バックプレーンのバックドア：なぜサーバー管理は静かなリスクなのか
データセンターやアプリケーションのセキュリティ確保を急ぐ中、多くの組織はハードウェアレベルで正面の扉を大きく開けたままにしています。
ここで言及しているのは、すべてのサーバーに組み込まれている Intelligent Platform Management Interface（IPMI）です。
おそらく皆様は、Dell iDRAC、HPE iLO、Lenovo XClarity Controller といったOEM実装の方に、より馴染みがあるでしょう。
IPMIはリモート管理に不可欠である一方で、巨大で、しかも監視されていないことが多い攻撃対象領域を生み出しています。
ある意味で、IPMIはサーバーハードウェアへの秘密の扉であり、適切に保護されていなければ、サーバー全体を停止させる可能性があります。
3人のシニアリーダーへの調査に基づいており、不都合な真実を明らかにしています。
図1：IPMIはサーバーにおける最も弱いリンクです
IPMIとは何であり、なぜ必要なのでしょうか？
現代のデータセンターを管理するには、サーバーの電源が切れている場合や、オペレーティングシステムがクラッシュした場合でも、サーバーへアクセスできる必要があります。
そして、その作業のために、サーバーラックが並ぶ通路をキーボードやモニターを抱えて移動したいとは、誰も思わないでしょう。
IPMIは、Baseboard Management Controller（BMC）と呼ばれるハードウェアコンポーネントによって実現されるOut-of-Band（OOB）管理を用いて、この問題を解決します。
BMCは、本質的にはサーバーのマザーボード上にはんだ付けされた、独立した第2のコンピューターです。
その主な特徴は以下の通りです。
- 独立した電源：BMCは、サーバーが電源に接続されている限り、メインユニットが「オフ」の状態であっても、常に起動しアクティブな状態を維持します
- 独立したOS：BMCは独自のファームウェア上で動作しており、通常は専用のLinuxカーネルを実行しています。これは、Windows Server、VMware、KVMなどのハイパーバイザーOSとは完全に分離されています
- 完全な制御権限：BMCはメインCPUの「下位層」に位置しているため、システムの再起動、BIOSの変更、さらにはオペレーティングシステムを再インストールするための仮想ドライブのマウントまで実行できます
以下の図は、一般的なサーバーマザーボードの高レベルなブロック図を示しています。
図2：IPMI「コンピューターの中のもう1台のコンピューター」
静かなセキュリティ危機：現実世界での悪用事例
IPMIは、現代のサイバー攻撃が登場する以前の時代に、利便性を重視して設計されました。
BMCは、EDR、ネットワークセキュリティ、アプリケーションセキュリティツールとは独立して動作するため、多くの場合、セキュリティスタックからは見えない存在となっています。IPMIには、主に2つの大きな攻撃ベクトルがあります。
1つ目は、工場出荷時設定のデフォルト認証情報を利用した、私が「Open Door（開かれた扉）ポリシー」と呼んでいるものです。
数年前まで、サーバーは共通のデフォルト設定で出荷されていました。
長年サーバー管理を行ってきた管理者であれば、DellのiDRAC搭載サーバーにおける「root/calvin」や、Supermicroサーバーにおける「admin/admin」といったパスワードに覚えがあるでしょう。
幸いにも、現在では多くのメーカーがこの慣行を廃止しています。
しかし、依然として個別に事前設定されたパスワードが、引き出し式タグやサーバー本体に貼付されたステッカーに記載されています。
攻撃者がサーバーへ短時間でも物理的にアクセスでき、かつデフォルトパスワードが有効なままであれば、IPMIシステムへリモートアクセスされる可能性があります。
2つ目は、ソフトウェアに本質的に存在する問題、つまり攻撃者が悪用可能な脆弱性です。
脆弱なIPMI実装の歴史は長く、研究者たちは主要なハードウェアベンダーすべてにおいて重大な欠陥を発見してきました。
これらの脆弱性は、「Management Plane（管理プレーン）」が「Data Plane（データプレーン）」と同様に、攻撃対象となっていることを示しています。
| CVE | ベンダー | 脆弱性 | 実際の影響 |
| CVE-2018- 7105 | HPE （iLO 5） | リモート コード実行 | 攻撃者がログイン画面を回避し、 完全な制御権を取得可能となりました。 |
| CVE-2018- 15774 | Dell （iDRAC 7,8,9） | 権限昇格 | 低権限ユーザーが完全な管理者権限を 取得可能となりました。 |
| CVE-2013- 4782 | Supermicro | 認証バイパス | 未認証ユーザーが管理者パスワードを リセット可能となりました。 |
| CVE-2019- 11181 | Intel（BMC） | セッション ハイジャック | 攻撃者がアクティブな管理者セッションを 乗っ取ることを可能にしました。 |
| CVE-2013- 4786 | Generic （IPMI 2.0） | パスワード ハッシュ漏えい | 誰でもパスワードハッシュを要求し、 オフライン解析によるクラッキングを 実行可能となります。 |
表1：既知のIPMI脆弱性の一部サンプル
「Multiplier Effect（増幅効果）」：なぜ1つの攻撃が100以上の障害につながるのか
セキュリティマネージャーにとって、最大の懸念事項は被害範囲です。
現代のデータセンターでは、もはや1台のサーバー上で1つのアプリケーションだけを動かしているわけではありません。
私たちは、VMware、Windows Server、KVMといったハイパーバイザーを実行し、その上で数十、あるいは数百もの仮想マシンやアプリケーションコンテナを動作させています。
図3：IPMI侵害による被害範囲は、すべてのワークロードに及びます
攻撃者が単一のiDRACまたはiLOポートへアクセスした場合、その影響は壊滅的なものとなる可能性があります。
- 他サーバーへのラテラルムーブメント：多くのBMCは、簡素化されているとはいえ機能的なLinuxベースのOSと独自のネットワークスタックを実行しているため、インフラ内の他システムへの攻撃拠点として利用される可能性があります
- ハイパーバイザーの停止：攻撃者はホストの電源を強制的に遮断できるため、数十台の仮想マシンを即座にクラッシュさせる可能性があります
- Permanent Denial-of-Service（PDoS）：攻撃者はBMCへ悪意あるファームウェアを書き込み、サーバーを「文鎮化」させることが可能です
- 重要資産へのアクセス：物理サーバーには、Domain Controller や Primary Database が配置されていることが少なくありません。電源の再投入によって、深刻なデータベース破損につながる可能性があります
現実世界での事例とガイダンス
2018年に発生した「JungleSec」ランサムウェア攻撃では、攻撃者はインターネットへ公開されていたIPMIインターフェースを意図的に標的としました。
デフォルトパスワードを利用してアクセス権を取得した後、攻撃者はKVM（Keyboard, Video, Mouse）機能を使用してホストOSへアクセスし、データを暗号化したうえで、内部ネットワーク上の他の到達可能なシステムへラテラルムーブメントを実施しました。
その後数か月の間に、研究チームはIPMIファームウェアにおける複数の脆弱性を特定しました。
2019年にEclypsiumによって特定・命名された「Cloudborne」脆弱性では、多くのクラウドプロバイダー環境に存在していた既知のSupermicroハードウェア脆弱性を悪用し、BMCのファームウェアを書き換えることが可能でした。
これにより、攻撃者は現在の利用者がサーバーを返却し、次の利用者向けに再割り当てされた後も、永続的にアクセス権を維持することが可能となりました。
2023年には、Eclypsiumの研究者が「Lights Out Forever」と名付けた新たな攻撃手法を実証しました。
この攻撃では、侵害された1台のBMCを利用して、同一の管理セグメント上に存在する他の脆弱なBMCすべてに対し、「継続的な再起動」コマンドや悪意あるファームウェア更新を配布することが可能であり、結果としてデータセンター全体を停止させることができます。
IPMI攻撃の深刻性を受け、CISAは2023年6月、インターネットへ公開された管理インターフェースのリスク軽減を目的とした Binding Operational Directive BOD 23-02 を公開しました。
IPMIの保護
ここからは、どのように管理プレーンを保護するかについて見ていきます。
その重要性を踏まえると、ゼロトラストの原則を取り入れた「多層防御」戦略を採用する必要があります。
ファームウェア層では、以下の対策によってコントローラーを強化しなければなりません。
- デフォルト設定を廃止する：サーバーをラックへ設置する前に、すべての工場出荷時パスワードを変更します
- レガシープロトコルを無効化する：最新のWeb GUI（HTTPS）を使用している場合は、IPMI-over-LAN（UDP 623）を無効化します
- IPMIパッチ適用を脆弱性管理プログラムへ組み込む：BMCアップデートを、OSセキュリティパッチと同等の緊急度で扱います
ネットワーク層では、IPMIへのアクセスを制限し、管理トラフィックが本番データと同じ経路を共有しないようにする必要があります。
これは、大規模な既存環境（ブラウンフィールド環境）では困難な場合がありますが、いくつかの選択肢があります。
- 物理的分離：可能であれば、すべてのIPMIインターフェースに対して、完全に独立したスイッチおよびケーブル群を使用します。マルチテナント型データセンターを管理するMSSPは、このアプローチを採用すべきです
- 論理的分離：物理的な分離が難しい場合、管理トラフィックは、ルーティング不可かつ厳重にファイアウォール制御されたVLANへ厳格に分離する必要があります。ただし、この方法ではVLAN内でのラテラルムーブメントは防止できず、1台のサーバーを侵害した攻撃者が他のサーバーへ攻撃を広げる可能性があります
- マイクロセグメンテーション：個々のホストのIPMIインターフェース同士を分離することで、最も強力な防御を実現できます。また、これは上記2つの方法に対する第2の防御層としても機能します
Xshieldの優位性
物理的または論理的分離による専用管理ネットワークは、非常に有効な第一歩です。
しかし、その多くは依然として「フラット」なネットワークです。
攻撃者がそのネットワーク上の1台のデバイスを侵害した場合、ラック内の他すべてのサーバーを認識できてしまいます。
Xshieldのマイクロセグメンテーションは、各ホストのIPMI周囲にマイクロ境界を構築することで、さらに一歩進んだセキュリティを実現します。
その結果、以下の効果が得られます。
- ラテラルムーブメントの防止：1つのIPMIが侵害された場合でも、Xshieldは攻撃者が「横方向へ到達」して他のサーバーへ感染を拡大することを防止します
- 不可視化されたポート：Xshieldは、未承認のスキャナーに対してIPMIポートを「見えない」状態にします。攻撃者は、見えないものを攻撃することはできません
- 「Verified Admin」ロック：Xshieldは、特定の「Jump Host」から接続する認可済み管理者だけが、ログインを試行できるように保証します
図4：XshieldはIPMIへの不正アクセスとラテラルムーブメントを防止します
ハードウェア全体をゼロトラストレイヤーで保護することで、Xshieldは最も強力な管理ツールが不正な第三者の手に渡ることを防ぎます。
このソリューションは既存のスイッチングネットワークに変更を加える必要がなく、さらにエージェントレスであるため、Dell iDRAC、HPE iLO、Lenovo XCCをはじめ、あらゆるベンダーのIPMI実装で動作します。
もし現在も、セキュリティスタックの管理外にある管理インターフェースをサーバーが公開しているのであれば、一度詳しく見直すべき時かもしれません。
ぜひColorTokens（カラートークンズ）日本語公式サイトからお問い合わせ、またはデモをご依頼いただき、マイクロセグメンテーションがどのようにそのリスクを封じ込めるのかをご確認ください。
翻訳元記事
「The Backdoor in the Backplane: Why Your Server Management is a Silent Risk」
公開日：2026/2/12
著者：Venky Raju
※本記事では、アメリカのサイバーセキュリティ企業 ColorTokens（カラートークンズ）社が発信しているセキュリティ情報（英文）を、日本の代理店である株式会社電巧社が許諾を得て日本語に翻訳し、要約して掲載しています
※記事は掲載後に修正される可能性がございますので、ご了承ください
※過去の記事もアップしておりますので、現在の情報と異なる可能性がございます。上記の公開日をご参考ください
この記事の著者：電巧社セキュリティブログ編集部
