政府のサイバー攻撃抜き打ち検査の対策法

質問

勤め先の上司より、最近発表された政府が主導してサイバー攻撃を想定した抜き打ち検査の件について話ありました。

異例！政府が個人のIoT機器へのサイバー攻撃を一斉調査 - FNNプライムオンライン https://www.fnn.jp/posts/00424510HDK #FNN

具体的な対策として話が出た内容として、

・現在事務所内で使用しているルーターの管理用パスワードが工場出荷時のままなので、別のものに変更する。

というのが出てきました。

確かに管理用のパスワードが初期値のままというは、セキュリティ上まずいとは思うのですが、今回のサイバー攻撃の一斉調査ではもっとDosアタックされて被害が出やすい端末を見つけ出すとか質が違うような気がしているのですが、

この管理用パスワードはLAN内からしか有効ではないと思うのですが、パスワード変更が今回の一斉調査でも有効なものなのでしょうか？
それと、今回の一斉調査の目的になっているサイバー攻撃の対抗策として、このようなルータの設定などで対策できる具体的な方法などはどのようなものなのでしょうか？

どうぞ、ご教示の程よろしくお願い致します。

回答No.3

chachaboxx

パスワード変更は言ってみれば居留守を使うようなことなので、持久戦で挑まれると得てして突破されることもあります。ポートクローズ状態。

そこでルーターの設定で、ありがちな訪問販売を避けるのに入口ドアを見えなくしてしまう対策方法がポートステルス状態。

電話で言えば、相手の呼び出し音が鳴る状態はパスワード変更、電波が届かないか電源が入っていない状態はポートステルス。番号をお確かめになって…はping到達不可です。

Win95の頃は、中小企業のWWWサーバーのトップページを見るつもりでルートディレクトリをブラウザに打ち込んだら何やら先方のルーターの設定画面が出てきたりしてました。当時は標準ユーザー名だけで入れる程度の管理レベルが普通…。

よって、最も安心なのは、外部向けサービスを実施しないか、もしする場合はVPN経由にすることです。
ping不達は管理に支障をきたすので必須ではないです。
管理者名とパスワードを記号文字付き8文字以上に変更は最後の砦なので必須。

あと、ルーターのIPv6や共有サービスも最近流行りなので気を付けた(不要なら閉じた)方がいいです。特にIPv6アドレスに目をつけられて狙われると簡単には変更できないので非常に厄介です。

どうしても利用したい場合は、企業ファイヤーウォールなどでもよくある、DMZ(２段ルーター構成)を設けておくとローカルクライアントへの侵入はグッと難しく大変になります。

回答No.2

t_ohta

＞　この管理用パスワードはLAN内からしか有効ではないと思うのですが、パスワード変更が今回の一斉調査でも有効なものなのでしょうか？

これはご使用になられているルーターの機種にもよります。
LAN側からしかアクセス出来ない機種もあれば、WAN側からもアクセスできる機種もありますし、設定で切り替えられる場合もあります。

LAN側からだけであっても、LAN内の機器に脆弱性があると踏み台にされる可能性もあるので、パスワードを初期のモノから変更するのはセキュリティ対策としては重要ですから変更しておきましょう。

他にもファームウェアを最新版にして機器の脆弱性を潰しておくことも大事です。

回答No.1

k-josui

> この管理用パスワードはLAN内からしか有効ではないと思うのですが
ではないですね。
WAN側で接続IPにアクセスすればルータの管理画面が表示され、ルータはIDとパスワードを要求します。
これがメーカー出荷状態であればルータが乗っ取られます。
勝手にパスワードを書き換えられたら・・・わかりますよね。