概要
昨年から繰り返し報告されているように、DNSプロバイダーや主要サービスを標的とした分散型サービス拒否（DDoS）攻撃は、数百万のユーザーがTwitterやWhatsAppなどへアクセスできなくなるほどの影響を与えます。これらの攻撃の多くは、セキュリティ対策が不十分なIoT（Internet of Things）デバイス——スマートカメラ、ネットワーク接続型冷蔵庫、監視カメラなど——がボットネットに組み込まれることで規模化します。
家庭内には「事実上の小型コンピュータ」が多数存在し、それらの多くは所有者が意識せずにインターネット接続され、初期設定のまま運用されているケースが多いです。ルーターはネットワークの入り口に立つ存在として、適切に設定することで家中の機器をまとめて防護できます。本ガイドは、専門用語を簡潔に定義しつつ、実行しやすい手順と運用ルール、緊急時の対処法を提供します。
重要用語（1行定義）
- IoT: インターネットにつながる家電やセンサーなどの機器。多くは組み込みOSで動作する。
- DDoS: 多数のコンピュータから同時に標的へリクエストを送り、サービスを停止させる攻撃。
- UPnP: 自動でポート開放やデバイス検出を行う機能。利便性は高いが認証が弱い場合がある。
- WPA2: 無線LANの暗号化方式の一つ（家庭では最低限WPA2を推奨）。
- CVE: 公開脆弱性識別子。個別の脆弱性を参照する番号体系。
今すぐ実行できるルーター設定（優先度付き）
1) 初期ユーザー名とパスワードを変更する（高優先度）
ほとんどのルーターやIoT機器は出荷時に既知の初期ユーザー名/パスワードが設定されています。検索エンジンでデバイス名と「default password」を調べれば、既知の初期値は簡単に見つかります。必ず製造元が提供する管理画面（ウェブUIや専用アプリ）へアクセスして、管理者アカウントのユーザー名とパスワードを固有で強力なものに変更してください。
実行例:
- 管理者名: admin などの既知値を避け、英数字と記号を混在させる。
- パスワード長は最低12文字、可能なら16文字以上を推奨。パスワードマネージャで管理。
Important: パスワードを変更したら必ず別の安全な場所（パスワードマネージャ）へ保存してください。忘れると初期化しか方法がなくなります。
2) Wi‑Fi接続に必ずパスワード（暗号化）を設定する（高優先度）
無線LANをパスワードなしで公開すると、第三者に通信経路を使われたり、機器を踏み台にされる可能性があります。暗号化方式はWPA2（またはWPA3が利用可能ならWPA3）を選び、共通鍵を強力に設定してください。
実行例:
- 暗号化: WPA2‑Personal（AES）またはWPA3。
- パスフレーズ: 少なくとも12文字、辞書単語のみは避ける。
Note: WEPや未暗号化はもはや安全ではありません。古い機器でWPA2に対応していない場合はゲストネットワークか有線接続に限定して使用してください。
3) SSID（アクセスポイント名）を個人情報にしない
SSIDに製品名、所有者名、住所、電話番号などを含めないでください。攻撃者に利用機器の種類を推測されやすくなります。ブランド名や型番を含めると脆弱性検索の手掛かりになります。
推奨: 意味のない文字列や個人を特定しない名前にする。
4) ルーターとIoTのソフトウェア（ファームウェア）を定期的に更新する
メーカーは脆弱性を修正するアップデートを配布することがあります。自動更新があれば有効化し、無い場合は月次／四半期で手動確認をスケジュールしてください。更新前は設定のバックアップを取ること。
実行例:
- 自動更新がある場合はオンにする。無い場合はカレンダーに「月初にファームウェア確認」の予定を追加。
5) UPnPを無効化する（必要でなければ）
UPnPはネットワーク内部からポート開放を自動化する便利機能ですが、認証や検査が弱い実装が多く、外部からの悪用が確認されています。家庭で特別に必要なケースがなければ無効にしてください。
注意: 一部のゲーム機やメディアサーバーで手動設定が必要になる場合があります。必要性を確認してから切ると良いです。
6) リモート管理をオフにする
「Remote Management」「Web Access」などと表記される管理画面の外部アクセスは、インターネット経由で管理画面に接続できる機能です。家庭用では通常不要なのでオフにし、物理的またはローカルネットワークからのみアクセス可能にします。
7) 既知の問題・リコール情報を確認する
メーカーの対応履歴や消費者報告（Better Business Bureauや公式のサポート告知）を確認し、リコールや自主回収、広範な障害報告がないか調べます。製品名と「recall」「security advisory」などの語で検索してください。
8) 既知の脆弱性（CVE）を確認する
関心のある製品のCVEsをCVE Detailsなどで検索し、未修正の脆弱性があるか確認します。修正パッチが公開されていない脆弱性が多数ある製品は購入を避けるのが安全です。
9) 購入前の下調べとレビュー確認
新しいルーターやIoTデバイスは、セキュリティ設計が最初から考慮されているかを基準に選びます。構成画面のわかりやすさ、定期的なファームウェア更新の実績、脆弱性対応ポリシーがあるかを確認してください。
代替アプローチとネットワーク設計のヒント
- ゲストネットワークを利用する: IoT機器をメインの家族用ネットワークから分離し、ゲスト用や専用のVLANへ置くことで横移動を防ぎます。
- ネットワーク分割（VLAN）: 家庭ルーターが対応している場合、管理用、IoT用、来客用でVLANを分ける。
- セキュアなDNSとフィルタリング: DNSフィルタや接続先制限で不審な通信先をブロック。
- ネットワーク監視: 帯域や接続数を監視して急激なトラフィック増加を検知できるようにする。
Counterexample（いつ効かないか）
- ルーターのファームウェア自体に未修正の深刻な脆弱性があり、攻撃者が管理権限を奪える場合、個別設定だけでは防げません。製造元のサポート体制が弱い製品は交換を検討してください。
導入前チェックリスト（購入検討時）
- メーカーは定期的にセキュリティアップデートを提供しているか。
- 製品の設定画面は暗号化（https）されているか。
- リモート管理設定のデフォルトはオフか。
- UPnPのデフォルト状態はどちらか（可能ならオフ推奨）
- 製品に既知の未修正CVEがないか確認。
- 既存ユーザーレビューに設定やサポートの不満がないか。
役割別簡易チェックリスト
家庭ユーザー:
- 初期パスワードを変更
- WPA2/WPA3で暗号化
- UPnPとリモート管理を無効
- ゲストネットワークを作成
IT管理者（小規模事業）:
- VLANでネットワーク分割
- フィルタリング、プロキシ導入
- 定期パッチ適用ポリシーを明文化
- ログの集中管理
デバイス購入担当:
- ベンダーのセキュリティポリシーを確認
- 認証試験（第三者評価）があるか確認
- サポート・リコール履歴を確認
新しいデバイス導入時のSOP（簡易手順）
- 購入前にベンダーとモデルの脆弱性情報を確認する。
- 開封後、ネットワークに接続する前にファームウェアを最新化する。
- デフォルトの認証情報を変更する。
- 必要最小限のアクセス権に制限する（特にクラウド連携など）。
- 管理者パスワードをパスワードマネージャに保存する。
- 監視対象としてIPアドレスを固定し、ログを取り始める。
インシデント発生時の簡易ランブック（初動）
- 異常なトラフィックや未承認の接続を検知したら、該当デバイスのネットワーク接続を切断（LANから抜く、SSIDを切る）。
- ルーター管理画面にログインし、ルーティング・接続ログを保存する。
- デバイスのファームウェアと設定を確認し、既知の脆弱性がないかを確認する。
- 必要ならルーターを再起動し、管理者パスワードを変更する。
- 大規模な異常通信が続く場合はISPへ連絡しフィルタリングやブロッキングを依頼する。
- 事後は原因分析を行い、同様の被害を防ぐための恒久対策を実施する。
受け入れ基準
- ルーター管理画面の管理者パスワードが変更済みであること。
- 無線LANがWPA2/WPA3などで暗号化されていること。
- UPnPとリモート管理が不要なら無効化されていること。
- IoT機器は可能な限りゲストネットワークやVLANに分離されていること。
テストケース／検収基準
- 初期パスワードでのログインができないこと。
- 外部ネットワークから管理画面へアクセスできないこと（ポートスキャンによる検証）。
- IoT機器からの外向け接続が不審なポートを使っていないこと。
- ファームウェア更新が正常に適用できること。
シンプルな判断フローチャート
flowchart TD
A[新しいデバイスを購入予定？] -->|はい| B[脆弱性と更新履歴を確認]
B --> C{問題あり？}
C -->|はい| D[別製品を検討]
C -->|いいえ| E[購入]
A -->|いいえ| F[既存機器の設定確認]
F --> G{初期認証情報が残っているか}
G -->|はい| H[変更して再起動]
G -->|いいえ| I[運用継続]用語集（1行ずつ）
- ボットネット: 攻撃者に制御された多数の感染端末群。
- ファームウェア: ルーターや機器に組み込まれたソフトウェア。
- VLAN: ネットワークを論理的に分割する技術。
ベンダー確認ポイント（短いチェック）
- セキュリティに関する公開ポリシーがあるか。
- 脆弱性の公開と対応履歴が透明か。
- 連絡先／脆弱性の報告窓口（Responsible Disclosure）があるか。
まとめ
ルーターとIoT機器の適切な設定は、個人や組織がDDoSやボットネット化から身を守るための第一防御線です。初期認証情報の変更、強力なWi‑Fi暗号化、UPnPとリモート管理の見直し、定期的なファームウェア更新、ネットワーク分割の実施といった基本対策を順守することで、脅威の多くを排除できます。緊急時には速やかに接続を切り、ログを確保してISPやベンダーと連携してください。
重要: 設定だけで完全に安全になるわけではありません。製品選定の段階でセキュリティ対応の実績があるベンダーを選ぶことが最も効果的です。
Критерии приёмки: 上の「受け入れ基準」を満たしていること。
FAQ（短い）
Q: 古い機器でもまだ使えますか？ A: サポートが終わっている古い機器は、既知の脆弱性を抱えている可能性があるため、可能なら交換を検討してください。最低限、インターネット直結を避ける、ゲストネットへ分離するなどの対策を講じてください。
Q: すべてのIoTをVLANに分けるには専門知識が要りますか？ A: 一部の家庭用ルーターはGUIで簡単にゲストネットやVLANを設定できます。高度な分離を行う場合は、ネットワーク知識が必要です。
