Gartnerに聞く「iOS」の脆弱性がもたらす影響【後編】

「iPhoneは絶対に安全」だという思い込みはなぜ危険なのか

2019年2月に複数の脆弱性が見つかった「iOS」。この件をきっかけに、モバイルデバイスのセキュリティに対する人々の意識が変わりつつあるとGartnerは話す。モバイルデバイスを安全に運用するには何が必要なのか。

公開 2019年10月29日 05時00分

更新 2019年10月29日 14時10分

著者

John Powers

[TechTarget]

印刷する連載新着通知を受け取る

　前編「iPhoneの“安全神話”はGoogleが見つけた脆弱性で崩壊か？」は、Googleのセキュリティチーム「Project Zero」が発見した「iOS」の脆弱（ぜいじゃく）性が与える影響について、調査会社Gartnerでシニアディレクターアナリストを務めるパトリック・へベシ氏に聞いた。後編は引き続きヘベシ氏に、今回の脆弱性発見を受けて企業があらためて見直すべきモバイルデバイスのセキュリティ対策を聞く。

併せて読みたいお薦め記事

iOSの脆弱性

Appleのセキュリティ対策

モバイルデバイスのセキュリティホール

――　今回のようなモバイルセキュリティの脆弱性は、モバイルデバイス全体の安全性を左右するのでしょうか。

ヘベシ氏　その通りだ。だからこそ、それを検知するためのモバイル脅威防御（MTD）製品がある。アプリケーションにも警戒が必要だ。そのアプリケーションは、悪意のある、望ましくないアプリケーションではないかどうか。バックアップやクラウドストレージ、安全ではないAPI（アプリケーションプログラミングインタフェース）へのアクセスに悪用される可能性はないかどうか。データ送受信者の間に割り込んで通信を傍受、改ざんする中間者攻撃を仕掛けようとしていないかどうか――。こうした注意を怠ってはいけない。

　コーヒーショップや空港では、偽の公衆無線LANに接続させられていないかどうかに気を付けなければいけない。DNS（ドメインネームシステム）やARP（アドレス解決プロトコル）など、ドメインとIPアドレスをひも付ける仕組みのキャッシュを汚染（キャッシュポイズニング）して、悪意のある証明書をインストールさせられる場合がある。パッチ未配布のゼロデイ脆弱（ぜいじゃく）性を利用した攻撃だったから検出できなかったのではなく、攻撃者が難読化などの手法を使ってセキュリティ製品を回避したために、デバイスのセキュリティエンジンが攻撃を検知できなかった可能性もある。

「iPhoneは完全に安全」だと言い切れない訳

ヘベシ氏　MTDベンダーはモバイルデバイスへの攻撃を検知する新しい方法を考え始めている。有力な候補が、ふるまいに基づく検知だ。例えばプロファイルや証明書がインストールされたり、ポップアップが表示されたりしたときに、ユーザーが「はい」を選択した途端、いきなりアプリケーションやコードの読み込みを始めるアプリケーションがあったとしよう。このようなふるまいを異常動作として検知する、といった具合だ。

　マルウェア感染を未然に防ぐEPP（Endpoint Protection Platform）製品や感染後の検知と対処を実行するEDR（Endpoint Detection and Response）製品といった、PCを中心としたセキュリティ製品と比べると、MTD製品は十分に成熟しているわけではない。モバイルセキュリティ製品もそこまで進化する必要がある。

――　Appleは2019年8月、バグ報奨金プログラムの最高報奨額を100万ドルに引き上げました。このような取り組みはAppleの全体的なセキュリティ状況に効果があると考えていますか。

ヘベシ氏　Appleはノート型やデスクトップ型のデバイスより、モバイルデバイスの利用が拡大していることを認識している。同社の取り組みは、より多くの情報を集め、協力を得ようとする姿勢の現れだ。このような動きは、iOSセキュリティにとってよい兆候だと考えている。

　MicrosoftやGoogleなど、他のベンダーも同じような取り組みをしている。Googleはセキュリティに非常に力を入れている。同社は「全て安全だ。マルウェア対策などのセキュリティ製品は必要ない」とは考えておらず、「人が書いたプログラムである限り、セキュリティ対策を回避する方法は必ずある」という認識を持っている。

――　企業は、今回のようなiOSの脆弱性に関するニュースに基づいてモバイルデバイスに関する意思決定をすべきですか。

ヘベシ氏　どんなモバイルOSにもそれぞれ長所と短所がある。今回の件は、宣伝や幻想から発生した、あたかも“完全に安全なもの”があるかのような思い込みを戒める効果があった。MTD製品が出始めたころ、通信事業者Verizonは「何も問題はない」という大ざっぱな声明しか出していなかった。実際にはソフトウェアである限り、必ず問題は存在する。人が作るものである以上、そこには必ず穴がある。

　モバイルセキュリティが重視されるようになった現在、発見した問題を公表し、開示基準に従ってベンダーに直接報告する人が増えてきた。AppleやGoogleなどのベンダーは、モバイルデバイスの問題を積極的に修正しようとしており、よい兆候を示している。

　「EPP／EDR製品を入れずにノートPCやデスクトップPCを配布してよいだろうか。答えはノーだ。それならなぜ、モバイルセキュリティ機能を入れずにモバイルデバイスを配布しようとしているのか」。これからはそう考える必要がある。

　企業は、今回のような問題は今後どんなOSにも起こり得ると認識し始めている。デバイスを保護する方法や、デバイスに入れるアプリケーションをスキャンする方法、ネットワークを保護する方法について考えるべきだ。今回の件は、モバイルデバイスを企業内の他のデバイスと同じように考えるべきであることを知らしめる機会になった。

印刷する