Новый фреймворк безопасности IoT NIST (NISTIR 8228): что это значит для ваших устройств

В начале 2024 года Национальный институт стандартов и технологий (NIST) выпустил проект публикации NISTIR 8228, озаглавленный «Рассмотрения для управления кибербезопасностью и рисками приватности Интернета вещей (IoT)». Он закладывает основу для серии руководящих документов, направленных на помощь как федеральным агентствам, так и частным организациям в смягчении уникальных угроз, исходящих от IoT-устройств.

NISTIR 8228 выявляет три критические уязвимости безопасности, общие для IoT-устройств, и описывает три общих цели для смягчения рисков. Документ является практичным, действенным ресурсом для любого, отвечающего за развертывание или управление IoT в корпоративной или правительственной среде.

NISTIR 8228: Распаковка ключевых угроз безопасности IoT

В отличие от традиционного IT-оборудования — компьютеров, планшетов или смартфонов — IoT-устройства работают на кастомизированных, часто проприетарных операционных системах, которые трудно для IT-команд мониторить или патчить. Поскольку эти устройства часто подключены к интернету, они могут стать точками входа в иначе безопасные сети. Когда атакующий эксплуатирует уязвимость в прошивке устройства, он может использовать эту опору для запуска атак на любой хост в сети. Наиболее частый вектор — брутфорс SSH попытка, использующая дефолтные учетные данные.

Помимо несанкционированного доступа к сети, IoT-устройства были заражены в массивные ботнеты, запускающие распределенные атаки отказа в обслуживании (DDoS). Инцидент Dyn 2016 года, крупнейшая DDoS-атака в истории, продемонстрировал, как миллионы незащищенных IoT-устройств были кооптированы для перегрузки DNS-инфраструктуры. Атакующие эксплуатировали ошибки прошивки для компрометации каждого устройства, а затем оркестровали штормы трафика, парализовавшие крупные интернет-сервисы.

Еще более тревожно, определенные IoT-устройства могут напрямую манипулировать физическими системами — HVAC, лифтами, спринклерами и подобными. Если захвачены, они могут causar физический вред или угрожать безопасности.

Ищете безопасный способ развернуть IoT-систему отслеживания? Запланируйте бесплатную демо с LinkLabs.

NIST IoT Фреймворк: Практические рекомендации через жизненный цикл устройства

Для адресации выявленных рисков NIST рекомендует набор действий, охватывающих весь жизненный цикл IoT-устройства:

• Проведите тщательную оценку рисков, чтобы понять конкретный ландшафт угроз.
• Пересмотрите организационные политики и процедуры для согласования с IoT-специфическими рисками.
• Внедрите надежные, основанные на доказательствах практики смягчения — от сегментации сети до безопасного управления прошивкой.

Производителей призывают встраивать функции безопасности и приватности в свои продукты с самого начала. Однако рынок все еще содержит миллионы унаследованных устройств, лишенных этих гарантий. Преодоление этого разрыва займет время, и проектировщикам придется балансировать безопасность с ограничениями стоимости.

Разные категории IoT требуют разные слои безопасности. Некоторые устройства требуют только защиты уровня устройства, другие — шифрование данных и гарантии приватности بالإضافة к безопасности устройства. NISTIR 8228 призывает организации оценивать соответствующий уровень защиты для каждого развертываемого устройства.

Пока фреймворк предлагает ценную отправную точку, это только первый шаг. Будущие руководства должны будут решать, как создавать экономичные, безопасные устройства и защищать существующую IoT-экосистему.

Два года после инцидента Dyn многие уязвимости остаются нерешенными. Бизнесы должны спросить: Как мы можем смягчить риски IoT-устройств, которые мы сейчас используем для отслеживания и мониторинга активов?

Для малых флотов простая смена дефолтных паролей — эффективная первая линия обороны. Для крупных развертываний — сотен или тысяч устройств — этот подход непрактичен из-за затрат времени и труда.

LinkLabs предлагает комплексное решение. Наша система AirFinder изолирует IoT-устройства на выделенных сетях, отказывающихся от стандартных IP-протоколов, делая компрометацию трудной. Для широкополосных развертываний наша платформа Symphony Link включает инфраструктуру открытых ключей (PKI), соответствующую стандартам NSA, поддерживает обновления прошивки по воздуху (FOTA), обмен AES-ключами в реальном времени и банковское TLS для сетевого трафика. Эти функции позволяют быстрое патчинг и безопасную коммуникацию без физического доступа к устройству.

Чтобы узнать, как LinkLabs может защитить ваши IoT-развертывания от рисков, описанных в NISTIR 8228, свяжитесь с нами сегодня и обеспечьте свои активы с доказанной, промышленной технологией.