Gartnerに聞く「iOS」の脆弱性がもたらす影響【後編】
「iPhoneは絶対に安全」だという思い込みはなぜ危険なのか
2019年2月に複数の脆弱性が見つかった「iOS」。この件をきっかけに、モバイルデバイスのセキュリティに対する人々の意識が変わりつつあるとGartnerは話す。モバイルデバイスを安全に運用するには何が必要なのか。
前編「iPhoneの“安全神話”はGoogleが見つけた脆弱性で崩壊か？」は、Googleのセキュリティチーム「Project Zero」が発見した「iOS」の脆弱（ぜいじゃく）性が与える影響について、調査会社Gartnerでシニアディレクターアナリストを務めるパトリック・へベシ氏に聞いた。後編は引き続きヘベシ氏に、今回の脆弱性発見を受けて企業があらためて見直すべきモバイルデバイスのセキュリティ対策を聞く。
モバイルデバイスのセキュリティホール
―― 今回のようなモバイルセキュリティの脆弱性は、モバイルデバイス全体の安全性を左右するのでしょうか。
ヘベシ氏 その通りだ。だからこそ、それを検知するためのモバイル脅威防御（MTD）製品がある。アプリケーションにも警戒が必要だ。そのアプリケーションは、悪意のある、望ましくないアプリケーションではないかどうか。バックアップやクラウドストレージ、安全ではないAPI（アプリケーションプログラミングインタフェース）へのアクセスに悪用される可能性はないかどうか。データ送受信者の間に割り込んで通信を傍受、改ざんする中間者攻撃を仕掛けようとしていないかどうか――。こうした注意を怠ってはいけない。
コーヒーショップや空港では、偽の公衆無線LANに接続させられていないかどうかに気を付けなければいけない。DNS（ドメインネームシステム）やARP（アドレス解決プロトコル）など、ドメインとIPアドレスをひも付ける仕組みのキャッシュを汚染（キャッシュポイズニング）して、悪意のある証明書をインストールさせられる場合がある。パッチ未配布のゼロデイ脆弱（ぜいじゃく）性を利用した攻撃だったから検出できなかったのではなく、攻撃者が難読化などの手法を使ってセキュリティ製品を回避したために、デバイスのセキュリティエンジンが攻撃を検知できなかった可能性もある。
「iPhoneは完全に安全」だと言い切れない訳
ヘベシ氏 MTDベンダーはモバイルデバイスへの攻撃を検知する新しい方法を考え始めている。有力な候補が、ふるまいに基づく検知だ。例えばプロファイルや証明書がインストールされたり、ポップアップが表示されたりしたときに、ユーザーが「はい」を選択した途端、いきなりアプリケーションやコードの読み込みを始めるアプリケーションがあったとしよう。このようなふるまいを異常動作として検知する、といった具合だ。
マルウェア感染を未然に防ぐEPP（Endpoint Protection Platform）製品や感染後の検知と対処を実行するEDR（Endpoint Detection and Response）製品といった、PCを中心としたセキュリティ製品と比べると、MTD製品は十分に成熟しているわけではない。モバイルセキュリティ製品もそこまで進化する必要がある。
―― Appleは2019年8月、バグ報奨金プログラムの最高報奨額を100万ドルに引き上げました。このような取り組みはAppleの全体的なセキュリティ状況に効果があると考えていますか。
ヘベシ氏 Appleはノート型やデスクトップ型のデバイスより、モバイルデバイスの利用が拡大していることを認識している。同社の取り組みは、より多くの情報を集め、協力を得ようとする姿勢の現れだ。このような動きは、iOSセキュリティにとってよい兆候だと考えている。
MicrosoftやGoogleなど、他のベンダーも同じような取り組みをしている。Googleはセキュリティに非常に力を入れている。同社は「全て安全だ。マルウェア対策などのセキュリティ製品は必要ない」とは考えておらず、「人が書いたプログラムである限り、セキュリティ対策を回避する方法は必ずある」という認識を持っている。
―― 企業は、今回のようなiOSの脆弱性に関するニュースに基づいてモバイルデバイスに関する意思決定をすべきですか。
ヘベシ氏 どんなモバイルOSにもそれぞれ長所と短所がある。今回の件は、宣伝や幻想から発生した、あたかも“完全に安全なもの”があるかのような思い込みを戒める効果があった。MTD製品が出始めたころ、通信事業者Verizonは「何も問題はない」という大ざっぱな声明しか出していなかった。実際にはソフトウェアである限り、必ず問題は存在する。人が作るものである以上、そこには必ず穴がある。
モバイルセキュリティが重視されるようになった現在、発見した問題を公表し、開示基準に従ってベンダーに直接報告する人が増えてきた。AppleやGoogleなどのベンダーは、モバイルデバイスの問題を積極的に修正しようとしており、よい兆候を示している。
「EPP／EDR製品を入れずにノートPCやデスクトップPCを配布してよいだろうか。答えはノーだ。それならなぜ、モバイルセキュリティ機能を入れずにモバイルデバイスを配布しようとしているのか」。これからはそう考える必要がある。
企業は、今回のような問題は今後どんなOSにも起こり得ると認識し始めている。デバイスを保護する方法や、デバイスに入れるアプリケーションをスキャンする方法、ネットワークを保護する方法について考えるべきだ。今回の件は、モバイルデバイスを企業内の他のデバイスと同じように考えるべきであることを知らしめる機会になった。
Copyright © ITmedia, Inc. All Rights Reserved.
Gartnerに聞く「iOS」の脆弱性がもたらす影響
Googleのセキュリティチーム「Project Zero」が発表した「iOS」の脆弱性はどのようなものか。その概要と、取り組むべきセキュリティポリシー強化についてGartnerのアナリストに話を聞いた。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
4
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
5
「何も変更していないのにWebサイトがクラッシュ」 そのときの原因は？
-
6
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
7
個人の業務効率化で終わる企業の盲点 AIで成果を出す「上位6％」の手法
-
8
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
9
「何から始めればいい？」 情報漏えい対策で悲鳴を上げる中小企業のリアル
-
10
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
プログラミング不要で誰でも実現できる、ネットワーク運用管理の自動化とは
-
5
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
6
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
“あのファイル転送”で暗躍するノーウェアランサム
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー