Все идет IoT

Почти во всех новых устройствах есть немного встроенных технологий для подключения к Интернету. Разновидности "вещей", доступных в Интернете, включают чайники (серьезно), кроссовки (кроссовки) и телевизоры.

Кроме того, к устройствам, которые могут не подключаться к Интернету, но часто к локальной сети, относятся медицинские устройства, такие как кардиостимуляторы и инсулиновые помпы. Эта тенденция, говорит Арт Данерт, управляющий консультант Synopsys, Inc. , происходит уже несколько лет, и не похоже, что в ближайшее время он прекратится.

Проблема в том, что слишком много вещей в Интернете вещей (IoT) также взламываются.

Не нужно заглядывать далеко, чтобы увидеть истории о камерах видеонаблюдения, превращенных в ботнет, или о том, что ваш телевизор используется для слежки за вами, или о фитнес-мониторе, который используется для идентификации секретных военных баз. Проблема со всеми этими атаками заключается в том, что программное обеспечение, поддерживающее эти устройства, не создается с учетом требований безопасности. Часто никто не думает о безопасности, пока не станет слишком поздно, и их IoT-устройство не появится во всех новостях.

Уязвимые автомобили

Это особенно очевидно в случае с современными автомобилями. Современный автомобиль сегодня имеет более 100 процессоров (сопроцессоров) и использует миллионы строк кода. Весь этот код необходим для поддержки передовых технологий, таких как адаптивный круиз-контроль, помощь при удержании полосы движения, самостоятельная парковка и функции экстренного торможения, которых не было 10 лет назад.

Сочетание нового кода и новых функций вместе с давлением на рынок означает, что некоторые углы, скорее всего, были сокращены, включая меры безопасности. Также возможно, что требования к безопасности не были сочтены достаточно высокими, чтобы воплотить их в конечном продукте. Какой бы ни была причина отказа от обеспечения безопасности вначале, злоумышленники могут воспользоваться незащищенным транспортным средством и взять под контроль.

Именно это и произошло. Большинство плохих парней, атакующих автомобильное программное обеспечение, не стремятся разбить тысячи автомобилей, когда они едут по дороге; они собираются делать то, что делают плохие парни, воровать вещи. А именно украсть автомобиль или хотя бы то, что находится внутри него. Именно это и произошло в Хьюстоне в 2016 году, когда банда украла более 30 джипов, воспользовавшись отсутствием средств контроля безопасности в программном обеспечении автомобиля.

Что можно сделать?

Во-первых, компаниям необходимо серьезно относиться к безопасности и с самого начала встраивать безопасность в свои продукты, используя передовые методы обеспечения безопасности. Это начинается с обучения персонала разработки написанию безопасного программного обеспечения и включает в себя разработку или использование архитектуры, которая интегрирует безопасность в систему в целом. Одно дело - иметь надежно написанные модули или компоненты, но если система передает данные (пароли) в виде открытого текста, то в конечном итоге у вас все равно будет компромисс.

Помимо безопасного кода и архитектуры, компаниям потребуется вложить средства в SDLC, который интегрирует безопасность в определенных точках процесса. Это может включать в себя инструмент статического анализа кода, который сканирует исходный код каждый раз при запуске сборки. И, наконец, для проверки требований безопасности часто используется оценка безопасности (тест на проникновение) продукта перед его отправкой в ​​производство.

Безопасность программного обеспечения - это путешествие, и эти шаги - только начало. Поскольку все идет на IoT, все «вещи» в Интернете вещей должны быть защищены.

Автор этого блога - Арт Данерт, управляющий консультант Synopsys, Inc.

Об авторе:

Арт Данерт - консультант по информационной безопасности, имеющий более 19 лет опыта в области информационных технологий и более 9 лет в тестировании приложений на проникновение. Г-н Данерт провел сотни оценок рисков безопасности, тестов на проникновение и оценок уязвимости веб-приложений, настольных приложений и мобильных приложений.

Он оценил безопасность систем и инфраструктур от малых до больших, в том числе; простые веб-приложения, банковские приложения для крупных предприятий и полнофункциональные системы развертывания для военных нужд США.