総務省が国内のIoT機器を対象としたポートスキャン、NOTICE拡大へ。ID・PWを6倍にしIPアドレスも追加へ 21
ストーリー by nagazou
増強 部門より
増強 部門より
総務省は11日、サイバー攻撃に悪用されるリスクのあるIoT機器などに関連する取り組みである「NOTICE」の強化を図ると発表した（総務省、Security NEXT）。この取り組みでは、「password」や「123456」といったよくあるパスワードが設定されているIoT機器を調査するというものだ（過去記事）。
今回の取り組みの強化に関しては、情報通信研究機構（NICT）からの申請に基づいたもので、入力するIDやパスワードの種類をこれまでの約100種類から約600種に増加させた。また特定アクセス行為を行うIPアドレスに関しても41個から54個に増やすことを認めたとしている。今回新たに追加されたIPアドレスは、150.249.227.162~174で、今回の変更に関しては、今年の10月度以降の調査から反映されるとのこと。
今回の取り組みの強化に関しては、情報通信研究機構（NICT）からの申請に基づいたもので、入力するIDやパスワードの種類をこれまでの約100種類から約600種に増加させた。また特定アクセス行為を行うIPアドレスに関しても41個から54個に増やすことを認めたとしている。今回新たに追加されたIPアドレスは、150.249.227.162~174で、今回の変更に関しては、今年の10月度以降の調査から反映されるとのこと。
設定変更 (スコア:0)
悪いID/パスワードを使用しています、と通知されても変更しない・できない企業って結構あるだろうな。
変更にも予算が必要だろうし、経営者の理解がない場合もあるだろうし。
外部ベンダーが作ったもので、要求仕様書にID/パスワードのことが記載されていない場合
修正には追加費用がかかるよね。
そんなザルなセキュリティ設定しているベンダーとは関わりたくは無いが。
Re:設定変更 (スコア:1)
個人とかだと、息子が出て行ったからもうわからないとか結構あるんですよ。
コレガのクソ古いブロードバンドルータがついていたりして、さらにソイツがセキュリティホール付きだったりね。
外部（外国が多い）から「お宅のこのIPアドレスからアタックされてるからどうにかしろや」とくるから、それを印刷して契約者に「どうにかしろっていわれてるよ→買い替えるといいよ」的な内容の紙を郵送してる。
NOTICEだと日本国内からだから日本語で印刷して同じことをしてる。
外部のどうにかしろメールの前にネットがつながんねーというユーザからの連絡があることも多い。後で通話履歴を確認するとやられちゃっていたんだなということが分かったりするけど、その時にはわからないのよねー
Re: (スコア:0)
直ちに侵入が可能なID・パスワードの変更に予算組んで…みたいな悠長なことを実際にやる企業なんてあるの？
保守を放棄してるとかでもない限り、考えにくい。
Re: (スコア:0)
ID変更はともかく、パスワードの変更は簡単なのではないですか？
Re: (スコア:0)
変更が簡単なことと、変更に予算が出ることとは別なのよ。
Re: (スコア:0)
「悪いID/パスワードを使用しています」と通知され問題意識を持っている状態で
予算がないからやらないっていう組織があることに、にわかには信じられないのです。
営利企業であるなら想定被害額＞投資額ならすぐに対応しそうですが。
Re: (スコア:0)
>経営者の理解がない場合もあるだろうし。
探索の結果「総務大臣からの直接勧告です」となるとびびる経営者も多いのではないか
Re:設定変更 (スコア:1)
お上にビビる程度なら労基違反などしないでしょｗ
出禁 (スコア:0)
nftables.confへincludeしておこう
define NICT-NOTICE = {
122.1.4.87,
122.1.4.88,
150.249.227.160/28,
210.150.186.238,
}
よかった (スコア:0)
192.168.xxx.xxxは対象外なのね
Re: (スコア:0)
127.xxx.xxx.xxx もセーフみたいだ。安心した。
Re: (スコア:0)
うちも同じIP使ってるからチェックしてほしかったのに
余計なお世話だよ｡｡｡ (スコア:0)
ほっとけや
Re: (スコア:0)
放っておいた結果、加害者として逮捕されても良いのなら
漏洩もセットで (スコア:0)
毎度思うんだけどスキャンしてID・パスを適当に入れて侵入するって不正アクセス禁止法にひっかからないのかな。
よくあるパスワードなら見逃してもらえるということ？
こうやって収集したリストが第三者に流出したらスキャンなどの試行せずに一発で攻撃成立するという。おそろしすぎる
Re: (スコア:0)
通常不正アクセスにあたるから、国立研究開発法人情報通信研究機構法附則第8条第2項に基づいて実施するんでしょ？
認可されると、不正アクセス禁止法が
Re: (スコア:0)
既知のデフォルトID・パスワードなら不正アクセス禁止法にひっかからない。
ただ、念為的にNOTICEは違法ではないことを明確化したりはしている。
違法じゃないから民間でもやっているところはあるし、国として実施して先手を打つという考え方に基づいている。
JVNが収集した脆弱性情報を発信しているのと同じことで、特におそろしい話ではない。
まとめ (スコア:0)
総務省がNICTにハッキング免状を出した
・前回はスキャンだからまあいいか的に許可出し
↑現行法的にダークグレー
・今回はパスワードアタックの許可出し
↑現行法的にアウト
これであってる？
Re: (スコア:0)
まちがってる。
前回も今回もやってることは同じ。
で、どっちも現行法的にホワイトかせいぜいライトグレー。
迷惑営業 (スコア:0)
これをネタに、NTTのほうから来ましたという業者が営業かけてくるのが迷惑すぎる