導入
MontaVista Software は 20 年以上の歴史を持ち、世界中のさまざまな業界で何百万台ものデバイスに搭載されてきたことを誇りに思います。Ericsson、Nokia、Mavenir、Grundfos など、世界有数の企業が MontaVista の Carrier Grade eXpress (CGX) Linux を自社のコア技術システムに統合し、ミッションクリティカルな通信プラットフォーム、医療技術システム、グローバルで回復力のある産業およびロボット製造環境における堅牢性、接続性、セキュリティを重視した設計を活用しています。
2025 年 1 月に CISA(公認情報システム監査人) が発行したガイダンス文書「製品セキュリティのバッドプラクティス」では、特に重要なインフラストラクチャや国家の重要な機能を提供するソフトウェアメーカーにとって重大なサイバー脅威となる製品セキュリティのバッドプラクティスが紹介されています。それぞれの好ましくないプラクティスについて、説明、リスク軽減のための推奨アクション、および関連リソースが提供されています。環境への潜在的な影響を理解するために、この文書を十分に確認することをお勧めします。
MontaVista のこのドキュメントでは、CISA のガイダンス ドキュメントで指定されている製品セキュリティの問題の一部を弊社がどのように軽減できるかについて概説しています。MontaVista の CGX Linux は、MVSecure サービスとともに、安全な組み込みシステムを開発するためのフレームワークを提供します。
ソリューションの説明
CISA によると、製品セキュリティの悪習慣は、製品の特性、セキュリティ機能、組織プロセスに分類されます。各カテゴリを 1 つずつ検証しながら、CISA が推奨する望ましくないプラクティスを回避するために当社のソリューションがどのように役立つかを説明します。
製品特性
1. メモリ利用が安全でない言語の使用
メモリセーフな代替言語が利用できるのに、C や C++ などのメモリセーフでない言語で新しい製品ラインを開発するのは危険だと考えられています。既存の製品の場合、メモリセーフティ ロードマップが公開されていないことも大きなリスクです。ロードマップには、メーカーが優先コード コンポーネントのメモリセーフティの脆弱性を排除する計画を詳細に記述する必要があります。
当社のソリューション: MontaVista の CGX は Yocto プロジェクトと Linux カーネルに基づいて構築されており、CVE を含む既知の脆弱性に対処するために継続的に更新されます。MVSecure サービスは、ソフトウェア開発ライフサイクル全体にわたって強力なセキュリティ対策とシステム構成を実装するお客様を支援し、メモリ安全性ロードマップの作成に大きく貢献します。
2. SQLインジェクションの脆弱性
ユーザー入力を SQL データベース クエリ文字列に直接含めることを許可すると、重大なセキュリティ上の脅威が生じます。
当社のソリューション: MVSecure サービスは、このような脆弱性を軽減し、ソフトウェア開発ライフサイクルにおけるこの悪い習慣を回避するソリューションを提供します。SELinux を使用すると、ルート ユーザーであってもデータベースへの不正アクセスを防ぐことができます。
3. コマンドインジェクションの脆弱性
ユーザー入力をオペレーティング システムのコマンド文字列に直接入力するのは危険です。
当社のソリューション: MontaVista の CGX Linux プラットフォームは、セキュア ブート、SELinux、セキュリティの脆弱性と攻撃を管理するための包括的なフレームワークなど、多数のセキュリティ対策を備えた「Secure by Design」イメージを備えています。MVSecure サービスは、お客様がソフトウェア開発ライフサイクルでこのような脆弱性に対処するのに役立ちます。コマンド インジェクションは通常、アプリケーション レベルの攻撃であり、CVE メカニズムによって発見される非常に一般的な脆弱性です。CGX は、常に最新のパッチが適用されるようにしています。さらに、SELinux は、侵害されたアプリケーションに対してさらに別の多層防御を提供し、システムへの被害を制限します。
4. デフォルトのパスワード
普遍的に共有され、変更する必要のないデフォルトのパスワードで製品をリリースすることは、重大なリスクです。
当社のソリューション: MontaVista の CGX は、Trusted Platform Module 2.0 (TPM 2.0) や OpenSSL (FIPS モード) などのさまざまな組み込み機能によってパスワード セキュリティをサポートします。当社の Secure-by-Default プロファイルには、定義済みのパスワード設定も付属しています。MVSecure サービスは、このような悪習慣を排除する強力な認証メカニズムの実装をお客様で支援できます。
5. 既知の悪用された脆弱性（KEV）
CISA の KEV カタログに記載されている脆弱性を含むコンポーネントを含む製品をリリースすることは危険が伴います。新しい KEV にタイムリーにパッチを適用しないことも重大なリスクと見なされます。
当社のソリューション: MontaVista の CGX Linux の標準ライセンスは、Yocto Project LTS リリースおよび SDK ビルド システムの既知の脆弱性 (CVE) に合わせた継続的なセキュリティ パッチとバグ修正を提供します。これらの更新は、当社の堅牢な QA インフラストラクチャによって検証されます。当社の最新リリースでは、CGX 5.0 に The Update Framework (TUF) に基づく更新メカニズムが装備されており、実行中のターゲットに無線更新 (OTA 更新) を配信するための NSA 支援のセキュリティが可能になります。
6. オープンソースソフトウェアの脆弱性
重大な脆弱性を持つオープンソース ソフトウェアをリリース時に製品に含めることは、大きなリスクを伴います。リリースされたオープンソース コンポーネントで新たに発見された脆弱性を修正しないことも危険です。
当社のソリューション: デフォルトでセキュアなプロファイルでは、MontaVista の CGX が SBOM を生成および管理するための最新ツールを提供します。これにより、お客様は、米国サイバーセキュリティに関する行政法など、オープンソース ソフトウェア サプライ チェーンにおけるコンポーネントの信頼性に関連する透明性とコンプライアンスを管理できます。また、CVE をスキャンして報告するための組み込みメカニズムにより、お客様は脆弱性と潜在的なリスクを効率的に軽減できます。
7. 安全でない暗号化アルゴリズムまたは暗号化の欠如
機密データの送信や保存に、安全でない、または非推奨の暗号化アルゴリズムや不適切な暗号化を使用することは、重大なリスクとなります。
当社のソリューション: MontaVista の CGX は、TPM 2.0 や OpenSSL (FIPS モード) などの組み込み機能を提供し、この悪習慣を回避するのに役立ちます。Secure-by-Default プロファイルでは、CGX は安全な暗号化とパスワード設定のためのすぐに使用できるシステム構成を提供します。MVSecure サービスは、最新の暗号化アルゴリズムと安全なデータ転送プロトコルの実装をお客様を支援し、重要な情報のコンプライアンスと将来にわたる保護を保証します。
8. ハードコードされた資格情報
ソース コードにハードコードされた資格情報や秘密情報が含まれていると、重大な脆弱性が生じます。
当社のソリューション: MVSecure サービスにより、お客様はこのような脆弱性を軽減し、ソース コード内にハードコードされた資格情報が存在することを回避できます。
セキュリティ機能
9. 多要素認証（MFA）の欠如
フィッシング耐性 MFA を含む MFA をベースライン バージョンでサポートしていない IT 製品は危険であると見なされます。管理者アカウントに対してデフォルトで MFA を有効にしないことも大きなリスクです。MFA によって安全上のリスクが生じる可能性がある一部の運用技術 (OT) 製品については、メーカーは他の認証手段を採用し、そのアプローチを説明する脅威モデルを公開する必要があります。
当社のソリューション: MVSecure サービスにより、お客様はこのような脆弱性に対処し、強力な認証設定を開発し、製品セキュリティの脅威モデルを構築できます。
10. 侵入に対するログ記録が不十分
構成の変更、ID およびネットワーク フロー (該当する場合)、ベースライン バージョンでのデータ アクセスと作成など、侵入タイプの検出に十分なログ機能を提供しないソフトウェア製品は危険です。
当社のソリューション: MontaVista の CGX Linux は、GDB (GNU デバッガー)、KGDB、Strace、Wireshark、LTTng2 などのさまざまなデバッグ ツールを提供し、効果的なログ記録方法と侵入タイプの証拠収集手段を提供します。最新バージョン (CGX 5.0) には、相互接続されたネットワークを侵入の脅威から保護するための Suricata IDS および Deep Packet Inspection (DPI) ツールも組み込まれています。
組織のプロセスとポリシー
11. CVEの発行の失敗
特に重大な脆弱性や影響度の高い脆弱性については、Common Vulnerabilities and Exposures (CVE) をタイムリーに発行しないと、深刻なセキュリティ上の脅威となります。さらに、すべての CVE レコードに Common Weakness Enumeration (CWE) フィールドを含めないことも、大きなリスクとなります。
当社のソリューション: MontaVista は、CVE をタイムリーに発行することに尽力しています。当社の脆弱性処理ポリシーは、潜在的なリスクを最小限に抑えるために、必要な情報、ガイダンス、セキュリティ欠陥への対応を迅速に顧客に提供することです。
12. 脆弱性開示ポリシー（VDP）の欠如
対象製品を含む VDP が公開されていないのは危険です。
当社のソリューション: CVE 管理における当社の豊富な経験を活かして、MVSecure サービスはお客様が自社製品用の VDP を構築できるよう支援します。
13. サポート期間が不明瞭
オンプレミス製品の場合、サポート期間を明確に伝えないことは大きなリスクとなります。
当社のソリューション: MontaVista の CGX Linux の標準ライセンスでは、長期の技術サポートとメンテナンス (10 年以上) に関する明確な情報を提供しており、組み込みシステムと製品のライフサイクル全体にわたる健全性と信頼性を保証します。
まとめ
このドキュメントでは、CISA の「製品セキュリティのバッドプラクティス」ドキュメントを参考に、MontaVista のソリューションについて説明しました。当社の製品とサービスは、お客様が長期にわたって安全で信頼性が高く、準拠した組み込みシステムを構築できるように設計されています。
高いセキュリティ、接続性、信頼性を備えたオペレーティング プラットフォームをお探しの場合、MontaVista のCGX Linux はこれらすべての要件を満たし、さらにそれ以上の要件も満たします。さらに、 MVSecureは、EU サイバー レジリエンス法 (CRA) や米国のサイバー セキュリティに関する大統領令など、最新のサイバー セキュリティ認定および標準に準拠するためのエンドツーエンドのセキュリティ コンサルティングおよび認定サポート サービスも提供しています。
MontaVista の Linux に関する深い専門知識と高品質なサービスを活用することで、CISA が定める製品セキュリティの悪習慣によるリスクの露出を軽減できます。
当社のソリューションに関する詳細については、www.mvista.com をご覧いただくか、 sales@ mvista.com までお問い合わせいただくか、リクエストをお願いします。
