「放置状態のルーター」はなぜ危ない？ 狙われる“4つの侵入口”：ルーターを基本から理解する【第4回】
ルーターは、家庭から企業まであらゆるネットワークに欠かせない機器だが、利便性の裏に見逃せないセキュリティリスクが潜んでいることには注意が必要だ。特に対策が必要な点は何か。
いまや家庭でもオフィスでも、「ルーター」がインターネット接続に欠かせないネットワーク機器として広く使われている。ルーターはネットワーク同士をつなぐ極めて重要な役割を果たす。だがその“玄関口”としての役割を担う反面、ルーターには外部からの攻撃に悪用されやすいというリスクもある。
特に家庭用ルーターや小規模オフィス向けルーターでは、脆弱（ぜいじゃく）性が放置されたままになっているケースが後を絶たず、攻撃者にとって格好の標的となっている。特に注意が必要な、ルーターのリスクを解説する。
放置ルーターに潜む4つの侵害ポイント
併せて読みたいお薦め記事
連載：ルーターの基本を押さえる
- 第1回：いまさら聞けない「ルーター経由」でインターネットに接続する“真の理由”
- 第2回：ネット接続にルーターもモデムも必要なのはなぜ？ しかもルーターは“7種類”
- 第3回：ルーターの通信経路はどう決まる？ 「OSPF」や「BGP」の仕組みに迫る
ルーターの基本を押さえる
ルーターは、ネットワーク接続において極めて重要な役割を担っている。その一方で、ネットワークの安全性を脅かしかねないセキュリティリスクを幾つも抱えている。ここでは、特に注意すべき主なリスクについて解説する。
1．ファームウェアの脆弱性
ルーターのファームウェアやOSが古いままだと、既に知られているセキュリティの脆弱性が修正されないまま残っている可能性がある。ベンダーはこうした脆弱性を解消するアップデートを随時提供しているが、ユーザーが常にそれらをタイムリーに適用しているとは限らない。
攻撃者が正規のファームウェアを悪意あるバージョンに差し替えることで、ルーターを乗っ取ったり、通信内容を傍受したり、機密データを盗んだりするリスクもある。
2．脆弱な資格情報やデフォルトの資格情報
多くのルーターには、出荷時に「admin」などのデフォルトのユーザー名とパスワードが設定されている。こうした情報はインターネット上で容易に検索できるため、設定を変更していない場合、誰でもそのルーターの管理画面にアクセスできてしまう恐れがある。
仮にユーザーがパスワードを変更していても、「123456」や「password」といった推測しやすい脆弱なパスワードを使っていると、総当たり（ブルートフォース）攻撃で突破される可能性がある。米国国立標準技術研究所（NIST）のガイドラインでは、最大64文字までの長いパスワードが奨励されている。最低でも8文字以上を使用することが望ましい。
3．ルーターの構成ミス
ルーターは、さまざまな種類のネットワークトラフィックを適切に処理するために複数のポートを備えている。だが、使用していないポートを開放したままにしていると、攻撃者にとっての侵入経路として悪用される可能性がある。
ルーターに搭載された一部の機能が、セキュリティリスクとなることもある。例えば、Wi-Fiルーターの接続設定を簡素化するために用いられる機能「Wi-Fi Protected Setup」（WPS）は、PIN（Personal Identification Number：個人識別番号）やボタン操作による簡易接続を可能にするが、設定が不適切だと脆弱性を生む恐れがある。
4．物理アクセスのリスク
ルーターに物理的にアクセスできてしまう環境では、機器の初期化（リセット）や設定変更、不正なソフトウェアのインストールなどが容易に実行されてしまう可能性がある。こうした操作は外部からのサイバー攻撃とは異なり、内部からの侵害につながるため、セキュリティ対策として設置場所の管理やアクセス制限を徹底することも欠かせない。
ルーターの限界を突く攻撃も
DDoS（分散型サービス拒否）攻撃は、ルーターに対して大量のトラフィックを一斉に送りつけ、正常な通信を妨害する典型的な手口だ。こうした急激なトラフィックの増加により、ルーターの処理能力が限界を超えてしまい、システムがクラッシュしたり、通信に深刻な遅延が発生したりする可能性がある。ルーターが応答しなくなると、ネットワーク全体に障害が波及し、ユーザーが業務や生活に不可欠なオンラインサービスにアクセスできなくなる恐れもある。
Copyright © ITmedia, Inc. All Rights Reserved.