Интернет вещей: угрозы продолжают поступать (часть 3)

• Интернет вещей: угрозы продолжают поступать (часть 2)
• Интернет вещей: угрозы продолжают поступать (часть 4)

Введение

В части 1 этой серии мы обсудили, почему Интернет вещей представляет собой такую проблему безопасности, поскольку он растет и развивается, включая так много ранее «тупых», но теперь все более «умных» устройств, машин и устройств, которые засоряют ландшафт мира. наши жизни. Во второй части мы рассмотрели несколько примеров некоторых конкретных уязвимостей, досаждающих Интернету вещей, и рассмотрели возможные способы смягчения угроз, о существовании которых многие люди даже не догадываются.

Защита сети против защиты «вещей»

Интернет вещей, как следует из его названия, состоит из двух частей: есть сам Интернет — обширная глобальная сеть сетей, которая соединяет нас через сложную систему узлов — и есть «вещи», которые отправляют и получают данные. над ним: клиентские и серверные компьютеры, планшеты, телефоны, носимые устройства и всевозможная «умная» техника, гаджеты и игрушки, такие как телевизоры, стиральные машины, холодильники, духовки, камеры видеонаблюдения, другие камеры, автомобили, замки, свет, музыка. системы, термостаты, игровые системы, медицинские устройства, даже автоматические разбрызгиватели и бассейны.

Таким образом, логично рассматривать защиту Интернета вещей как двустороннюю задачу: пытаетесь ли вы защитить Интернет, защитить вещи по отдельности или и то, и другое?

Защита Интернета для любого человека или одной компании является невыполнимой задачей. Это слишком большая работа даже для правительства, хотя они продолжают пытаться узаконить его в безопасном государстве. Есть, конечно, вещи, которые можно сделать, чтобы хакерам и злоумышленникам было труднее выполнять свою грязную работу, точно так же, как есть способы сделать наши улицы безопаснее, но в конце концов ваши усилия по обеспечению безопасности сойдут на нет. тому, что вы можете сделать для защиты своей локальной сети и устройств, подключенных к ней (локально или удаленно), точно так же, как большая часть вашего контроля над защитой вашей физической собственности сводится к мерам, которые вы можете реализовать в своей собственный дом или офисное помещение.

Это не очень хорошая новость, потому что если бы существовал какой-то волшебный способ обеспечить безопасность на уровне Интернета, это было бы намного проще (для частных лиц и компаний), чем беспокоиться о безопасности стольких отдельных устройств. Точно так же, если бы можно было обеспечить физическую безопасность на границе города или на границе штата, никому из нас не пришлось бы запирать двери или покупать системы сигнализации, сейфы, высокие заборы и сторожевых собак. К сожалению, чем больше физическое или виртуальное «место», тем сложнее его защитить. И интернет огромный.

Это означает, что наша работа состоит в основном в том, чтобы идентифицировать наши ценности, а затем возводить стены вокруг каждой из них или каждой группы, чтобы защитить их. Мы можем думать о ценностях как о клиентах, серверах и других устройствах, которые наши пользователи используют для выполнения своей работы, или мы можем пойти глубже и рассматривать истинные ценности как конфиденциальные, личные или незаменимые данные, которые либо хранятся, либо доступны. (например, через облачную учетную запись, учетные данные которой хранятся локально) через эти устройства.

Конечно, наши дома или помещения компании являются физическим проявлением границ, которые определяют «наше» пространство, наши сферы ответственности и контроля, и эти структуры важны для нас сами по себе, как и наши электронные устройства, даже когда здание пусто. или устройство никогда не устанавливалось и не использовалось. Но наш дом становится бесконечно более достойным защиты после того, как мы переместили в него все наши драгоценные «вещи». Для большинства из нас важнее всего содержание (мебель, одежда, сувениры, фотографии, подарки, предметы коллекционирования, семейные реликвии и т. д.).

Точно так же «вещь» в Интернете, будь то полноценный компьютер, планшет, телефон, прибор или какой-либо другой подключенный гаджет, может быть дорогой, и мы можем не захотеть тратить деньги на ее замену. но не только ценность физического объекта делает его ценным для нас; наши защитные усилия становятся гораздо более важными, когда мы сохраняем документы, цифровые изображения, электронную почту, настройки конфигурации, адреса любимых веб-сайтов и т. д. в памяти устройства или когда устройство содержит сохраненные имена пользователей, пароли, виртуальные смарт-карты и другие учетные данные, которые можно использовать для входа в защищенные веб-интерфейсы, VPN вашей компании, облачные сервисы и т. д.

Эти «вещи» — устройства и данные — будут в центре нашего обсуждения того, как вы можете защитить Интернет вещей.

Механизмы безопасности IoT: мы были здесь раньше

Меры безопасности, которые защищают «вещи» IoT, будут знакомы всем, кто когда-либо сталкивался с компьютерной и сетевой безопасностью. Тот же старый список:

• Аутентификация
• Контроль доступа
• Брандмауэр
• IDS/IPS
• Антивирус/антивредоносное ПО
• Исправление/обновление для исправления уязвимостей в коде

Самая большая разница не в том нужно сделать, а в том это реализовано. С другой стороны, есть некоторые механизмы безопасности, которые мы привыкли использовать в более широком пространстве компьютерной и сетевой безопасности, которые непрактичны для устройств IoT. Ведение больших черных списков локально может быть проблемой для устройств IoT, которые имеют очень ограниченное пространство для хранения. То же самое относится и к технологиям шифрования, которые сильно нагружают процессор, поскольку это может оказать существенное негативное влияние на производительность приложений IoT.

Эти устройства часто имеют очень ограниченную память, хранилище и вычислительную мощность, чтобы сделать их небольшими, недорогими и продлить срок службы батареи, поскольку многие из них портативны. Кроме того, из-за характера устройств IoT мы — пользователи устройств и администраторы сетей, к которым они подключены, — часто не имеем такого контроля, как в случае с традиционными компьютерами, планшетами и смартфонами.

Это потому, что последние работают под управлением операционных систем общего назначения, разработанных для конфигурирования. Устройства IoT во многих случаях представляют собой специализированные системы, созданные для выполнения только одной задачи и с ограниченными возможностями настройки. Интерфейсы часто очень просты и предоставляют несколько вариантов настроек. Для этого есть веские причины.

С точки зрения стоимости, чем проще код и, следовательно, интерфейс, тем дешевле обходится изготовление устройства. С точки зрения удобства использования, чем проще устройство, тем легче пользователям (многие/большинство из которых могут быть технически неподкованными потребителями) использовать устройство по назначению, не испортив вещи и не заставляя его делать то, что нужно. они хотят это сделать. Сколько из нас, кто поддерживает пользователей компьютеров, заблокировали свои компьютеры, чтобы они не могли нанести ущерб, играя с настройками, которые они не понимают? Даже с точки зрения безопасности упрощение может быть преимуществом, поскольку пользователь не так легко может открыть векторы атаки, неправильно настроив параметры, связанные с безопасностью.

Однако другая сторона этого заключается в том, что те, кто знает, что они делают, с точки зрения безопасности, могут быть не в состоянии изменить настройки по умолчанию, чтобы сделать устройства более безопасными, или даже получить информацию, необходимую нам для определения безопасности. риски, которые может представлять устройство (например, какая версия базовой операционной системы и специальных приложений, которые на нем запущены, а также когда и было ли оно обновлено).

Это означает, что мы должны полагаться на производителей устройств, чтобы встроить безопасность в аппаратное и программное обеспечение, поскольку нам будет гораздо сложнее добавить ее, чем в случае с традиционными компьютерами. Вы можете установить всевозможные брандмауэры, антивирусы и другие приложения безопасности на свой традиционный настольный компьютер или ноутбук, а в некоторой степени и на планшет или телефон, но как установить брандмауэр на камеру наблюдения или стиральную машину? Вы не знаете.

Что вы сделать, это:

• Выбирайте устройства IoT с умом. Оцените безопасность различных марок/моделей. Делай свою домашнюю работу. Спросите производителя о жизненном цикле безопасности устройства, обновлениях, параметрах конфигурации и т. д. перед покупкой (или разрешите устройствам BYOD подключаться к вашей сети). Используйте устройства со встроенными брандмауэрами и другими средствами защиты, которые позволяют управлять доступом на основе устройств и т. д.
• Если вы не можете защитить устройство, защитите остальную часть сети. Убедитесь, что у вас есть сетевые устройства безопасности, защищающие от распространенных угроз. Однако имейте в виду, что не очень распространенные протоколы, которые используются некоторыми из этих устройств, означают, что ваши традиционные механизмы сетевой безопасности могут не фильтровать их.
• Убедитесь, что доступные обновления и исправления применяются своевременно. Некоторые устройства не оставят вам выбора; обновление будет автоматическим (если и когда устройство подключится к Интернету). Другие могут позволить вам контролировать, когда применяются обновления. Поскольку некоторые IoT-устройства постоянно выполняют необходимые функции, может возникнуть соблазн отложить установку исправлений, но это может подвергнуть устройство атаке и поставить под угрозу безопасность.
• Ознакомьтесь с устройствами и способами обеспечения безопасности. Большая часть проблемы заключается в том, что существует так мало стандартизации. Каждое устройство отличается.

Резюме

В частях 1 и 2 мы рассмотрели ландшафт угроз IoT и то, почему Интернет вещей создает новые проблемы безопасности, которые необходимо решить, прежде чем можно будет реализовать его потенциал. В этой части 3 мы представили обзор механизмов безопасности, которые можно использовать (и некоторые из которых нецелесообразны) для защиты устройств IoT. В части 4 мы углубимся в это и рассмотрим несколько конкретных примеров.

• Интернет вещей: угрозы продолжают поступать (часть 2)