車載セキュリティに対応する開発プロセスとセキュリティ評価手法：いまさら聞けない 車載セキュリティ入門（5）（3/3 ページ）

4ステップで交際される実用セキュリティテスト

　セキュア開発プロセスのベストプラクティスが適用されても、まだ実装に脆弱性があるかもしれません。実用セキュリティテストで攻撃を仕掛けるのは、このような脆弱性を見つけるために実施されます。より深い実用セキュリティテストであれば、実装の未定義機能や仕様書との不一致などを見つけることができます。その上、実用セキュリティテストはターゲットシステムに実際に攻撃を仕掛けることがいかに難しいかを示してくれます。

図3　実用セキュリティテストの分類

　典型的な実用セキュリティテストは、4つのステップから構成されます。第1のステップは、機能セキュリティテストでターゲットシステムの全てのセキュリティ関連機能の堅牢性と機能の正常な作動に焦点を当てたものです。このステップではセキュリティ脆弱性につながる実装エラー、仕様書との不一致、未定義機能を見つけることができます。

　第2のステップは脆弱性スキャニングと呼ばれるもので、ターゲットシステムに対して既知の通常のセキュリティ脆弱性の検査が行われます。例えば、既知のセキュリティエクスプロイトや不適切な設定による既知の脆弱性などです。

　第3のステップではさらに深堀し、未知のセキュリティ脆弱性を見つけ出すことに焦点を当てます。このステップはファジングと呼ばれており、ターゲットシステムに対して不正形式あるいは仕様書とは異なるインプットを送信しモニタリングします。そして異常があるか否かの確認をします。CANのファジングで、ターゲットECUの作動をチェックするのはかなり困難です。おれは、多くのCANメッセージが受信ECUからの返答を要求しないためです。しかし、モニタリング機能を使ってCANのファジングを改良する手法も提案されています。例えば、重要な値が上書きされているかどうかを確認するためのメモリ検査を行ったり、コードのどの部分が実行されたのかを確認するためにジャンプに対してのブレークポイントをセットしたりします^※5）。

　第4のステップは、ターゲットシステムのソフトウェアとハードウェアの両方に侵入テストを行うことによるシステム全体のテストに焦点を当てます。このステップでは、試験者が優れた攻撃者を模倣して既知のセキュリティ脆弱性の全てを活用することを試します。試験者は長年のハッキングの経験を生かし、リバースエンジニアリングや重要なデータの抜き出し、ソフトウェアとハードウェアを結び付けるアプローチを行い、より洗練された攻撃を実行します（例えば、ハードウェアデバッグインタフェースの脆弱性をエクスプロイトしてから一部のメモリを読み出し、ソフトウェアベースの攻撃実行により秘密鍵や他の重要なデータを抜き出すなどします）。

　しかしながら、実用セキュリティテスト、特にファジングと侵入テストは、全ての攻撃可能性を網羅するのが極めて困難であることに注意してください。全てを網羅できない以上、テストに費やす時間とリソース、テスト範囲などを決めなければなりません。もちろん、結果としてこのような実用セキュリティテストが重大な系統的欠陥を見逃すこともあり得ます。実用セキュリティテストが、理論セキュリティ分析に取って代わることはできないのです。より完全なセキュリティテストを実現するには、理論セキュリティ分析によってカバーされるべきです。

　先述したように、早い段階で攻撃領域を最小化するためのソフトウェア開発プロセス全体を改善することが必要で、それには開発サイクルのあらゆる段階でセキュリティを追加していかなければなりません^※6）。