Gartnerに聞く「iOS」の脆弱性がもたらす影響【後編】
「iPhoneは絶対に安全」だという思い込みはなぜ危険なのか
2019年2月に複数の脆弱性が見つかった「iOS」。この件をきっかけに、モバイルデバイスのセキュリティに対する人々の意識が変わりつつあるとGartnerは話す。モバイルデバイスを安全に運用するには何が必要なのか。
前編「iPhoneの“安全神話”はGoogleが見つけた脆弱性で崩壊か？」は、Googleのセキュリティチーム「Project Zero」が発見した「iOS」の脆弱（ぜいじゃく）性が与える影響について、調査会社Gartnerでシニアディレクターアナリストを務めるパトリック・へベシ氏に聞いた。後編は引き続きヘベシ氏に、今回の脆弱性発見を受けて企業があらためて見直すべきモバイルデバイスのセキュリティ対策を聞く。
モバイルデバイスのセキュリティホール
―― 今回のようなモバイルセキュリティの脆弱性は、モバイルデバイス全体の安全性を左右するのでしょうか。
ヘベシ氏 その通りだ。だからこそ、それを検知するためのモバイル脅威防御（MTD）製品がある。アプリケーションにも警戒が必要だ。そのアプリケーションは、悪意のある、望ましくないアプリケーションではないかどうか。バックアップやクラウドストレージ、安全ではないAPI（アプリケーションプログラミングインタフェース）へのアクセスに悪用される可能性はないかどうか。データ送受信者の間に割り込んで通信を傍受、改ざんする中間者攻撃を仕掛けようとしていないかどうか――。こうした注意を怠ってはいけない。
コーヒーショップや空港では、偽の公衆無線LANに接続させられていないかどうかに気を付けなければいけない。DNS（ドメインネームシステム）やARP（アドレス解決プロトコル）など、ドメインとIPアドレスをひも付ける仕組みのキャッシュを汚染（キャッシュポイズニング）して、悪意のある証明書をインストールさせられる場合がある。パッチ未配布のゼロデイ脆弱（ぜいじゃく）性を利用した攻撃だったから検出できなかったのではなく、攻撃者が難読化などの手法を使ってセキュリティ製品を回避したために、デバイスのセキュリティエンジンが攻撃を検知できなかった可能性もある。
「iPhoneは完全に安全」だと言い切れない訳
ヘベシ氏 MTDベンダーはモバイルデバイスへの攻撃を検知する新しい方法を考え始めている。有力な候補が、ふるまいに基づく検知だ。例えばプロファイルや証明書がインストールされたり、ポップアップが表示されたりしたときに、ユーザーが「はい」を選択した途端、いきなりアプリケーションやコードの読み込みを始めるアプリケーションがあったとしよう。このようなふるまいを異常動作として検知する、といった具合だ。
マルウェア感染を未然に防ぐEPP（Endpoint Protection Platform）製品や感染後の検知と対処を実行するEDR（Endpoint Detection and Response）製品といった、PCを中心としたセキュリティ製品と比べると、MTD製品は十分に成熟しているわけではない。モバイルセキュリティ製品もそこまで進化する必要がある。
―― Appleは2019年8月、バグ報奨金プログラムの最高報奨額を100万ドルに引き上げました。このような取り組みはAppleの全体的なセキュリティ状況に効果があると考えていますか。
ヘベシ氏 Appleはノート型やデスクトップ型のデバイスより、モバイルデバイスの利用が拡大していることを認識している。同社の取り組みは、より多くの情報を集め、協力を得ようとする姿勢の現れだ。このような動きは、iOSセキュリティにとってよい兆候だと考えている。
MicrosoftやGoogleなど、他のベンダーも同じような取り組みをしている。Googleはセキュリティに非常に力を入れている。同社は「全て安全だ。マルウェア対策などのセキュリティ製品は必要ない」とは考えておらず、「人が書いたプログラムである限り、セキュリティ対策を回避する方法は必ずある」という認識を持っている。
―― 企業は、今回のようなiOSの脆弱性に関するニュースに基づいてモバイルデバイスに関する意思決定をすべきですか。
ヘベシ氏 どんなモバイルOSにもそれぞれ長所と短所がある。今回の件は、宣伝や幻想から発生した、あたかも“完全に安全なもの”があるかのような思い込みを戒める効果があった。MTD製品が出始めたころ、通信事業者Verizonは「何も問題はない」という大ざっぱな声明しか出していなかった。実際にはソフトウェアである限り、必ず問題は存在する。人が作るものである以上、そこには必ず穴がある。
モバイルセキュリティが重視されるようになった現在、発見した問題を公表し、開示基準に従ってベンダーに直接報告する人が増えてきた。AppleやGoogleなどのベンダーは、モバイルデバイスの問題を積極的に修正しようとしており、よい兆候を示している。
「EPP／EDR製品を入れずにノートPCやデスクトップPCを配布してよいだろうか。答えはノーだ。それならなぜ、モバイルセキュリティ機能を入れずにモバイルデバイスを配布しようとしているのか」。これからはそう考える必要がある。
企業は、今回のような問題は今後どんなOSにも起こり得ると認識し始めている。デバイスを保護する方法や、デバイスに入れるアプリケーションをスキャンする方法、ネットワークを保護する方法について考えるべきだ。今回の件は、モバイルデバイスを企業内の他のデバイスと同じように考えるべきであることを知らしめる機会になった。
Copyright © ITmedia, Inc. All Rights Reserved.
Gartnerに聞く「iOS」の脆弱性がもたらす影響
Googleのセキュリティチーム「Project Zero」が発表した「iOS」の脆弱性はどのようなものか。その概要と、取り組むべきセキュリティポリシー強化についてGartnerのアナリストに話を聞いた。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
技術文書・技術解説
[Jamf Japan 合同会社] MDMだけでモバイルセキュリティは十分？ 不足する対策を16項目でチェック -
事例
[Wrike Japan 株式会社] 世界的な家電メーカーが実践する「クリエイティブプロセス効率化」の方法とは？ -
事例
[Wrike Japan 株式会社] 世界的テクノロジー企業に学ぶ、プロセス標準化とプロジェクト納品自動化の秘訣 -
事例
[Wrike Japan 株式会社] ソニー・ピクチャーズ テレビジョンに学ぶ、次世代サービスデリバリーのヒント -
事例
[Wrike Japan 株式会社] ソミック石川に学ぶ、ICT浸透後に直面した「工数管理」の課題と解決策
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
2
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
3
「データストレージの活用方法」に関するアンケート
-
4
なぜOpenAIやAnthropicのAIは「脱走」したのか 情シスが迫られるエージェント統制
-
5
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
6
Oracle巨大ITプロジェクトはなぜつまずいたのか 8年で導入1割、追加で170億ドル
-
7
「Microsoft一択」で本当にいいのか 知らぬ間にライセンス費用が膨らむ真相
-
8
ANAが専用回線から移行した「NaaS」の全貌 ネットワーク準備が数カ月から数週間に
-
9
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
10
「プログラマー不要論」にThe Linux Foundationが示した答え
ホワイトペーパーランキング PR
-
1
マンガで解説：「ゼロトラスト」「SASE」の必要性とメリット
-
2
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
3
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
4
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
5
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
8
ドラマで分かる、標的型攻撃メールの被害を受ける企業と回避できる企業の分岐点
-
9
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
10
少額減価償却資産が40万円未満へ拡大、令和8年度税制改正で押さえるべき変更点
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー