Gartnerに聞く「iOS」の脆弱性がもたらす影響【後編】
「iPhoneは絶対に安全」だという思い込みはなぜ危険なのか
2019年2月に複数の脆弱性が見つかった「iOS」。この件をきっかけに、モバイルデバイスのセキュリティに対する人々の意識が変わりつつあるとGartnerは話す。モバイルデバイスを安全に運用するには何が必要なのか。
前編「iPhoneの“安全神話”はGoogleが見つけた脆弱性で崩壊か？」は、Googleのセキュリティチーム「Project Zero」が発見した「iOS」の脆弱（ぜいじゃく）性が与える影響について、調査会社Gartnerでシニアディレクターアナリストを務めるパトリック・へベシ氏に聞いた。後編は引き続きヘベシ氏に、今回の脆弱性発見を受けて企業があらためて見直すべきモバイルデバイスのセキュリティ対策を聞く。
モバイルデバイスのセキュリティホール
―― 今回のようなモバイルセキュリティの脆弱性は、モバイルデバイス全体の安全性を左右するのでしょうか。
ヘベシ氏 その通りだ。だからこそ、それを検知するためのモバイル脅威防御（MTD）製品がある。アプリケーションにも警戒が必要だ。そのアプリケーションは、悪意のある、望ましくないアプリケーションではないかどうか。バックアップやクラウドストレージ、安全ではないAPI（アプリケーションプログラミングインタフェース）へのアクセスに悪用される可能性はないかどうか。データ送受信者の間に割り込んで通信を傍受、改ざんする中間者攻撃を仕掛けようとしていないかどうか――。こうした注意を怠ってはいけない。
コーヒーショップや空港では、偽の公衆無線LANに接続させられていないかどうかに気を付けなければいけない。DNS（ドメインネームシステム）やARP（アドレス解決プロトコル）など、ドメインとIPアドレスをひも付ける仕組みのキャッシュを汚染（キャッシュポイズニング）して、悪意のある証明書をインストールさせられる場合がある。パッチ未配布のゼロデイ脆弱（ぜいじゃく）性を利用した攻撃だったから検出できなかったのではなく、攻撃者が難読化などの手法を使ってセキュリティ製品を回避したために、デバイスのセキュリティエンジンが攻撃を検知できなかった可能性もある。
「iPhoneは完全に安全」だと言い切れない訳
ヘベシ氏 MTDベンダーはモバイルデバイスへの攻撃を検知する新しい方法を考え始めている。有力な候補が、ふるまいに基づく検知だ。例えばプロファイルや証明書がインストールされたり、ポップアップが表示されたりしたときに、ユーザーが「はい」を選択した途端、いきなりアプリケーションやコードの読み込みを始めるアプリケーションがあったとしよう。このようなふるまいを異常動作として検知する、といった具合だ。
マルウェア感染を未然に防ぐEPP（Endpoint Protection Platform）製品や感染後の検知と対処を実行するEDR（Endpoint Detection and Response）製品といった、PCを中心としたセキュリティ製品と比べると、MTD製品は十分に成熟しているわけではない。モバイルセキュリティ製品もそこまで進化する必要がある。
―― Appleは2019年8月、バグ報奨金プログラムの最高報奨額を100万ドルに引き上げました。このような取り組みはAppleの全体的なセキュリティ状況に効果があると考えていますか。
ヘベシ氏 Appleはノート型やデスクトップ型のデバイスより、モバイルデバイスの利用が拡大していることを認識している。同社の取り組みは、より多くの情報を集め、協力を得ようとする姿勢の現れだ。このような動きは、iOSセキュリティにとってよい兆候だと考えている。
MicrosoftやGoogleなど、他のベンダーも同じような取り組みをしている。Googleはセキュリティに非常に力を入れている。同社は「全て安全だ。マルウェア対策などのセキュリティ製品は必要ない」とは考えておらず、「人が書いたプログラムである限り、セキュリティ対策を回避する方法は必ずある」という認識を持っている。
―― 企業は、今回のようなiOSの脆弱性に関するニュースに基づいてモバイルデバイスに関する意思決定をすべきですか。
ヘベシ氏 どんなモバイルOSにもそれぞれ長所と短所がある。今回の件は、宣伝や幻想から発生した、あたかも“完全に安全なもの”があるかのような思い込みを戒める効果があった。MTD製品が出始めたころ、通信事業者Verizonは「何も問題はない」という大ざっぱな声明しか出していなかった。実際にはソフトウェアである限り、必ず問題は存在する。人が作るものである以上、そこには必ず穴がある。
モバイルセキュリティが重視されるようになった現在、発見した問題を公表し、開示基準に従ってベンダーに直接報告する人が増えてきた。AppleやGoogleなどのベンダーは、モバイルデバイスの問題を積極的に修正しようとしており、よい兆候を示している。
「EPP／EDR製品を入れずにノートPCやデスクトップPCを配布してよいだろうか。答えはノーだ。それならなぜ、モバイルセキュリティ機能を入れずにモバイルデバイスを配布しようとしているのか」。これからはそう考える必要がある。
企業は、今回のような問題は今後どんなOSにも起こり得ると認識し始めている。デバイスを保護する方法や、デバイスに入れるアプリケーションをスキャンする方法、ネットワークを保護する方法について考えるべきだ。今回の件は、モバイルデバイスを企業内の他のデバイスと同じように考えるべきであることを知らしめる機会になった。
Copyright © ITmedia, Inc. All Rights Reserved.
Gartnerに聞く「iOS」の脆弱性がもたらす影響
Googleのセキュリティチーム「Project Zero」が発表した「iOS」の脆弱性はどのようなものか。その概要と、取り組むべきセキュリティポリシー強化についてGartnerのアナリストに話を聞いた。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[スパイスファクトリー株式会社] レガシーに消えるIT予算8割 「刷新か延命か」をAIと人で見極めるための手順 -
製品資料
[JetBrains s.r.o.] ソフトウェア開発は「コーディングエージェント」でどう変わるのか？ -
事例
[テクバン株式会社] 太陽ホールディングスは国内外拠点の端末5000台をどう管理しているのか？ -
事例
[株式会社キーエンス] PCが苦手でも自動化できる ポポラマーマなど4事例に学ぶ「ナビ搭載型RPA」活用 -
製品資料
[株式会社キーエンス] 自分ひとりでデスクワークを効率化 「AI＆ナビ搭載RPA」で実践する業務自動化
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
PHPはそもそも必要か？ 脆弱性で問われる自社サイト安全性と保守負担のバランス
-
2
Microsoft 365侵害企業の9割はMFA導入済み 1002人調査で見えた盲点
-
3
「Copilot」がIT予算を食いつぶす？ 高額請求を招く課金体系と節約術
-
4
Microsoft 365導入後も稟議は「Excelをメールで回覧」 承認が止まる理由
-
5
京王電鉄・東京メトロの被害から学ぶ境界防衛 ITの侵害はどこまで波及するか
-
6
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
7
米国防総省で300万人分の個人情報が流出 その「意外な原因」と教訓
-
8
「データ活用とAI活用の実態」に関するアンケート
-
9
PHP2Shellの「事前の情報流出」でパニックに パッチ公開を巡る“混乱劇”
-
10
「GitLab」に最高深刻度の脆弱性 2014年以降の全版に影響を及ぼす恐れ
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
3
「IT史に名を残すシステム障害」8選
-
4
10G回線の真価をフルに享受するには？ 導入前にチェックしたいポイント
-
5
SCS評価制度時代の「SASE選定」ガイド
-
6
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
7
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
8
「EDR」選定ガイド：比較・検討フェーズで整理すべきポイントを解説
-
9
MDMだけでは防げない？ Appleデバイスに潜む5つのセキュリティギャップ
-
10
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー