Zero Trust: абсолютная защита для безопасности IoT-устройств

Эксперты по кибербезопасности бешено стараются оставаться шагом впереди хакеров, ищущих уязвимости в миллионах интернет-вещей устройств по всему миру. Но, возможно, они фокусируются на неправильной проблеме.

IoT-устройства пронизывают практически каждый аспект бизнеса сегодня и быстро проникают в потребительский сектор. Каждый сенсор, подключенный к интернету, создает еще одну потенциальную уязвимость для своего пользователя. Так что неудивительно, что текущее состояние IoT-безопасности «вероятно не очень хорошо», как описывает его Гэри Кингхорн, управляющий директор Tempered Networks.

Когда база данных хай-роллеров казино взламывается через «умный» термометр аквариума, ясно, что бурно растущая вселенная IoT имеет серьезную проблему. Уязвимость технологии «почти до точки абсурда», говорит Кингхорн.

Компании, стремящиеся укрепить свои информационные системы, фокусировались на самих устройствах, в частности на необходимости надежных паролей, которые должны защищать их от киберворов. Правительство также стремилось укрепить IoT-устройства через меры вроде недавно принятого Закона об улучшении кибербезопасности. Но Кингхорн считает, что это не полный ответ — или даже не правильный вопрос.

У каждого IoT-подключенного устройства есть IP-адрес, делающий его соблазнительной мишенью для хакеров. Однако передатчики просто не такие «умные», как может подсказывать это модное прилагательное. «Они очень простые устройства», говорит Кингхорн. «Они никогда не станут достаточно сложными, чтобы анализировать легаitimate сетевое соединение или запрос данных».

Вместо этого пользователи должны фокусироваться на том, что Кингхорн называет «реальной дырой» в безопасности: самой сети. Ключ — убедиться, что векторы атаки недоступны хакерам. И для этого системы должны принять «zero-trust» модель для авторизации входа.

Термин означает, что «вы не доверяете ничему, что пытается подключиться к вашей сети, даже приложениям или устройствам ваших собственных внутренних пользователей, если они не специально авторизованы», объясняет Кингхорн. Представьте «белый список», защищающий телефонную линию от мошенников, телемаркетологов и робозвонков, блокируя все, кроме предварительно обозначенных номеров.

Zero-trust среда обеспечивает, что «весь трафик движется через сеть зашифрованным, поэтому нет перехватов или man-in-the-middle атак», говорит Кингхорн. Политика безопасности организации управляется вокруг предварительной идентификации устройств и пользователей, а не полагаясь на надежность IoT-сенсоров.

Такая система ограничивает доступ к сети даже для самых доверенных устройств. В случае взломанного казино, Кингхорн спрашивает, почему термометр аквариума был связан с базой данных клиентов в первую очередь? «Он должен быть разрешен доступ только к одной системе — той, что говорит о температуре бака».

Zero trust делает возможным для систем изолировать отдельные сенсоры от более крупной сети. Так почему больше частных и публичных пользователей не приняли концепцию, даже когда нарушения безопасности продолжают нарастать?

Кингхорн находит некоторые ответы в отчете Zero Trust Adoption Report от Cybersecurity Insiders. Он находит высокий уровень энтузиазма по модели zero-trust, с 78% опрошенных ИТ-команд безопасности, выражающих интерес во внедрении zero-trust сетевого доступа в будущем. Они реагируют на необходимость укрепить системную безопасность в то время, когда компании обращаются к публичному облаку и пытаются безопасно управлять мобильными рабочими силами.

В то же время, 47% выборки сказали, что у них нет уверенности в способности их текущей технологии безопасности внедрить zero trust. Только 15% уже имеют такую систему на месте, и около 20% не дали много мысли технологии вообще.

Стоимость — ограничивающий фактор, говорит Кингхорн. Zero trust может быть дорог для достижения, с необходимостью «рвать и заменять» некоторые ИТ-системы, и в его текущей форме он не всегда распространяется на приложения вне дата-центра.

«Это наш фокус», говорит Кингхорн, «чтобы иметь возможность применять zero trust к любой сети или устройству, через комбинацию типичного программного агента и жестко закрепленных гейтвей-устройств».

Когда речь идет о технологических обновлениях, изменения редко легки. ИТ-команды безопасности могут считать себя комфортными с традиционными файрволами и виртуальными частными сетями (VPN), или беспокоиться о хлопотах с требованием многофакторной аутентификации. Но zero trust может быть настроен с single sign-on, и агенты могут быть установлены за минуты, утверждает Кингхорн. «Это не непосильно дорого», говорит он, «хотя некоторые организации могут сделать его таковым».

Он видит интерес к zero trust быстро растущим, особенно в ответ на пандемию COVID-19 и дополнительные вопросы безопасности, которые она принесла на ИТ-отделы. И пока полное принятие технологии может занять некоторое время, отказ двигаться вперед подвергнет компании все более повреждающим атакам творческих хакеров.

Вчерашние legacy-системы не оборудованы для адресации современных киберугроз, говорит Кингхорн. «IP-протокол стек 50 лет. Он никогда не был спроектирован делать то, что ИТ-организации просят сделать сегодня. Вот почему нам нужна полностью новая модель».