よみもの・連載

最新!世界の常識検定

サイバーセキュリティにくわしい小説家・一田和樹が出題する、ネット時代の新常識クイズ第37問!
今回は、ネットで時々話題になるSHODAN(ショダン)についてのクイズです。


SHODANはネットに接続されている機器を検索できるサービスで、広範に機器を検索することができる。工場の制御機器はもちろん、ネットに接続されているIPカメラ、ATM、発電所内の制御システムなどと遭遇することもある。そこから脆弱性のある機器を見つけることも難しくはない。ただし、SHODANが収集している情報は機器から得ているので、機器が正しい情報を返さない場合や応答しない場合は役に立たない(ある程度セキュリティに配慮している場合はそういった設定にしていることが多い)。
NmapやMetasploit、Maltego、FOCAなどのサイバーセキュリティツールと連動して検索結果をツールで解析できるなど利便性が高くなっている。Chromeや Firefoxのプラグインもある。フォーチュン100社の81%、千以上の大学で利用されているという。

そこには3種類の有料プランが用意されており、フリーランスが$59/月、Small Business$299/月、Corporate$899/月となっている。違いは主として検索できる回数やIP数でフリーランスが月当たり100万回検索できるのに対し、Small Businessは2千万回、Corporateは無制限となっている。同様の違いが、検索できるIP数にもある。その他には、Small BusinessとCorporateでは脆弱性をキーにした検索が可能だ。また、Enterprise AccessではSHODANのシステムをまるごとコピーできる。

類似サービスとしてミシガン大学の研究者グループが開発したCensysがある。SHODANに比較すると脆弱性を見つけやすく、たとえば特定の脆弱性のある機器を検索することができる(SHODANでは有料)。こちらは全て無料である。
Censysは全体的にサイバーセキュリティ保全に注目したサービス構成になっており、教育や啓発のためのウェビナーにも力を注いでいる。

SHODANもCensysも本格的なサイバー犯罪で利用されることはほとんどないと考えられている。その理由は、本格的なサイバー犯罪を行う者は検索エンジン以上の検索をより短い時間で自前で行うことができるためだ。このふたつのサービスの開発者は研究目的だったというので、その目的に則した利用には適しているのだろう。

SHODAN検索エンジンとは何か?( IIJ Security Diary、2011年12月19日)
https://sect.iij.ad.jp/d/2011/12/148873.html

ShodanとCensys:IoT検索エンジンの危険性(カスペルスキーブログ、2016年3月11日)
https://blog.kaspersky.co.jp/shodan-censys/10506/

SHODAN
https://www.shodan.io

censys
https://censys.io


プロフィール

一田和樹(いちだ かずき) 東京生まれ。経営コンサルタント会社社長、IT企業の常務取締役などを歴任後、2006年に退任。
10年、「檻の中の少女」 で島田荘司選 第3回ばらのまち福山ミステリー文学新人賞を受賞し、デビュー。
著書に『女子高生ハッカー鈴木沙穂梨と0.02ミリの冒険』『天才ハッカー安部響子と五分間の相棒』『キリストゲーム』『絶望トレジャー』など。
http://www.ichida-kazuki.com/ Twitter:@K_Ichida

Back number