NOTICE｜情報処理安全確保支援士試験 令和4年春期午前Ⅱ 問8
出典：令和4年春期 午前Ⅱ 問8
分野：セキュリティ ／ 情報セキュリティ管理
総務省及び国立研究開発法人情報通信研究機構（NICT）が2019年2月から実施している取組"NOTICE"に関する記述のうち，適切なものはどれか。
- ア：NICTが運用するダークネット観測網において，Miraiなどのマルウェアに感染したIoT機器から到達するパケットを分析した結果を当該機器の製造者に提供し，国内での必要な対策を促す。
- イ：国内のグローバルIPアドレスを有するIoT機器に，容易に推測されるパスワードを入力することなどによって，サイバー攻撃に悪用されるおそれのある機器を調査し，インターネットサービスプロバイダを通じて当該機器の利用者に注意喚起を行う。
- ウ：国内の利用者からの申告に基づき，利用者の所有するIoT機器に対して無料でリモートから，侵入テストやOSの既知の脆弱性の有無の調査を実施し，結果を通知するとともに，利用者が自ら必要な対処ができるよう支援する。
- エ：製品のリリース前に，不要にもかかわらず開放されているポートの存在，パスワードの設定漏れなど約200項目の脆弱性の有無を調査できるテストベッドを国内のIoT機器製造者向けに公開し，市場に流通するIoT機器のセキュリティ向上を目指す。
TSUNAGARU-ADVICE
まず押さえたいこと
NOTICEは、総務省とNICTが実施している取組で、国内のIoT機器に容易に推測されるパスワードなどを試し、サイバー攻撃に悪用されるおそれのある機器を調査するものです。
迷ったときの判断軸
NOTICEでは、調査で見つかった危険なIoT機器について、インターネットサービスプロバイダを通じて利用者に注意喚起します。製造者への情報提供、利用者申告に基づく無料診断・製造者向けテストベッドではなく、ISPを通じて利用者へ注意喚起する点で判断できます。
科目Bにつなげるために
科目Bでは、IoT機器のセキュリティ対策について、利用者・ISP・行政機関・製造者の役割を切り分ける力が問われます。NOTICEは、弱いパスワードなどで悪用されるおそれのあるIoT機器を見つけ、利用者に対策を促す取組として理解しておきましょう。
NOTICE（National Operation Towards IoT Clean Environment）は、サイバー攻撃に悪用されるおそれのあるIoT機器を調査し、利用者に注意喚起する取組です。
総務省、NICT、インターネットプロバイダが連携して実施しています。対象となるのは、インターネットからアクセスできるルータ、Webカメラ、センサーなどのIoT機器です。
NOTICEでは、NICTがIoT機器に対して、
adminやrootなどの推測されやすいID・パスワードを試し、不正ログインされるおそれがないかを調査します。IoT機器を初期設定のまま使っていると、不正ログインされ、DDoS攻撃などに悪用されるおそれがあります。
つまりNOTICEは、「危険な設定のまま使われているIoT機器を見つけ、利用者に改善を促すための取組」と考えると分かりやすいです。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：NICTが運用するダークネット観測網において，Miraiなどのマルウェアに感染したIoT機器から到達するパケットを分析した結果を当該機器の製造者に提供し，国内での必要な対策を促す。
⇒ダークネット観測によるマルウェア感染機器の分析に関する説明です。NOTICEは、国内のIoT機器に対して容易に推測されるパスワードを試すなどして、悪用されるおそれのある機器を調査し、ISPを通じて利用者へ注意喚起する取組です。製造者へ分析結果を提供することを中心とした取組ではありません。
ウ：国内の利用者からの申告に基づき，利用者の所有するIoT機器に対して無料でリモートから，侵入テストやOSの既知の脆弱性の有無の調査を実施し，結果を通知するとともに，利用者が自ら必要な対処ができるよう支援する。
⇒利用者からの申告に基づく個別の侵入テストや脆弱性診断の説明です。NOTICEは、利用者からの依頼を受けて診断する制度ではなく、国内のグローバルIPアドレスを対象に、攻撃に悪用されるおそれのあるIoT機器を調査する取組です。
エ：製品のリリース前に，不要にもかかわらず開放されているポートの存在，パスワードの設定漏れなど約200項目の脆弱性の有無を調査できるテストベッドを国内のIoT機器製造者向けに公開し，市場に流通するIoT機器のセキュリティ向上を目指す。
⇒IoT機器製造者向けの事前検証環境に関する説明です。NOTICEは、製品リリース前のテストベッド提供ではなく、既にインターネットに接続されているIoT機器を調査し、利用者に注意喚起する取組です。