ソフトウェア更新まで気づけなかった ~ シスコシステムズ製品「スーパーコピー」の脅威分析(エフセキュア) | ScanNetSecurity
2020.11.28(土)

ソフトウェア更新まで気づけなかった ~ シスコシステムズ製品「スーパーコピー」の脅威分析(エフセキュア)

エフセキュア株式会社は7月16日、シスコシステムズ製ネットワークスイッチの偽造品に関する調査レポートを発表した。

調査・レポート・白書 調査・ホワイトペーパー
「THE FAKE CISCO」 https://labs.f-secure.com/assets/BlogFiles/2020-07-the-fake-cisco.pdf
「THE FAKE CISCO」 https://labs.f-secure.com/assets/BlogFiles/2020-07-the-fake-cisco.pdf 全 1 枚 拡大写真
エフセキュア株式会社は7月16日、シスコシステムズ製ネットワークスイッチの偽造品に関する調査レポートを発表した。

もともと偽造品を使用していたユーザー企業が、ソフトウェア更新の際に機能が停止したことで異変に気付き、フィンランドに本社があるF-Secure社に調査を依頼、同社のコンサルティング部門であるF-Secure Consultingのハードウェアセキュリティチームが、Cisco Catalyst 2960-Xシリーズスイッチの2種類の偽造品を徹底的に分析し、セキュリティ上の脅威を検証した。

調査結果によると、偽造品にはネットワークに対する攻撃を容易にするバックドアのような機能は備えていなかったものの、セキュリティ制御を回避するために様々な手段を用いていたことが判明。あるユニットでは、ゼロデイ脆弱性を悪用してファームウェアの改ざんに対する保護を提供するセキュアブートプロセスが弱体化させられていた。また、偽造品はシステムコンポーネントを認証するプロセスを迂回するよう設計されており、ハードウェアの偽造品がもたらすセキュリティの課題を示すものとなった。

F-Secure Consultingのシニアコンサルタントで、調査リーダーを務めたDmitry Janushkevich(ドミトリー・ヤヌシュケヴィッチ氏)は、「偽造者の動機は偽造デバイスの販売で利益を得ることだけに過ぎなかったが、これだけの技術を持った攻撃者ならば企業にバックドアを仕掛ける可能性もあるため、デバイスの入念な調査は非常に重要となる。」と述べている。

同社では、企業が偽造デバイスやコンポーネントの使用を避けるために、メーカーの認定リセラーからの調達、調達プロセスを管理する明確な内部プロセスとポリシーの策定、全デバイス・コンポーネントがメーカー提供の最新の利用可能なソフトウェアを実行していることの確認、同製品の複数ユニット間で物理的な違いを発見した場合は全て記録することを挙げている。

《高橋 潤哉( Junya Takahashi )》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. 三菱電機契約のクラウドサービスに不正アクセス、取引先情報流出

    三菱電機契約のクラウドサービスに不正アクセス、取引先情報流出

  2. 「これまでPPAP推奨したことはない」旨をプライバシーマークのJIPDECが明言

    「これまでPPAP推奨したことはない」旨をプライバシーマークのJIPDECが明言

  3. 「Disney+」「GitHub」「Imperva」「Tesla」「Zoom」他 9つのセキュリティ侵害分析レポート

    「Disney+」「GitHub」「Imperva」「Tesla」「Zoom」他 9つのセキュリティ侵害分析レポート

  4. カプコンへのランサムウェア攻撃で最大35万件の情報流出、「Ragnar Locker」から身代金要求

    カプコンへのランサムウェア攻撃で最大35万件の情報流出、「Ragnar Locker」から身代金要求

  5. 「Peatix」に不正アクセス、最大677万件のユーザー情報流出

    「Peatix」に不正アクセス、最大677万件のユーザー情報流出

  6. 最もよく使われているパスワード、「ポケモン」「NARUTO」「遊戯王」ランクイン

    最もよく使われているパスワード、「ポケモン」「NARUTO」「遊戯王」ランクイン

  7. 昇給見送りの腹いせ、システム改ざんしたブリティッシュ・ビジネス・バンクの IT ワーカー 裁判の行方

    昇給見送りの腹いせ、システム改ざんしたブリティッシュ・ビジネス・バンクの IT ワーカー 裁判の行方

  8. 国税庁をかたるフィッシングを確認、「払い戻しの通知」メールに注意を呼びかけ

    国税庁をかたるフィッシングを確認、「払い戻しの通知」メールに注意を呼びかけ

  9. 複数のVMware製品にOSコマンドインジェクションの脆弱性、パッチは近日中に公開予定

    複数のVMware製品にOSコマンドインジェクションの脆弱性、パッチは近日中に公開予定

  10. 「リフォームブックス」に不正アクセス、約1年分の決済情報が流出

    「リフォームブックス」に不正アクセス、約1年分の決済情報が流出

ランキングをもっと見る