Виклики безпеки IoT: нові рішення та кращі практики

Володимир Бачинський, Application Security Engineer, Sigma Software

Уявіть собі світ, в якому повсякденні речі, такі як холодильник, автомобіль або заводські верстати, спілкуються один з одним через інтернет. Це те, що ми називаємо Інтернетом речей (IoT), який робить наше життя зручнішим і розумнішим з кожним днем. Ці підключені гаджети можуть допомогти нам економити час, приймати кращі рішення та навіть заощаджувати гроші.

Але є одна проблема. Підключення всіх цих речей до інтернету також означає, що їх можуть атакувати люди з поганими намірами. Оскільки підключених гаджетів стає все більше й більше, ризик того, що щось піде не так, зростає.

У Sigma Software ми надаємо повний спектр послуг з кібербезпеки, спираючись на 11-річний досвід консалтингу у цій сфері. Наразі ми розширюємо нашу команду з кібербезпеки. У цій статті ми хочемо окреслити виклики безпеки Інтернету речей у сучасному світі.

Інтернет речей навколо нас

Важко уявити, але сьогодні майже все, що нас оточує, можна під’єднати до інтернету. Від розумного термостата, який тримає комфортну температуру, до холодильника, який сповіщає, коли закінчується молоко – наші повсякденні гаджети стають розумнішими. Навіть дитячі іграшки можуть бути частиною цього підключеного світу.

Але йдеться не лише про те, що знаходиться в наших домівках. У великих містах такі речі, як світлофори та системи громадського транспорту, також підключені до інтернету. Це допомагає керувати дорожнім рухом і стежити за тим, щоб автобуси та поїзди ходили за розкладом. На заводах датчики та машини спілкуються між собою, щоб все працювало безперебійно.

І це ще не все. Експерти прогнозують, що вже за кілька років у світі буде близько 30 мільярдів пристроїв, які взаємодіють між собою. Ці підключені до інтернету девайси роблять життя простішим і цікавішим. Але коли їх так багато навколо нас, важливо подумати про їхню (а точніше про нашу з вами) безпеку.

Небезпека постійно підключених пристроїв

Коли до інтернету підключено так багато пристроїв, це все одно, що відчинити кілька дверей у будинок. Якщо не всі двері зачинені належним чином, хтось з поганими намірами може знайти шлях всередину.

Велика проблема полягає в тому, що не існує єдиного способу закрити ці двері. Різні компанії виробляють різні типи гаджетів і не завжди доходять згоди щодо найкращого способу їх захисту. Це як мати багато типів замків, деякі з яких легше зламати, ніж інші.

Інша проблема полягає в тому, що деякі пристрої використовують старі методи захисту, які вже не працюють належним чином. Це як мати іржавий замок на дверях. З часом замок стає слабшим і його легше зламати.

“Експерти прогнозують, що вже за кілька років у світі буде близько 30 мільярдів пристроїв, які взаємодіють між собою.”

Крім того, ці гаджети часто завжди увімкнені та готові до підключення. Це може бути добре, адже означає, що вони завжди готові до роботи. Але це також може бути проблемою. Якщо пристрій завжди увімкнений, це все одно, що залишити двері не замкненими. Комусь може бути легше потрапити всередину.

Реальні кейси порушення безпеки Інтернету речей

Годі теорії, подивімося на реальні випадки. Від порушень конфіденційності до масштабних збоїв в роботі мережі – наведені нижче приклади дають уявлення про те, що може піти не так, коли порушується безпека IoT:

Ботнет Mirai – З 2016 року різні варіанти ботнету Mirai використовували вразливі пристрої Інтернету речей, такі як камери та маршрутизатори, для здійснення масованих атак на інтернет-сервіси. Основні веб-сайти були відрізані від інтернету, що ілюструє, як незахищені пристрої Інтернету речей можуть бути використані для спричинення масштабних збоїв у роботі.

Витік даних Target – у 2013 році компанія Target стала жертвою великого витоку даних, в результаті якого було викрадено інформацію про кредитні картки 40 мільйонів клієнтів. Зловмисники отримали доступ через підключену до Інтернету речей до системи опалення, вентиляції та кондиціонування повітря (HVAC) незалежного постачальника. Погана безпека в одній області може скомпрометувати всю мережу.

Атака торгових автоматів – університет виявив, що його мережа була атакована зсередини більш ніж 5 000 пристроями Інтернету речей, в тому числі автоматами самообслуговування і освітлювальними приладами. Було встановлено, що шкідливе програмне забезпечення використовували для створення ботнету у власній системі університету.

Злом електронних нянь – було кілька інцидентів, під час яких були зламані радіоняні, що дозволяло стороннім особам розмовляти з дітьми або спостерігати за ними через підключені камери.

Складність захисту Інтернету речей

Захист Інтернету речей (IoT) – непросте завдання. Це все одно, що охороняти великий будинок з безліччю різних типів дверей і вікон, для кожного з яких потрібен особливий тип замка. Ось чому це так складно:

• Багато різних типів пристроїв. Від розумних холодильників і термостатів до автомобілів і заводського обладнання. Ці пристрої виробляються різними компаніями, і всі вони працюють по-різному, і до кожного з них важко підібрати правильний ключ.

• Велика кількість. З мільярдами пристроїв Інтернету речей по всьому світу, стежити за всіма ними – величезна робота. Уявіть, як це – стежити за містом, повним будинків, і за всіма одночасно!

• Складність оновлення. Іноді систему безпеки потрібно оновлювати, щоб вирішити проблеми. Але з Інтернетом речей зробити ці оновлення не завжди просто. Якщо замок на дверях застарів, його зазвичай потрібно замінити. Але що робити, якщо двері розташовані високо або заховані, і ви не можете до них дотягнутися? Ось як виглядає спроба оновити деякі пристрої Інтернету речей.

• Захист периферійних пристроїв. Деякі пристрої Інтернету речей збирають і надсилають дані саме там, де вони знаходяться, наприклад, світлофори, які регулюють дорожній рух. Захистити ці пристрої може бути складно, оскільки вони часто знаходяться у відкритому доступі й доступні для багатьох людей. Це все одно, що мати замок, який кожен може побачити і доторкнутися до нього, тому придумати, як його зламати, стає простіше.

• Важко контролювати. Відстежувати все, що відбувається з такою великою кількістю різних пристроїв, досить складно. Уявіть, що ви намагаєтеся прослухати, що відбувається в кожній кімнаті великої будівлі. Ви можете пропустити щось важливе.

Ці виклики показують, чому захист пристроїв Інтернету речей – це не просто захист одного комп’ютера чи телефона. Це велике завдання, яке вимагає ретельного обмірковування та дій. Оскільки все більше і більше пристроїв стають частиною цього пов’язаного світу, пошук способів їх захисту стає ще більш важливим. Реальні приклади, згадані вище, нагадують нам, що це не просто виклик для технологічних експертів, а те, що стосується всіх нас.

Нові рішення та найкращі практики

Тепер, коли ми знаємо, наскільки складною і важливою є безпека пристроїв Інтернету речей, давайте подивимося, як звичайні користувачі та підприємства можуть з нею впоратися. Пропонуємо короткий огляд рішень, передових практик і рекомендацій, які допоможуть забезпечити безпеку Інтернету речей сьогодні і запобігти наступним загрозам у майбутньому. Зосередившись на цих нових рішеннях і передових практиках, галузь працює над підвищенням безпеки і надійності пристроїв Інтернету речей.

Рішення

·      Програмне забезпечення для захисту – розробники створюють програмне забезпечення, спеціально призначене для захисту пристроїв IoT.

·      Багатокомпонентна автентифікація – використання не лише пароля для доступу до пристроїв може підвищити рівень безпеки.

·      Зашифровані комунікації – якщо зробити інформацію, що надсилається пристроями, приватною і важкодоступною для читання, це допоможе забезпечити їхню безпеку.

Ініціативи

Глобальна співпраця – різні групи в сьому світі працюють разом, щоб обмінюватися ідеями та покращувати безпеку пристроїв Інтернету речей.

Регулярне тестування пристроїв – перед тим, як потрапити до користувачів, пристрої Інтернету речей тестуються на предмет злому. Це допомагає виявити проблеми на ранніх стадіях.

Регулювання та відповідність – уряди встановлюють правила, яких повинні дотримуватися виробники пристроїв, щоб гарантувати, що пристрої Інтернету речей відповідають певним стандартам безпеки.

Стандарти

• Стандарти інтероперабельності – ці стандарти гарантують, що різне обладнання може безпечно працювати разом.
• Регулярні перевірки безпеки – регулярні перевірки обладнання та способів його використання допомагають швидко знаходити та вирішувати проблеми.
• Безпечне введення в експлуатацію та захист обладнання –використання спеціальних способів введення в експлуатацію пристроїв та обладнання, які були розроблені з урахуванням вимог безпеки, може забезпечити додатковий захист.

Кращі практики

Управління оновленнями – Оновлення програмного забезпечення є складним завданням для IoT, але деякі компанії працюють над тим, щоб надсилати оновлення на пристрої простіше і безпечніше.

Сегментація мережі – Розміщення пристроїв Інтернету речей в окремій частині мережі може підвищити безпеку як самих девайсів, так і решти мережі.

Використовуйте надійних постачальників – використання пристроїв від компаній, які дотримуються належних практик безпеки, може допомогти уникнути проблем.

Прогнози

Збільшення кількості пристроїв – у майбутньому в будинках і на підприємствах буде ще більше пристроїв Інтернету речей. Це означає, що забезпечення їхньої безпеки стане ще більш важливим.

Розумніші атаки – люди, які хочуть недобросовісно скористатися цими пристроями, будуть робити це все краще і краще. Безпека також повинна розвиватися.

Нові правила та стандарти – оскільки все більше людей користуються цими пристроями, уряди розроблятимуть нові правила, щоб забезпечити їхню безпеку.

Рекомендації

“Захист Інтернету речей – непросте завдання. Це все одно, що охороняти великий будинок з безліччю різних типів дверей і вікон, для кожного з яких потрібен особливий тип замка.”

Для користувачів:

Будьте обережні з новими пристроями – перш ніж купувати новий IoT-пристрій, варто переконатися, що він від компанії, яка має репутацію надійного постачальника.

Слідкуйте за оновленнями – навіть якщо це може бути складно, намагайтеся постійно оновлювати програмне забезпечення на своїх пристроях Інтернету речей, щоб забезпечити їхню безпеку.

Для бізнесу:

Навчіть своїх співробітників, як безпечно користуватися пристроями Інтернету речей.

Використовуйте безпечні мережі – переконайтеся, що мережа, до якої підключені ваші пристрої Інтернету речей, добре захищена.

Безпека Інтернету речей буде продовжувати змінюватися. З’явиться більше пристроїв і нових типів загроз. Але, дотримуючись корисних порад і працюючи разом, звичайні люди, підприємства та уряди можуть допомогти зробити пристрої Інтернету речей безпечними і корисними для всіх.