Mirai公開で明るみに出た問題

　オールマン氏は、Miraiの“優れた”機能の1つとして、複数のIPアドレスを使用してLinuxでポート不足を回避できることを挙げる。この機能は、作成できるアウトバウンド（送信）接続の合計数を増やして、インバウンド（受信）接続数を不足させることで、受信デバイスをオーバーロードさせる。

　過剰な接続に起因するDDoS攻撃は、大量のトラフィックを必要としないので、攻撃手法として好まれることが多いという。「より少ない台数の攻撃デバイスでDDoSの状態を達成し、少ない帯域幅で目標を達成できる」（オールマン氏）。

　バージニア州センタービルに拠点を置く中古車情報会社CARFAXでリードセキュリティアナリストを務めるジェリー・ガンブラン氏によると、Miraiのコードが公開されたことで、デバイスのパスワードをデフォルトのままにしているエンドユーザーが直面する問題が浮き彫りになった。

　「今でもデバイスでTelnetが実行されている事実に驚くだろう。だが、残念ながら、これは驚くべきことではない」とホーランド氏は語る。管理者アカウントの資格情報についても同じことがいえる。「IoTデバイスでは、セキュリティが不十分であるか、全く対策が施されていないことが非常に多い」（同氏）

　資格情報の問題は「IoTデバイスのメーカーが、将来考慮しなければならない設計上の欠陥だ」とオールマン氏は言う。全てのIoTデバイスには、デフォルトの資格情報を設定して出荷せざるを得ない。これ自体は、購入者が各自のネットワーク環境に合わせてデバイスを構成できるようにするために必要だ。本当の問題は、所有者がインストール後にデバイスのアカウントを変更しないことに無関心であることだという。

　「将来、IoTデバイスのベンダーは所有者に対して、構成を続行する前にデバイスのデフォルトパスワードの変更を義務付けるべきだろう。また、ありふれたパスワードやパスワードの再利用を防ぐためにパスワードの基本的な整合性チェックも行う必要がある。これは全く難しいことではない」（オールマン氏）

　オールマン氏はリスクを軽減するための基本的なセキュリティ対策を幾つか提案する。リスクにさらされる可能性を低減するには、IoTデバイスのデフォルトの管理者資格情報を変更するか、デバイス内にある非管理者の資格情報を変更または削除することが重要だという。同氏はIoTデバイスがファイアウォールの内側に配置されていることと、ファイアウォールがデフォルトでIoTデバイスの操作に必要不可欠でないプロトコルを全て排除するように構成されていることを確認することを推奨する。

　ホーランド氏によると、IoTデバイスがDDoS攻撃のボットネットで使用されるリスクを軽減するための最初の一歩は、IoTデバイスのフットプリント（リソース量）を意識することだという。「企業では、社内にあるIoTのインベントリ（資産）を把握していないことが非常に多い」（ホーランド氏）

　次のステップは、導入しているデバイスの利用可能な構成設定を理解することだ。「IoTのセキュリティ対策が不十分であることを考えると、利用できるものはかなり限られるだろう」とホーランド氏は語る。最終的には、IoTデバイスにセキュリティ対策を盛り込むようIoTベンダーに圧力をかける必要があるという。クライアント端末やサーバといった多くの従来型のIT資産と異なり、IoTデバイスには後からセキュリティ対策を追加できないからだ。