NEC、軽量改ざん検知ソフトにSBOM自動生成機能 - 11月発売

NECは9月7日、NECセキュリティと連携し、機器に搭載されたソフトウェアのSBOM(Software Bill of Materials)を自動生成する機能を追加した軽量プログラム改ざん検知ソフトの新バージョンを、11月1日から販売することを発表した。

SBOM管理の効率化と改ざん検知によるセキュリティ強化を通じ、機器メーカーの製品セキュリティ対策を支援する。

IoT機器内のプログラム改ざんを検知し、セキュリティ管理GUIへアラートを通知する仕組み

バージョンアップの背景

背景には、産業機器や自動車、医療機器、POS端末など多様な機器がネットワークに接続されるなか、これらを狙ったサイバー攻撃が増加している状況がある。特に医療機器をはじめとする社会インフラを支える製品では、ソフトウェアの脆弱性を悪用した攻撃への対策が重要な経営課題になっているという。

また、EU Cyber Resilience Act(CRA)をはじめとする規制強化を背景に、SBOMの作成・管理などを通じたソフトウェアサプライチェーンの透明性向上が求められている。一方、SBOMの作成・維持管理には多くの工数が必要となり、開発現場や製品セキュリティ担当部門の負担になっているという。

新バージョンの特徴

新バージョンの特徴は3つ。1つめは、機器に搭載されたソフトウェアの情報をもとにSBOMを自動生成する機能で、作成に伴う作業負荷を大幅に軽減する。1万個のソフトウェアを対象にSBOMを作成する場合、手作業では約70日を要するのに対し、同製品では約3分で作成できるとしている。いずれも一定の条件下におけるNECの試算となる。

2つめは、運用中の機器に対するプログラム改ざんの検知機能。一般に改ざん検知やセキュリティ監視機能はCPUやメモリ資源を消費し、機器性能に影響を与える場合がある。同製品は独自技術によってCPU使用量を抑制し、機器への負荷を最小限に抑えながら改ざんを検知するという。高い安定稼働が求められる産業機器や医療機器などでも、運用を継続しながらセキュリティを強化できるとしている。

改ざん検知機能の導入前後の比較

3つめは、実行制御によるリスク低減。SBOMを最新の状態で管理することで、機器上で動作するソフトウェアとSBOMに記載された構成との差分を把握しやすくする。SBOMと異なるソフトウェアを検知し、最新版やパッチが適用されていない可能性のあるソフトウェアの確認も支援する。正式なアップデートやパッチ適用までの間も、脆弱性を悪用した攻撃リスクを抑えながら機器の運用を継続できるため、運用停止が難しい現場でのセキュリティ対策として活用できるという。