Почему IoT-устройства с Wi‑Fi создают растущую угрозу безопасности

Райан Орси, WatchGuard Technologies

Известная поговорка: «быстро, дешево, качественно — можно выбрать только два». IoT-сектор — идеальная иллюстрация этого дилеммы, так как производители приоритизируют скорость и стоимость, часто отодвигая надежную безопасность.

Нарушения IoT — слишком часты, но ставки драматически растут, когда задействовано Wi-Fi-соединение, говорит Райан Орси, директор по продуктовому менеджменту в WatchGuard Technologies.

Первичные векторы атак IoT:

• Сетевые сервисы — IoT-устройства должны подключаться к сети, но многие пользователи конфигурируют эти сервисы с недостаточными сафегардами. Например, умная камера может экспонировать открытый, незащищенный порт, давая атакующим прямой доступ к приватной сети.
• Man-in-the-Middle (MiTM) атаки — Поскольку IoT-устройства редко управляются, атакующие могут молча вставляться в проводной или беспроводной трафик. Сегодня большинство беспроводных интрузий опираются на MiTM-тактики.
• Cloud-based IoT — Большинство устройств полагаются на облачный портал для управления. Когда эти облачные сервисы лишены сильной защиты, они становятся шлюзом для хакеров. Компрометация одного облачного аккаунта может экспонировать все устройства, связанные с этим сервисом.

В 2016 году ботнет Mirai продемонстрировал опасность. Сканируя интернет на предмет открытых портов на IP-камерах, DVR и домашних роутерах, а затем брутфорся 61 общий креденшл из документации производителей, Mirai поработил тысячи устройств. Результирующая DDoS-атака уронила Netflix, Twitter и другие, и атаковала DNS-хост Dyn из более чем 160 стран.

Хотя Mirai сам по себе не был уязвимостью Wi-Fi, он подсветил роль Wi-Fi как главного вектора атаки. MiTM-атаки часто служат точкой входа для Wi-Fi-сетей, позволяя атакующим идентифицировать уязвимые IoT-устройства и имплантировать бэкдор-малварь, дающую удаленный персистентный доступ.

Последствия могут быть фатальными. Представьте телемедицинское устройство — домашний монитор сердца или давления — передающее данные пациента по Wi-Fi, bị захваченным. Или POS-планшет, обрабатывающий платежи через скомпрометированное Wi-Fi-соединение.

Угроза усиливается в средах публичного Wi-Fi. Муниципальные хотспоты созданы, чтобы миллионы могли свободно подключаться, но отсутствие шифрования превращает их в игровую площадку для атакующих. Южная Африка, например, эксплуатирует одну из крупнейших в мире муниципальных Wi-Fi-сетей, поддерживающих 1,8 млн уникальных устройств.

Подключение IoT-устройства к открытой, незащищенной сети экспонирует его риску. Медленное принятие security-by-design индустрией означает, что регуляция все чаще видна как самый эффективный рычаг, заставляющий производителей приоритизировать защиту.

Провайдеры Wi-Fi-сервисов также могут предпринять решительные действия для защиты потребителей. Если вы доставляете Wi-Fi клиентам, сотрудникам или партнерам, рассмотрите следующие пять мер:

• Разверните современную Wireless Intrusion Prevention System (WIPS), способную изолировать rogue-точки доступа и блокировать MiTM-атаки в реальном времени.
• Сегментируйте свою Wi-Fi-сеть так, чтобы гостевой трафик был изолирован от приватного или корпоративного, улучшая производительность и контейнмент.
• Применяйте строгие политики сегментации для IoT-устройств — камеры, термостаты и другие умные приборы должны находиться в выделенной сети, отделенной от гостей и внутренних пользователей.
• Используйте Unified Threat Management (UTM) апплайанс для скрутинизации трафика, текущего между сегментами.
• Если вашей команде не хватает глубокой экспертизы в нет-безопасности, партнерьтесь с Managed Security Service Provider (MSSP), чтобы переложить бремя.

Пока рыночный спрос не заставит производителей встраивать безопасность с начала, атакующие будут продолжать эксплуатировать слабости IoT, стоимостью бизнесам и потребителям. Внедряя безопасные Wi-Fi-практики, компании могут защитить свои активы и влиять на индустрию к принятию более высоких стандартов безопасности.

Райан Орси, директор по продуктовому менеджменту, WatchGuard Technologies