秒間に50コール以上受けない、1ユーザーから1秒間に50コール以上受けない設定などを行う。ビジネスとして重要なのは、DoS攻撃後にすぐサービスを再開できるかどうかだ。DoS攻撃を受けると膨大な呼がキューにたまり、VoIP機器がDoS攻撃終了後もこれらを処理しようとしてしまう。これでは正しい呼を受信できなくなる。「DoS攻撃はたったの10秒間でも、サービス停止時間が2時間半にわたったケースもある」（杉岡氏）。さらに、デフォルト設定でDoS攻撃防御機能がオンになっているか注意する必要がある。「Webアプライアンスサーバではデフォルトでオンになっていても、VoIP製品ではなっていないことがある」（杉岡氏）ためだ。

　このほか、より厳密に制御したい場合は、あらかじめ登録されたIP電話からの呼のみを受け付ける設定にする方法もある。MAC認証方式のようなものだ。これは、PSTN（公衆電話回線網）ベースの仕組みをそのままSIPに置き換えた製品で設定できることが多く、「仕組みとしては古いが、セキュリティ的には有効」（杉岡氏）である。

運用レベルでのセキュリティ対策

　運用レベルでは、音声網とデータ網をVLANで切り分けたり、フィルタリングするといった対応策が考えられる。ただし、切り分けした場合、音声とデータとを別々に管理することになり、IP電話とグループウェアとの連携などのメリットも得られなくなる。そこで、「例えば、使用するVoIP機器の音声用ポートで設定されている範囲以外は通信させない、アクセスコントロールリスト（ACL）を作るといった対策を考える」（杉岡氏）とよい。

　また、セッションボーダーコントローラー（SBC）というステートフルファイアウォール（VoIPゲートウェイ）機器を活用する方法もある。VoIPには、通信時に固定されたポートで通信するSIPと、機器ごとに設定された範囲のポートを動的に選択して開閉するRTP（Real-time Transport Protocol）がある。SBCを配置すればこうしたポートの開閉を制御できるほか、パケットの中身を精査してフィルタリングすることも可能だ。

　VoIP対応のIDS／IPS（侵入検知／防御システム）やUTM（統合脅威管理）を導入するのも1つの手だ。ただし気を付けたいのは、VoIP機器ベンダーごとにSIP URI（※）が異なるなど、仕様が統一されていない点だ。これはベンダーの独自機能を生かすためだが、IDS／IPS側でこの差分を認識できず、正規のSIPメッセージにもかかわらず止めてしまう可能性がある。

※SIP URI：SIPで通信相手を指定する方法。あて先・発信元をメールアドレスに似たフォーマットで指定する。

まずはVoIPのセキュリティリスクを認識すること

　「“これを導入すれば対策できる”といった製品が登場するのは、これから1年後あたり」と杉岡氏は予想する。つまり、現段階では上記の通り、導入したVoIP製品の機能を駆使し、運用で支援するしかないということだ。

　しかし、これら対策を実際に企業内で実施するには検討材料が多すぎて困難だ。そもそも、障害時にVoIP関連の問題であると正しく切り分けられなければ対策すら打ち出せない。何が起こっているのか分からないのであれば、まずは前述のSIP／VoIPセキュリティ診断サービスなどのサービスに頼って、リスクの切り分けをするのもよいだろう。同サービスでは、ヒアリングに基づいてテストツールで各種攻撃パターンを試験し、診断結果のリポートや対策の提案を行う。

　「VoIPに限ったことではないが、セキュリティ対策の重要性は、実際にインシデントが起きてみないと感じられないため、置き去りにされがちだ。しかし、その部分を大切にしないとネットワークの品質にも悪影響を与えてしまう」（ラックの増田氏）

　VoIP関連の問題を見極めるには、まずはそのセキュリティリスクを認識し、切り分けのポイントを理解しておくことから始めるといい。これは、IP電話端末のファームウェアを自分でアップデートするといった、ありきたりな対応から考え直すことでも意識できるという。「VoIPサーバのファームウェアのアップデートとIP電話端末のファームウェアのアップデートは、つい別物と考えてしまう傾向がある」（杉岡氏）。IP電話もPCと同じ脆弱性のある情報機器と考えれば、企業の意識は変わるかもしれない。