Безопасность IoT-устройств в последнее время становится все актуальнее как для экспертов в этой области, так и для бизнеса. В сравнении с тем, что происходило еще пару лет назад, Интернет вещей сегодня гораздо чаще сталкивается с самыми разнообразными киберугрозами. Специализирующиеся на атаках IoT-устройств ботнеты с каждым новым образцом демонстрируют все более продуманный подход к вредоносной активности. Как же обеспечить безопасность IoT в современном мире?
- Введение
- Готовы ли компании?
- Почему IoT-устройства «по умолчанию» небезопасны
- Почему угрозы IoT растут?
- Выводы
Введение
Помните имя Mirai? В 2016 году он стал первым IoT-ботнетом, который попал в заголовки мировых СМИ – тогда он атаковал глобального DNS-провайдера Dyn и нарушил работу почти половины интернета. Теперь Mirai вернулся с новой целью. Недавно исследователи из IBM X-Force обнаружили, что варианты известного ботнета все чаще атакуют корпоративные IoT-устройства – в отличие от более простых вещей, подвергавшихся нападениям прежде (таких как домашние роутеры и камеры видеонаблюдения).
Готовы ли компании?
Не секрет, что атаки на Интернет вещей — уже реальность. Предприятия сталкиваются с серьезными рисками с точки зрения безопасности IoT-устройств: согласно отчету Gartner IoT Security 2018, за последние три года 20% организаций подверглись атакам на базе IoT. Тем не менее, большинство компаний только начинают задумываться о том, как управлять IoT-рисками и к кому обратиться за помощью. От правительств и регуляторов по всему миру ожидают руководящих указаний по IoT-безопасности. Недавно опубликованные инструкции NIST (National Institute of Standards and Technology — Национальный институт стандартов и технологий США) являются большим шагом вперед в этом отношении.
44-страничный документ NISTIR 8228 «Соображения по управлению рисками кибербезопасности и конфиденциальности в сфере Интернета вещей (IoT)» призван помочь федеральным агентствам Соединенных Штатов и другим крупным организациям лучше понять риски безопасности и конфиденциальности, связанные с IoT, а также управлять ими. NIST — это структура из состава Министерства торговли США, и его публикации служат отраслевыми рекомендациями, а не обязательными требованиями.
В руководстве изложены три основных вызова в контексте IoT-рисков: безопасность устройств, защита данных и индивидуальная конфиденциальность. Этот документ является первым в запланированной серии публикаций по другим аспектам темы, которые увидят свет в ближайшее время.
Приятно видеть, что экосистема IoT-безопасности развивается, и правительственные учреждения, наконец, принимают меры в этой области. Компании должны работать над внедрением новых передовых методов обеспечения IoT-безопасности и следить за новыми полезными ресурсами, которые появляются на рынке.
Почему IoT-устройства «по умолчанию» небезопасны
К концу 2020 года количество IoT-устройств по всему миру вырастет до 50 миллиардов. Внедрение сетей 5G станет еще одним стимулом для развития экосистемы IoT. Умные города, умные здания, умное производство — все устройства, окружающие нас дома, на работе, на улицах, приобретают дополнительную функциональность и подключаются к интернету.
IoT-устройства являются легкой добычей для хакеров. Они сочетают традиционно слабую поддержку производителя и редкие патчи с отсутствием регулирования и стандартов по безопасности. Многие из этих устройств были изготовлены 7-10 лет назад, поэтому установленное программное обеспечение довольно старо и уязвимо. Каждое из устройств представляет собой потенциальную точку входа, которую могут использовать хакеры. Коротко говоря — нельзя ожидать от IoT-устройств, что они сами позаботятся о своей безопасности.
Почему угрозы IoT растут?
Устройства IoT быстро распространяются в бизнес-среде, создавая новые проблемы безопасности и усугубляя проблему теневых ИТ-инфраструктур. IoT-устройства в организациях обычно принимают форму разнообразных датчиков, смарт-устройств, принтеров, камер, термостатов, голосовых персональных цифровых помощников — всего, что содержит электронику и может подключаться к корпоративной сети. Большинство компаний даже не знают о каждом уязвимом устройстве или приложении в корпоративной среде — многие из них являются личными гаджетами, принесенными сотрудниками.
Такое масштабное распространение IoT создает огромные возможности для хакеров. Новые атаки особенно опасны из-за их масштаба, последствий и легкости, с которой злоумышленники могут их организовать. DDoS-ботнеты, состоящие из миллионов IoT-устройств, могут сокрушить всю сеть и остановить физические операции в умном городе, парализовав работу энергосистем, электростанций, транспорта и больниц — список можно продолжать и продолжать.
Выводы
В то же время эти угрозы создают новые возможности для сервис-провайдеров, которые лучше других подходят для решения первой задачи, упоминаемой в отчете NIST — для защиты устройства и предотвращения его использования в кибератаках. Одним из вариантов является обеспечение безопасности на конечных устройствах. Проблема заключается в том, что IoT-устройства очень разнообразны и, как правило, имеют низкую мощность и производительность, а значит, на них практически невозможно установить какое-либо дополнительно программное обеспечение.
Хотя встроенная защита обязательна, существующая уязвимая база — как удаленных, так и локальных устройств — должна быть защищена и на сетевом уровне. Сеть является бесценным активом для предоставления услуг IoT-безопасности – как если бы вора останавливали еще на подъезде к городу, а не на пороге дома.
