Защитите свои умные устройства: лучшие практики безопасности IoT

В этой статье мы будем использовать термин «Интернет вещей» или «IoT» как собирательный термин для описания взаимосвязанных умных устройств, машино-машинной (M2M) коммуникации и связанных программно-аппаратных технологий.

Инсайты данных и потенциал автоматизации, предоставляемые технологиями Интернета вещей (IoT), создали большие возможности для улучшения процессов и других революций в том, как бизнесы работают. Популярность этих устройств растет сильно — глобальный IoT-рынок оценивается в достижении 22 млрд активно подключенных устройств для разных IoT-индустрий по всему миру к 2025 году.

Как и с любой новой технологией, Интернет вещей не без своих недостатков кибербезопасности. Любой бизнес, стремящийся внедрить IoT-устройства, должен делать это с кибербезопасностью как преобладающей озабоченностью, если они хотят держать свои устройства, системы и данные в безопасности.

Как IoT может помочь бизнесам?

Технологии под зонтиком IoT могут сделать чудеса для бизнесов по разным секторам, хотя значительное влияние было продемонстрировано с их использованием в промышленных компаниях.

IoT-устройства, вместе с другими быстро развивающимися технологиями, такими как 3D-печать, искусственный интеллект, квантовые вычисления и достижения в накоплении энергии, вызвали беспрецедентную революцию в возможностях промышленных компаний, ведущую к тому, что становится известно как Четвертая промышленная революция.

IoT-устройства позволяют промышленным компаниям:

• Удаленно контролировать и мониторить свои цепи поставок
• Комбинировать IoT-сенсоры с существующей технологией для помощи в предсказании и внедрении превентивного обслуживания путем мониторинга признаков износа и выполнения необходимого решения.
• Вести свои процессы более энергоэффективным способом через данные энергии в реальном времени

Для бизнесов в других секторах, IoT-устройства могут принести значительные изменения в виде улучшенных инсайтов данных. Эти улучшения могут предоставить компаниям выгоды, включающие больший контроль запасов/инвентаря, улучшенную эффективность планирования и сокращение отходов, среди других улучшений.

Опасности IoT

Пока есть явное преимущество, которое может быть получено через сбор данных и автоматизацию, приходящие с IoT-устройствами, они не без своих рисков. Многие пользователи IoT и умных устройств не осознают, насколько доступны некоторые из их устройств. Поисковик Shodan сканирует веб для устройств с халатной защитой паролем и отображает скриншоты того, к чему он смог получить доступ — самыми заметными примерами являясь стримы с камер безопасности IoT, используемых как в бизнес-пространствах, так и в частных жильях.

Этот список далеко не исчерпывающий, однако он служит напоминанием, что небезопасные IoT-устройства могут быть эксплуатированы и должны быть внедрены с должной осторожностью.

Отсутствие встроенной безопасности для IoT и умных устройств

Бизнесы, желающие использовать силу IoT, должны гарантировать, что производители IoT-устройств, которые они используют, относятся к кибербезопасности серьезно.

В усилиях массово продавать свои устройства и держать затраты низкими, многие производители умных устройств выбрали отказаться от инвестиций в кибербезопасность и вместо этого приоритизировали рентабельность своих устройств для привлечения покупателей для этого развивающегося рынка.

Пока правительства, такие как Великобритания и США, начинают относиться к законодательству по кибербезопасности IoT серьезно, в основном внешнее давление на производителей умных устройств для приоритизации кибербезопасности в их процессе разработки устройств было недостаточным.

Многие умные устройства не идут интегрированными с функциями двухфакторной аутентификации (2FA), ни шифруют данные, которые они собирают и передают. Пока производители умных устройств не будут ответственны за внедрение безопасности как приоритета с первого дня разработки, умные устройства продолжат быть жизнеспособным вектором для угроз кибербезопасности.

Примеры нарушений безопасности IoT

Исторически, IoT-устройства использовались как точка входа для атак вредоносного ПО. Для предоставления дальнейшего контекста, вот несколько высокопрофильных примеров.

Атаки распределенного отказа в обслуживании (DDoS)

В 2016 году ботнет, известный как «Mirai», выполнил атаку DDoS, эксплуатируя пароли по умолчанию различных IoT-устройств. DDoS-атака привела к потере интернет-подключенности для большого сегмента восточного побережья США.

Относительная легкость, с которой эта атака была реализована, дает инсайты в то, как IoT-технологии могут быть эксплуатированы для недобросовестных целей, и это было далеко не единственной ботнет-атакой, питанной скомпрометированными IoT-устройствами.

Попытка Stuxnet уничтожить ядерное оборудование

Хотя создатели Stuxnet не подтверждены, обширное изучение этого высокоэвазивного компьютерного червя подтвердило его цель — нацелиться на центрифуги, используемые на ядерных установках, и перепрограммировать их для выполнения циклов, повреждающих их физические компоненты. Stuxnet дает предостерегающую историю, что уязвимости подключенного оборудования могут вызывать проблемы больше, чем потеря данных и отключенное ПО — они могут causar серьезный физический ущерб устройствам или даже угрожать жизням.

Как термостат привел к утечке данных

Безымянное казино в Лас-Вегасе имело базу данных данных клиентов украденную самым неожиданным способом — через термостат своего аквариума. Казино использовало wifi-подключенный IoT-термостат для мониторинга и регулировки температуры аквариума. Поскольку термометр был в той же сети, что и данные их клиентов, киберпреступники смогли эксплуатировать уязвимости термометра, чтобы использовать его как точку входа.

Переход от облачных вычислений к туманным вычислениям

Вопреки популярному убеждению, Интернет вещей может функционировать без внешнего провайдера облачных вычислений, однако преимущества облачных вычислений должны быть сильно рассмотрены перед решением перейти к безоблачному решению.

Бизнесы, желающие иметь полный контроль над своими данными, могут использовать свою собственной локально-контролируемую инфраструктуру «туманных вычислений» (fog computing), чтобы позволить им обрабатывать и передавать свои IoT-данные без их деления с внешним провайдером облачных вычислений.

Туманные вычисления — децентрализованная вычислительная инфраструктура, передающая данные от IoT-устройств к шлюзу в локальной сети (LAN), который обрабатывает передачу данных к соответствующему аппаратному обеспечению обработки — использование локального оборудования для этой обработки данных часто называется «крайними вычислениями» (edge computing). Пока туманные и крайние вычисления предлагают набор преимуществ, включая сниженную задержку и больший контроль над тем, как данные делятся и передаются, они не без своих уязвимостей.

Бизнесы, использующие туманные и крайние вычисления для хранения и передачи своих данных, являются единственными провайдерами физических, процедурных и технических мер кибербезопасности, необходимых для защиты собранных ими данных, что не малая задача.

Ведущие провайдеры облачных вычислений сильно инвестируют в внедрение и поддержание ведущих мер кибербезопасности для защиты данных, которые они хранят, передают и обрабатывают, так как вся их бизнес-модель полагается на их надежность и безопасность. Бизнесы, которые просто хотят использовать IoT-устройства как улучшение своих обычных операций, могут не разумно иметь возможность поддерживать похожий уровень безопасности как провайдеры облачных вычислений, ведущий к большим рискам кибербезопасности, если их использование туманных вычислений не выполняется с равно надежными мерами кибербезопасности.

Как безопасно использовать IoT-устройства

Пока не без своих рисков, IoT-устройства представляют беспрецедентную возможность для продвижений в сборе и передаче данных, которые могут привести к невероятным выгодам в возможностях и эффективности. Для безопасного использования IoT-устройств есть ключевые меры безопасности, которые могут быть внедрены.

Шифрование чувствительных данных

Пока процесс шифрования данных перед отправкой на обработку к провайдеру облачных вычислений может вызвать задержки в передаче данных, это важный шаг для чувствительных данных. Компании, передающие чувствительные данные (такие как медицинские данные) от IoT-устройства к облаку, должны относиться к чувствительности этих данных серьезно, однако более безобидные данные могут быть оставлены незашифрованными.

Использование уникальных паролей

Как видно с атакой DDoS ботнета Mirai, один из методов, используемых для эксплуатации IoT-устройств, — через ПО, пытающееся получить доступ, используя известные заводские пароли по умолчанию, используемые производителем IoT-устройства.

Помимо смены заводских паролей по умолчанию на уникальный пароль, IoT-устройства, которые используются, должны быть произведены так, чтобы устройства не могли быть сброшены к заводскому паролю по умолчанию, так как способность сброса к паролю по умолчанию может предоставить киберпреступникам дополнительный вектор для атак.

Использование отдельной сети для IoT-устройств

Для бизнесов, которые являются контроллерами чувствительных данных, эти данные должны храниться на сети, отделенной от ваших IoT-устройств. Из-за относительной незрелости безопасности IoT-устройств, хранение их на отдельной сети снижает возможность того, что они могут быть использованы как точка входа в основную сеть.

Выбирайте своих IoT облачных и устройственных провайдеров мудро

Бизнесы, выбирающие воспользоваться силой облачных вычислений для своих IoT-устройств, должны тщательно выбирать провайдера IoT облачной платформы, которому они могут доверять защитить данные, которые они хранят и обрабатывают на своих системах. Они также должны выбирать IoT-продукты, произведенные с кибербезопасностью как значительной озабоченностью.

При решении провайдеров IoT-устройств для ваших нужд, рассмотрите следующее:

• Предоставляет ли производитель устройства публичную точку контакта для отчетов об уязвимостях кибербезопасности? Имеют ли они историю серьезного отношения к этим отчетам?
• Как долго производитель устройства будет предоставлять обновления безопасности для своих продуктов?
• Приоритизирует ли производитель устройства кибербезопасность как часть своего производственного мандата?

Соображения кибербезопасности провайдера облачных сервисов (CSP) IoT:

• Имеет ли CSP историю серьезного отношения к кибербезопасности?
• Какие меры кибербезопасности CSP принял для защиты данных?
• Может ли CSP предложить шифрование и другие меры безопасности в масштабе по мере роста IoT-инфраструктуры?

Вышеуказанный список далеко не исчерпывающий и каждый бизнес-вариант использования будет иметь уникальные соображения кибербезопасности. По мере того как IoT-технологии продолжают способствовать быстрому росту, бизнесы, стремящиеся воспользоваться развивающимися инсайтами и функциями, предоставляемыми ими, должны приоритизировать кибербезопасность первой и продолжать исследовать и внедрять лучшие возможные решения для своих нужд.