Уроки безопасности IoT из недавних взломов: защита предприятия

В неожиданном повороте неименованный Лас-Вегасский казино стало жертвой кибератаки, начавшейся из его IoT-аквариума. Удаленно управляемый термометр, использовавшийся для мониторинга кормления и температуры воды, стал шлюзом для хакеров по краже конфиденциальных данных клиентов.

Интернет вещей переплетает корпоративные операции, соединяя устройства по цепочке поставок, повышая эффективность, сокращая расходы и открывая новые продуктовые возможности. По словам Авинаша Прасада, главы Managed Security Services в Tata Communications, трансформационный потенциал IoT может быть полностью реализован только тогда, когда безопасность встроена в бизнес-модель с первого дня.

Пока объем данных, генерируемых IoT-устройствами, предлагает беспрецедентные инсайты, он также создает привлекательные точки входа для киберпреступников. Gartner сообщает, что почти 20% организаций пережили хотя бы одну IoT-атаку за последние три года. С прогнозом в 75 млрд подключенных устройств к 2025 году экспозиция кибер-уязвимостям прогнозируется ростом в пять раз.

По мере входа в эру доминирования IoT, критически важно проанализировать угрозы, сопровождающие массовое развертывание устройств, и вплести надежные меры безопасности в корпоративную стратегию. Ниже — три ключевые уязвимости IoT, которые каждый бизнес должен адресовать.

1. Даже простейшие подключенные устройства могут быть уязвимы

Инцидент с аквариумом в Вегасе иллюстрирует: ни одно устройство не иммунно. Прошивка термостата позволила атакующему эксфильтровать 10 ГБ персональных данных, которые затем были переданы на удаленный сервер в Финляндии. С 80% глобальных данных, хранящихся на частных серверах, защита даже самых базовых IoT-устройств критична для сохранения целостности всей сети.

2. Физическая безопасность и утилизация устройств создают уникальные вызовы

В 2018 году исследовательская группа Limited Results разобрала умную лампочку LIFX Mini White и обнаружила, что устройство хранит Wi-Fi пароль владельца, RSA приватный ключ и root-пароли в открытом виде. Хотя LIFX выпустила исправление прошивки, инцидент подчеркивает важность защиты устройств во время эксплуатации и обеспечения безопасной утилизации устаревшего железа.

3. Промышленный вредонос угрожает физической безопасности

Атака вредоносом Triton на саудовскую нефтеперерабатывающую установку в 2018 году стала первым случаем, когда киберугроза была спроектирована для саботажа промышленных систем безопасности. Отключая датчики безопасности, атакующие могли бы спровоцировать катастрофические события. Хотя эта конкретная атака была остановлена до исполнения, она служит суровым напоминанием: по мере того как промышленные системы управления становятся более коннектед, их безопасность должна быть приоритетом.

Загадка соответствия

Недавние высокопрофильные взломы в British Airways, Marriott Hotels и различных местных органах власти подсветили, как неадекватная защита данных может привести к значительным штрафам под GDPR ЕС. Только взлом Marriott раскрыл записи 7 млн жителей Великобритании.

Регуляторы, включая Европейскую комиссию, затягивают гайки принуждения к приватности данных. Грядущие UK IoT-регуляции будут держать производителей ответственными за врожденные уязвимости устройств, в то время как предприятия также должны брать на себя ответственность за безопасность своих IT-экосистем.

В чем решение?

Растущая повсеместность IoT будет держать его лакомой мишенью для атакующих. Для защиты от эволюционирующих угроз предприятия должны принять многослойную стратегию обороны, включающую продвинутую аналитику, машинное обучение и искусственный интеллект для детектирования аномального поведения по всем подключенным устройствам.

Блокчейн-технология может децентрализовать контроль, позволяя устройствам в сети валидировать действия друг друга и алертить администраторов о подозрительных запросах. Партнерство с провайдером управляемых сервисов безопасности, предлагающим real-time threat intelligence, автоматизированный ответ и поддержку соответствия, может доставить комплексную панель безопасности, давая топ-менеджменту полную видимость в IoT-ландшафт.

Принимая холистический, облачный подход — интегрируя первазивные контролы, расширенную видимость и الناشющие технологии — организации могут защитить end-to-end IoT-среды, оставаясь compliant с эволюционирующими стандартами защиты данных.

В заключение, IoT не нужно бояться. С правильными сагвардами на месте оно может выполнять свои обещания и поднять корпоративные операции.

Автор — Авинаш Прасад, глава Managed Security Services в Tata Communications.