優れたマイクロ波が故障するとき：組み込みシステムの安全性が開発者にとって次の経営陣との戦いとなる理由
ポップカルチャーには、不正なAIやロボット、人間である所有者に対して暴走する装置に関する言及が数多く存在する。これらはSFの幻想と娯楽に満ちているが、IoTや接続デバイスが家庭でますます普及するにつれ、サイバーセキュリティと安全性を巡る議論も同様に重要になるべきだ。 ソフトウェアは至る所に存在し、私たちがこれほど多くの革新と利便性をもたらす「賢い」機能を実現するために、どれほど多くのコード行に依存しているかを忘れがちです。ウェブベースのソフトウェア、API、モバイルデバイスと同様に、組み込みシステムの脆弱なコードも、攻撃者が自然環境下で発見すれば悪用される可能性があります。
マイクロ波軍団が人類を奴隷化する可能性は低い（とはいえ、ボット・テスラは少々懸念材料だが）とはいえ、サイバー攻撃の結果として悪意のあるサイバー事象が発生する可能性は依然として存在する。 自動車や航空機、医療機器の一部も、重要な機能を遂行するために複雑な組み込みシステムコードに依存している。これらの機器が侵害される可能性は、単に憂慮すべきだけでなく、人命を危険にさらす恐れがある。
他のあらゆるソフトウェアと同様に、開発者は作成段階の初期段階で真っ先にコードに触れます。そして他のあらゆるソフトウェアと同様に、この段階は一般的な脆弱性や潜伏する脆弱性の温床となり得ます。それらは製品が稼働する前に見過ごされる可能性があります。
開発者はセキュリティの専門家ではなく、いかなる企業もその役割を期待すべきではありません。しかし、彼らには自らが直面する脅威に対処するための、より強固な手段を装備することが可能です。 組み込みシステム（通常CおよびC++で記述）は、技術的ニーズの進化に伴いますます頻繁に利用されるようになるため、開発者がこの環境のツールに関する専門的なセキュリティトレーニングを受けることが不可欠である。
爆発するフライヤー、暴走車両…私たちは格好の標的か？
安全な開発全般には一定の基準や規制が存在しますが、我々の安全を守るためには、あらゆる種類のソフトウェアセキュリティに向けて、より精密かつ意義深い前進が必要です。 誰かがフライヤーをハッキングすることで引き起こされる問題を想像するのは荒唐無稽に思えるかもしれないが、実際にリモートコード実行攻撃（脅威アクターが温度を危険なレベルまで上昇させることを可能にする）や車両乗っ取りを引き起こす脆弱性として発生している。
特に自動車は、自動ワイパーからエンジンやブレーキ機能に至るまで、微細な機能を担う複数の統合システムを搭載しており、非常に複雑な構造を有しています。 Wi-Fi、Bluetooth、GPSといった通信技術の組み合わせにより、コネクテッドカーは複雑なデジタルインフラを形成し、複数の攻撃ベクトルに晒されています。そして2023年までに世界中の道路に7630万台のコネクテッドカーが導入されると予測される中、真のセキュリティを確立するためには、防御基盤の巨大な基盤を構築することが求められています。
MISRAは組み込みシステムの脅威と戦う主要な組織であり、組み込みシステム環境におけるコードの安全性、移植性、信頼性を促進するためのガイドラインを開発しました。これらのガイドラインは、あらゆる企業が組み込みシステムプロジェクトで目指すべき基準の指針となります。
しかし、この基準となる規格に準拠したコードを作成・実行するには、ツール（ましてやセキュリティ）を信頼できる組み込みシステムエンジニアが必要です。
なぜ組み込みシステムのセキュリティスキル向上はそれほど特異的なのでしょうか？
C言語とC++は現在の基準では老朽化しているものの、依然として広く使用されている。これらは組み込みシステムのコード基盤の中核機能を構成し、Embedded C/C++は接続デバイス世界の一部として現代的で輝かしい存在感を維持している。
これらの言語はかなり古いルーツを持ち（インジェクションエラーやバッファオーバーフローといった共通の問題において類似の脆弱性挙動を示す）、開発者が組み込みシステムにおけるセキュリティエラーの軽減に成功するためには、実際の動作環境を模倣したコードで実践的に取り組む必要がある。 一般的なセキュリティ慣行に関する汎用C言語のトレーニングは、組み込みC言語の文脈でより多くの時間と注意を払って取り組む場合と比べて、効果的でも記憶に残りやすいものでもありません。
現代の車両には12から100以上のシステムが統合されているため、開発者はIDE上で直接、何を探すべきか、どう修正すべきかについて正確なトレーニングを受けることが不可欠です。
組み込みシステムを基礎段階から保護することは、全員の責任である
多くの組織における現状は、少なくとも開発者の責任範囲においては、開発速度がセキュリティを凌駕している。開発者が安全なコードを生成する能力が評価されることは稀であり、驚くべき機能を迅速に開発することが基準となっている。ソフトウェアへの需要は増加の一途をたどるが、この文化こそが脆弱性との戦い、そして脆弱性が招くサイバー攻撃との戦いに我々が敗北する原因となっている。
開発者が訓練を受けていない場合、それは彼らの責任ではありません。これはセキュリティチームの一員が、開発者コミュニティ全体に対して適切でアクセス可能な（評価可能なことは言うまでもなく）スキル向上プログラムを推奨することで補うべき空白です。 ソフトウェア開発プロジェクトの初期段階から、セキュリティは主要な考慮事項の一つとすべきです。そうすることで、特に開発者を含む全員が、自らの役割を果たすために必要なものを確実に受け取れるようになります。
組み込みシステムのセキュリティ問題について理解を深める
バッファオーバーフロー、インジェクション脆弱性、ビジネスロジックエラーは、組み込みシステム開発における一般的な欠陥です。単一の車両やデバイス内のマイクロコントローラー迷路の奥深くに潜んでいる場合、安全性の観点から大惨事を招く可能性があります。
バッファオーバーフローは特に頻発する問題であり、先述のフライヤー（リモートコード実行を可能にした）の侵害にどのように関与したかを詳しく知りたい場合は、CVE-2020-28592のこのレポートを参照してください。
今こそ、実際の組込みC/C++コードにおけるバッファオーバーフロー脆弱性に対処する時です。この課題に挑戦し、この厄介なエラーを引き起こす不適切なコーディングパターンを発見・特定・修正できるか試してみてください：
.png)
ご様子はいかがでしたか？組み込みシステムのセキュリティに関する正確で効果的なトレーニングについては、www.securecodewarrior.comをご覧ください。
Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者（Secure Code Warrior ）。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。
Secure Code Warrior ソフトウェア開発ライフサイクル全体を通じてコードを保護し、サイバーセキュリティを最優先事項とする文化を構築するために、貴組織をSecure Code Warrior 。AppSec管理者、開発者、CISO、セキュリティ関連担当者など、あらゆる立場の方々に対し、不安全なコードに関連するリスクを軽減するお手伝いをいたします。
デモを予約する
Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者（Secure Code Warrior ）。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。
マティアスは、15年以上のソフトウェアセキュリティの実務経験を持つ研究者・開発者です。フォーティファイ・ソフトウェア社や自身の会社（Sensei Security）などでソリューションを開発してきました。キャリアの中で、Matiasは、商用製品につながる複数のアプリケーションセキュリティ研究プロジェクトを主導し、10件以上の特許を取得しています。また、RSAカンファレンス、Black Hat、DefCon、BSIMM、OWASP AppSec、BruConなどの世界的なカンファレンスで定期的に講演を行っているほか、高度なアプリケーションセキュリティトレーニング（courses ）の講師も務めています。
Matiasはゲント大学でコンピュータ工学の博士号を取得し、アプリケーションの内部構造を隠すためのプログラム難読化によるアプリケーションセキュリティを研究しました。
ポップカルチャーには、不正なAIやロボット、人間である所有者に対して暴走する装置に関する言及が数多く存在する。これらはSFの幻想と娯楽に満ちているが、IoTや接続デバイスが家庭でますます普及するにつれ、サイバーセキュリティと安全性を巡る議論も同様に重要になるべきだ。 ソフトウェアは至る所に存在し、私たちがこれほど多くの革新と利便性をもたらす「賢い」機能を実現するために、どれほど多くのコード行に依存しているかを忘れがちです。ウェブベースのソフトウェア、API、モバイルデバイスと同様に、組み込みシステムの脆弱なコードも、攻撃者が自然環境下で発見すれば悪用される可能性があります。
マイクロ波軍団が人類を奴隷化する可能性は低い（とはいえ、ボット・テスラは少々懸念材料だが）とはいえ、サイバー攻撃の結果として悪意のあるサイバー事象が発生する可能性は依然として存在する。 自動車や航空機、医療機器の一部も、重要な機能を遂行するために複雑な組み込みシステムコードに依存している。これらの機器が侵害される可能性は、単に憂慮すべきだけでなく、人命を危険にさらす恐れがある。
他のあらゆるソフトウェアと同様に、開発者は作成段階の初期段階で真っ先にコードに触れます。そして他のあらゆるソフトウェアと同様に、この段階は一般的な脆弱性や潜伏する脆弱性の温床となり得ます。それらは製品が稼働する前に見過ごされる可能性があります。
開発者はセキュリティの専門家ではなく、いかなる企業もその役割を期待すべきではありません。しかし、彼らには自らが直面する脅威に対処するための、より強固な手段を装備することが可能です。 組み込みシステム（通常CおよびC++で記述）は、技術的ニーズの進化に伴いますます頻繁に利用されるようになるため、開発者がこの環境のツールに関する専門的なセキュリティトレーニングを受けることが不可欠である。
爆発するフライヤー、暴走車両…私たちは格好の標的か？
安全な開発全般には一定の基準や規制が存在しますが、我々の安全を守るためには、あらゆる種類のソフトウェアセキュリティに向けて、より精密かつ意義深い前進が必要です。 誰かがフライヤーをハッキングすることで引き起こされる問題を想像するのは荒唐無稽に思えるかもしれないが、実際にリモートコード実行攻撃（脅威アクターが温度を危険なレベルまで上昇させることを可能にする）や車両乗っ取りを引き起こす脆弱性として発生している。
特に自動車は、自動ワイパーからエンジンやブレーキ機能に至るまで、微細な機能を担う複数の統合システムを搭載しており、非常に複雑な構造を有しています。 Wi-Fi、Bluetooth、GPSといった通信技術の組み合わせにより、コネクテッドカーは複雑なデジタルインフラを形成し、複数の攻撃ベクトルに晒されています。そして2023年までに世界中の道路に7630万台のコネクテッドカーが導入されると予測される中、真のセキュリティを確立するためには、防御基盤の巨大な基盤を構築することが求められています。
MISRAは組み込みシステムの脅威と戦う主要な組織であり、組み込みシステム環境におけるコードの安全性、移植性、信頼性を促進するためのガイドラインを開発しました。これらのガイドラインは、あらゆる企業が組み込みシステムプロジェクトで目指すべき基準の指針となります。
しかし、この基準となる規格に準拠したコードを作成・実行するには、ツール（ましてやセキュリティ）を信頼できる組み込みシステムエンジニアが必要です。
なぜ組み込みシステムのセキュリティスキル向上はそれほど特異的なのでしょうか？
C言語とC++は現在の基準では老朽化しているものの、依然として広く使用されている。これらは組み込みシステムのコード基盤の中核機能を構成し、Embedded C/C++は接続デバイス世界の一部として現代的で輝かしい存在感を維持している。
これらの言語はかなり古いルーツを持ち（インジェクションエラーやバッファオーバーフローといった共通の問題において類似の脆弱性挙動を示す）、開発者が組み込みシステムにおけるセキュリティエラーの軽減に成功するためには、実際の動作環境を模倣したコードで実践的に取り組む必要がある。 一般的なセキュリティ慣行に関する汎用C言語のトレーニングは、組み込みC言語の文脈でより多くの時間と注意を払って取り組む場合と比べて、効果的でも記憶に残りやすいものでもありません。
現代の車両には12から100以上のシステムが統合されているため、開発者はIDE上で直接、何を探すべきか、どう修正すべきかについて正確なトレーニングを受けることが不可欠です。
組み込みシステムを基礎段階から保護することは、全員の責任である
多くの組織における現状は、少なくとも開発者の責任範囲においては、開発速度がセキュリティを凌駕している。開発者が安全なコードを生成する能力が評価されることは稀であり、驚くべき機能を迅速に開発することが基準となっている。ソフトウェアへの需要は増加の一途をたどるが、この文化こそが脆弱性との戦い、そして脆弱性が招くサイバー攻撃との戦いに我々が敗北する原因となっている。
開発者が訓練を受けていない場合、それは彼らの責任ではありません。これはセキュリティチームの一員が、開発者コミュニティ全体に対して適切でアクセス可能な（評価可能なことは言うまでもなく）スキル向上プログラムを推奨することで補うべき空白です。 ソフトウェア開発プロジェクトの初期段階から、セキュリティは主要な考慮事項の一つとすべきです。そうすることで、特に開発者を含む全員が、自らの役割を果たすために必要なものを確実に受け取れるようになります。
組み込みシステムのセキュリティ問題について理解を深める
バッファオーバーフロー、インジェクション脆弱性、ビジネスロジックエラーは、組み込みシステム開発における一般的な欠陥です。単一の車両やデバイス内のマイクロコントローラー迷路の奥深くに潜んでいる場合、安全性の観点から大惨事を招く可能性があります。
バッファオーバーフローは特に頻発する問題であり、先述のフライヤー（リモートコード実行を可能にした）の侵害にどのように関与したかを詳しく知りたい場合は、CVE-2020-28592のこのレポートを参照してください。
今こそ、実際の組込みC/C++コードにおけるバッファオーバーフロー脆弱性に対処する時です。この課題に挑戦し、この厄介なエラーを引き起こす不適切なコーディングパターンを発見・特定・修正できるか試してみてください：
ご様子はいかがでしたか？組み込みシステムのセキュリティに関する正確で効果的なトレーニングについては、www.securecodewarrior.comをご覧ください。
ポップカルチャーには、不正なAIやロボット、人間である所有者に対して暴走する装置に関する言及が数多く存在する。これらはSFの幻想と娯楽に満ちているが、IoTや接続デバイスが家庭でますます普及するにつれ、サイバーセキュリティと安全性を巡る議論も同様に重要になるべきだ。 ソフトウェアは至る所に存在し、私たちがこれほど多くの革新と利便性をもたらす「賢い」機能を実現するために、どれほど多くのコード行に依存しているかを忘れがちです。ウェブベースのソフトウェア、API、モバイルデバイスと同様に、組み込みシステムの脆弱なコードも、攻撃者が自然環境下で発見すれば悪用される可能性があります。
マイクロ波軍団が人類を奴隷化する可能性は低い（とはいえ、ボット・テスラは少々懸念材料だが）とはいえ、サイバー攻撃の結果として悪意のあるサイバー事象が発生する可能性は依然として存在する。 自動車や航空機、医療機器の一部も、重要な機能を遂行するために複雑な組み込みシステムコードに依存している。これらの機器が侵害される可能性は、単に憂慮すべきだけでなく、人命を危険にさらす恐れがある。
他のあらゆるソフトウェアと同様に、開発者は作成段階の初期段階で真っ先にコードに触れます。そして他のあらゆるソフトウェアと同様に、この段階は一般的な脆弱性や潜伏する脆弱性の温床となり得ます。それらは製品が稼働する前に見過ごされる可能性があります。
開発者はセキュリティの専門家ではなく、いかなる企業もその役割を期待すべきではありません。しかし、彼らには自らが直面する脅威に対処するための、より強固な手段を装備することが可能です。 組み込みシステム（通常CおよびC++で記述）は、技術的ニーズの進化に伴いますます頻繁に利用されるようになるため、開発者がこの環境のツールに関する専門的なセキュリティトレーニングを受けることが不可欠である。
爆発するフライヤー、暴走車両…私たちは格好の標的か？
安全な開発全般には一定の基準や規制が存在しますが、我々の安全を守るためには、あらゆる種類のソフトウェアセキュリティに向けて、より精密かつ意義深い前進が必要です。 誰かがフライヤーをハッキングすることで引き起こされる問題を想像するのは荒唐無稽に思えるかもしれないが、実際にリモートコード実行攻撃（脅威アクターが温度を危険なレベルまで上昇させることを可能にする）や車両乗っ取りを引き起こす脆弱性として発生している。
特に自動車は、自動ワイパーからエンジンやブレーキ機能に至るまで、微細な機能を担う複数の統合システムを搭載しており、非常に複雑な構造を有しています。 Wi-Fi、Bluetooth、GPSといった通信技術の組み合わせにより、コネクテッドカーは複雑なデジタルインフラを形成し、複数の攻撃ベクトルに晒されています。そして2023年までに世界中の道路に7630万台のコネクテッドカーが導入されると予測される中、真のセキュリティを確立するためには、防御基盤の巨大な基盤を構築することが求められています。
MISRAは組み込みシステムの脅威と戦う主要な組織であり、組み込みシステム環境におけるコードの安全性、移植性、信頼性を促進するためのガイドラインを開発しました。これらのガイドラインは、あらゆる企業が組み込みシステムプロジェクトで目指すべき基準の指針となります。
しかし、この基準となる規格に準拠したコードを作成・実行するには、ツール（ましてやセキュリティ）を信頼できる組み込みシステムエンジニアが必要です。
なぜ組み込みシステムのセキュリティスキル向上はそれほど特異的なのでしょうか？
C言語とC++は現在の基準では老朽化しているものの、依然として広く使用されている。これらは組み込みシステムのコード基盤の中核機能を構成し、Embedded C/C++は接続デバイス世界の一部として現代的で輝かしい存在感を維持している。
これらの言語はかなり古いルーツを持ち（インジェクションエラーやバッファオーバーフローといった共通の問題において類似の脆弱性挙動を示す）、開発者が組み込みシステムにおけるセキュリティエラーの軽減に成功するためには、実際の動作環境を模倣したコードで実践的に取り組む必要がある。 一般的なセキュリティ慣行に関する汎用C言語のトレーニングは、組み込みC言語の文脈でより多くの時間と注意を払って取り組む場合と比べて、効果的でも記憶に残りやすいものでもありません。
現代の車両には12から100以上のシステムが統合されているため、開発者はIDE上で直接、何を探すべきか、どう修正すべきかについて正確なトレーニングを受けることが不可欠です。
組み込みシステムを基礎段階から保護することは、全員の責任である
多くの組織における現状は、少なくとも開発者の責任範囲においては、開発速度がセキュリティを凌駕している。開発者が安全なコードを生成する能力が評価されることは稀であり、驚くべき機能を迅速に開発することが基準となっている。ソフトウェアへの需要は増加の一途をたどるが、この文化こそが脆弱性との戦い、そして脆弱性が招くサイバー攻撃との戦いに我々が敗北する原因となっている。
開発者が訓練を受けていない場合、それは彼らの責任ではありません。これはセキュリティチームの一員が、開発者コミュニティ全体に対して適切でアクセス可能な（評価可能なことは言うまでもなく）スキル向上プログラムを推奨することで補うべき空白です。 ソフトウェア開発プロジェクトの初期段階から、セキュリティは主要な考慮事項の一つとすべきです。そうすることで、特に開発者を含む全員が、自らの役割を果たすために必要なものを確実に受け取れるようになります。
組み込みシステムのセキュリティ問題について理解を深める
バッファオーバーフロー、インジェクション脆弱性、ビジネスロジックエラーは、組み込みシステム開発における一般的な欠陥です。単一の車両やデバイス内のマイクロコントローラー迷路の奥深くに潜んでいる場合、安全性の観点から大惨事を招く可能性があります。
バッファオーバーフローは特に頻発する問題であり、先述のフライヤー（リモートコード実行を可能にした）の侵害にどのように関与したかを詳しく知りたい場合は、CVE-2020-28592のこのレポートを参照してください。
今こそ、実際の組込みC/C++コードにおけるバッファオーバーフロー脆弱性に対処する時です。この課題に挑戦し、この厄介なエラーを引き起こす不適切なコーディングパターンを発見・特定・修正できるか試してみてください：
ご様子はいかがでしたか？組み込みシステムのセキュリティに関する正確で効果的なトレーニングについては、www.securecodewarrior.comをご覧ください。
以下のリンクをクリックして、このリソースのPDFをダウンロードしてください。
Secure Code Warrior ソフトウェア開発ライフサイクル全体を通じてコードを保護し、サイバーセキュリティを最優先事項とする文化を構築するために、貴組織をSecure Code Warrior 。AppSec管理者、開発者、CISO、セキュリティ関連担当者など、あらゆる立場の方々に対し、不安全なコードに関連するリスクを軽減するお手伝いをいたします。
報告書を見るデモを予約する
Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者（Secure Code Warrior ）。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。
マティアスは、15年以上のソフトウェアセキュリティの実務経験を持つ研究者・開発者です。フォーティファイ・ソフトウェア社や自身の会社（Sensei Security）などでソリューションを開発してきました。キャリアの中で、Matiasは、商用製品につながる複数のアプリケーションセキュリティ研究プロジェクトを主導し、10件以上の特許を取得しています。また、RSAカンファレンス、Black Hat、DefCon、BSIMM、OWASP AppSec、BruConなどの世界的なカンファレンスで定期的に講演を行っているほか、高度なアプリケーションセキュリティトレーニング（courses ）の講師も務めています。
Matiasはゲント大学でコンピュータ工学の博士号を取得し、アプリケーションの内部構造を隠すためのプログラム難読化によるアプリケーションセキュリティを研究しました。
ポップカルチャーには、不正なAIやロボット、人間である所有者に対して暴走する装置に関する言及が数多く存在する。これらはSFの幻想と娯楽に満ちているが、IoTや接続デバイスが家庭でますます普及するにつれ、サイバーセキュリティと安全性を巡る議論も同様に重要になるべきだ。 ソフトウェアは至る所に存在し、私たちがこれほど多くの革新と利便性をもたらす「賢い」機能を実現するために、どれほど多くのコード行に依存しているかを忘れがちです。ウェブベースのソフトウェア、API、モバイルデバイスと同様に、組み込みシステムの脆弱なコードも、攻撃者が自然環境下で発見すれば悪用される可能性があります。
マイクロ波軍団が人類を奴隷化する可能性は低い（とはいえ、ボット・テスラは少々懸念材料だが）とはいえ、サイバー攻撃の結果として悪意のあるサイバー事象が発生する可能性は依然として存在する。 自動車や航空機、医療機器の一部も、重要な機能を遂行するために複雑な組み込みシステムコードに依存している。これらの機器が侵害される可能性は、単に憂慮すべきだけでなく、人命を危険にさらす恐れがある。
他のあらゆるソフトウェアと同様に、開発者は作成段階の初期段階で真っ先にコードに触れます。そして他のあらゆるソフトウェアと同様に、この段階は一般的な脆弱性や潜伏する脆弱性の温床となり得ます。それらは製品が稼働する前に見過ごされる可能性があります。
開発者はセキュリティの専門家ではなく、いかなる企業もその役割を期待すべきではありません。しかし、彼らには自らが直面する脅威に対処するための、より強固な手段を装備することが可能です。 組み込みシステム（通常CおよびC++で記述）は、技術的ニーズの進化に伴いますます頻繁に利用されるようになるため、開発者がこの環境のツールに関する専門的なセキュリティトレーニングを受けることが不可欠である。
爆発するフライヤー、暴走車両…私たちは格好の標的か？
安全な開発全般には一定の基準や規制が存在しますが、我々の安全を守るためには、あらゆる種類のソフトウェアセキュリティに向けて、より精密かつ意義深い前進が必要です。 誰かがフライヤーをハッキングすることで引き起こされる問題を想像するのは荒唐無稽に思えるかもしれないが、実際にリモートコード実行攻撃（脅威アクターが温度を危険なレベルまで上昇させることを可能にする）や車両乗っ取りを引き起こす脆弱性として発生している。
特に自動車は、自動ワイパーからエンジンやブレーキ機能に至るまで、微細な機能を担う複数の統合システムを搭載しており、非常に複雑な構造を有しています。 Wi-Fi、Bluetooth、GPSといった通信技術の組み合わせにより、コネクテッドカーは複雑なデジタルインフラを形成し、複数の攻撃ベクトルに晒されています。そして2023年までに世界中の道路に7630万台のコネクテッドカーが導入されると予測される中、真のセキュリティを確立するためには、防御基盤の巨大な基盤を構築することが求められています。
MISRAは組み込みシステムの脅威と戦う主要な組織であり、組み込みシステム環境におけるコードの安全性、移植性、信頼性を促進するためのガイドラインを開発しました。これらのガイドラインは、あらゆる企業が組み込みシステムプロジェクトで目指すべき基準の指針となります。
しかし、この基準となる規格に準拠したコードを作成・実行するには、ツール（ましてやセキュリティ）を信頼できる組み込みシステムエンジニアが必要です。
なぜ組み込みシステムのセキュリティスキル向上はそれほど特異的なのでしょうか？
C言語とC++は現在の基準では老朽化しているものの、依然として広く使用されている。これらは組み込みシステムのコード基盤の中核機能を構成し、Embedded C/C++は接続デバイス世界の一部として現代的で輝かしい存在感を維持している。
これらの言語はかなり古いルーツを持ち（インジェクションエラーやバッファオーバーフローといった共通の問題において類似の脆弱性挙動を示す）、開発者が組み込みシステムにおけるセキュリティエラーの軽減に成功するためには、実際の動作環境を模倣したコードで実践的に取り組む必要がある。 一般的なセキュリティ慣行に関する汎用C言語のトレーニングは、組み込みC言語の文脈でより多くの時間と注意を払って取り組む場合と比べて、効果的でも記憶に残りやすいものでもありません。
現代の車両には12から100以上のシステムが統合されているため、開発者はIDE上で直接、何を探すべきか、どう修正すべきかについて正確なトレーニングを受けることが不可欠です。
組み込みシステムを基礎段階から保護することは、全員の責任である
多くの組織における現状は、少なくとも開発者の責任範囲においては、開発速度がセキュリティを凌駕している。開発者が安全なコードを生成する能力が評価されることは稀であり、驚くべき機能を迅速に開発することが基準となっている。ソフトウェアへの需要は増加の一途をたどるが、この文化こそが脆弱性との戦い、そして脆弱性が招くサイバー攻撃との戦いに我々が敗北する原因となっている。
開発者が訓練を受けていない場合、それは彼らの責任ではありません。これはセキュリティチームの一員が、開発者コミュニティ全体に対して適切でアクセス可能な（評価可能なことは言うまでもなく）スキル向上プログラムを推奨することで補うべき空白です。 ソフトウェア開発プロジェクトの初期段階から、セキュリティは主要な考慮事項の一つとすべきです。そうすることで、特に開発者を含む全員が、自らの役割を果たすために必要なものを確実に受け取れるようになります。
組み込みシステムのセキュリティ問題について理解を深める
バッファオーバーフロー、インジェクション脆弱性、ビジネスロジックエラーは、組み込みシステム開発における一般的な欠陥です。単一の車両やデバイス内のマイクロコントローラー迷路の奥深くに潜んでいる場合、安全性の観点から大惨事を招く可能性があります。
バッファオーバーフローは特に頻発する問題であり、先述のフライヤー（リモートコード実行を可能にした）の侵害にどのように関与したかを詳しく知りたい場合は、CVE-2020-28592のこのレポートを参照してください。
今こそ、実際の組込みC/C++コードにおけるバッファオーバーフロー脆弱性に対処する時です。この課題に挑戦し、この厄介なエラーを引き起こす不適切なコーディングパターンを発見・特定・修正できるか試してみてください：
ご様子はいかがでしたか？組み込みシステムのセキュリティに関する正確で効果的なトレーニングについては、www.securecodewarrior.comをご覧ください。
目次
Matias Madou, Ph.D. セキュリティ専門家、研究者、CTO兼共同設立者（Secure Code Warrior ）。Ghent大学でアプリケーションセキュリティの博士号を取得し、静的解析ソリューションに焦点を当てた。その後、米国Fortify社に入社し、開発者が安全なコードを書くことを支援せずに、コードの問題を検出するだけでは不十分であることに気づきました。開発者を支援し、セキュリティの負担を軽減し、お客様の期待を上回る製品を開発することを志すようになった。Team Awesomeの一員としてデスクワークをしていないときは、RSA Conference、BlackHat、DefConなどのカンファレンスでプレゼンテーションをするのが好きである。
Secure Code Warrior ソフトウェア開発ライフサイクル全体を通じてコードを保護し、サイバーセキュリティを最優先事項とする文化を構築するために、貴組織をSecure Code Warrior 。AppSec管理者、開発者、CISO、セキュリティ関連担当者など、あらゆる立場の方々に対し、不安全なコードに関連するリスクを軽減するお手伝いをいたします。
デモを予約するダウンロード
%20(1).avif)
.avif)
