Interview

VoIPへの脅威とその対策

VoIPは強力なツールだ。しかし、これまでさまざまなツールで起きたことを見れば、VoIPシステムも当然、攻撃を受けることが予想される――VoIPセキュリティについて、専門家に聞いた。

公開 2006年08月31日 08時00分

更新 2012年09月04日 20時13分

著者

Andrew R. Hickey

[TechTarget]

印刷する

　去る6月にマイアミとワシントン州スポキャーンに在住のハッカーがVoIPサービスの窃盗と再販の罪に問われたことで、この種の攻撃の可能性がにわかに脚光を浴びた。2人のハッカーは、正規のVoIPサービスプロバイダーに不正侵入した後、音声サービスを再販し、これらのプロバイダーに請求書を回すことによって100万ドル以上を荒稼ぎしたとされている。

　TechTarget編集部は先ごろ、VoIPセキュリティ専門家で、VoIPセキュリティベンダーのシペラシステムズのCEOを務めるセーシュ・メドハバペディ氏にインタビューを行い、VoIPシステムに対するハッキングなどの脅威や、手遅れになる前に脅威に対抗する方法などについて話を聞いた。以下にインタビューの抜粋を掲載する。

――　先のハッキング事件は、VoIPセキュリティの現状に関してどのようなことを示しているのでしょうか。

メドハバペディ　インターネット上のアプリケーションとしてのVoIPは、攻撃の対象という意味ではインターネット上の先輩である電子メールなどのアプリケーションと何ら異なるところはないことを示しています。例外なく言えるのは、新しいアプリケーションを導入すれば、そこには必ず弱点が存在するということです。VoIPの場合、そのオープン性と使いやすさのせいで攻撃にさらされやすいのです。

――　ハッカーがVoIPを狙う目的は何ですか。

メドハバペディ　ハッカーの心理に注目する必要があります。彼らには3つのモチベーションがあります。まず、単に騒ぎを起こしたいという動機です。もう1つは、利益モデルを動機とするものです。そして、ゆすりを働くという動機があります。つまり、面白がってやるか、利益を得るためにやるかのどちらかということです。これら3つのモチベーションが圧倒的多数を占めており、いずれもハッカーにとって非常に魅力的な動機なのです。

　VoIPは今、インターネット上で利用できるオタク向けの目立たないツールから、メインストリームのアプリケーションに至る境界線を越えようとしているところです。非常に重要なアプリケーションであるため、今後、ますます多くのハッカーが注目するようになるでしょう。

　多くの企業およびサービスプロバイダーにとって、電話システムはお金を意味します。どのような形であれ、電話システムがダウンすると大きな損害が生じる可能性があります。われわれはVoIPシステムのセキュリティにもっと注意を向けるべきです。

――　攻撃の可能性を懸念すべき状況なのでしょうか。

メドハバペディ　大いに懸念すべき状況です。というのも、攻撃が起きていることを示す証拠が現時点で存在するからです。人々の間では、VoIPは複雑なアプリケーションだと考えられていますが、それは実際にその通りです。このため、ハッカーにも高度な専門知識が要求されます。しかし、VoIPの複雑さゆえにハッカーたちがあきらめるだろうと思うのは、非常に甘い考えです。ハッカーたちはとても頭が良いのです。決して敵を過小評価してはなりません。

　2人のハッカーの逮捕に関する報道は、VoIPは複雑であるために攻撃を受ける心配がないという神話を吹き飛ばしてしまいました。

――　企業がVoIPシステムを防御するための最初のステップは何でしょうか。

メドハバペディ　まず、自社のシステムの脆弱性の評価、そしてリスクのレベルの評価を実施することです。

　次に、VoIPアプリケーションを防御する専用のセキュリティ製品をネットワークに配備する必要があります。暗号化技術を利用する必要もあります。

　VoIPを防御するためのテクニックの中には、ほかのインターネットセキュリティツールの手法とは異なるものもあります。

――　問題として顕在化する前に、こういった攻撃を検知する方法はありますか。

メドハバペディ　シペラシステムズでは、VoIPの仕組みについて膨大な研究を行いました。しかも、ハッカーの視点から研究してきたのです。

　われわれは攻撃や侵入を許す脆弱性を分類し、データ防御を目的とした既存のセキュリティソリューションでは捕捉できない侵入にフォーカスしました。

　われわれは企業ユーザーに次のように説明しています――「あなたの会社はすでに、Webアプリケーションやデータアプリケーションを防御するためのセキュリティシステムを導入済みだが、VoIPシステムには既存のセキュリティシステムでは検出できない脆弱性が多数存在する」。VoIPは、インターネット上のほかのアプリケーションと大きく異なるアプリケーションです。リアルタイムでミッションクリティカルなアプリケーションなのです。VoIPに対する攻撃は、ほかのアプリケーションへの攻撃よりも大きな被害をもたらす可能性があります。

――　VoIPを導入した（あるいは導入を検討している）企業に対するアドバイスはありますか。

メドハバペディ　わたしのアドバイスは次の通りです――「あなた方はさまざまな理由でVoIPを導入していることだろう。VoIPは強力なコラボレーション／プロダクティビティツールだ。費用対効果の点でも優れている。しかし歴史から学ばなければならない。これまで起きたことを見れば、VoIPシステムも当然、攻撃を受けることが予想される。このため、事前予防的な対策を講じる必要があることを認識しなければならない」

　VoIPシステムのセキュリティを確保するのに役立つ優れたソリューションはすでに存在します。VoIPアプリケーションの配備にあたっては、真っ先にセキュリティのことを考えるべきです。

　例えば、新しい会社を立ち上げ、イントラネットを構築するとします。これを防御するためにファイアウォールを配備するというのは常識です。しかしVoIPの場合、セキュリティ対策を講じるのが常識という段階にはまだ達していません。

印刷する