Топ-5 заблуждений о безопасности сетей и устройств в концепции «интернет вещей»

Топ-5 заблуждений о безопасности интернета вещей по версии isBuzzNews. Концепция «интернет вещей» (IoT) описывает взаимосвязанную систему отдельных устройств, которые связаны друг с другом и обмениваются данными в рамках существующей интернет-инфраструктуры, обеспечивая более глубокое проникновение и контроль над этими элементами, ставшими неотъемлемой частью нашей жизни в информационном мире. По прогнозам, к 2020 году по всему миру к Сети будут подключены около 30 млрд. устройств. Таким образом, предсказанная эра глобального доминирования «интернета вещей» стремительно приближается, а вместе с ней формируется новый уровень угроз информационной безопасности для подключённых к коммуникационным магистралям организаций.

Заблуждение 1: Почему меня должен беспокоить тип подключённого к Сети устройства? Оно ведь именно для этого разработано и сертифицировано!

Похоже, что IoT-устройства легко получают разрешения на использование в корпоративных коммуникациях. Считается, что они не могут нанести вред вашей сети.
ФАКТ: пользователи часто не понимают, что IoT-устройства, возможно, являются ахиллесовой пятой корпоративной сети. Когда некий IP «засветился» на интернет-форуме, в этом нет ничего страшного, но если этот IP – адрес видеокамеры безопасности, то существует некоторая вероятность, что после этого устройство будет скомпрометировано.

Заблуждение 2: Только ИТ-отделы занимаются подключением IoT-устройств к корпоративной сети

Мнение, что ТОЛЬКО ИТ-отделы подключают IoT-устройства к сети организации, не отражает существующую реальность.
ФАКТ: В действительности, известно о многих случаях, когда сотрудники самостоятельно подключали свои устройства к корпоративной сети, не сообщая об этом ИТ-специалистам. Например, врач может принести на работу медицинское устройство, помогающее ему в диагностировании пациентов. Он просто подключает аппарат к сети больницы и использует его. Поскольку ИТ-отдел редко проверяет настройки безопасности, сеть больницы становится восприимчивой к деятельности злоумышленников, такой как кража медицинских карточек пациентов.

Заблуждение 3: Аппаратное устройство не может навредить безопасности!

В среде специалистов по компьютерной безопасности бытует ложное мнение, что локальные аппаратные устройства более безопасны, чем прочие программные решения.
ФАКТ: На самом деле, как только техника покидает поставщика, она требует регулярных обновлений и исправлений прошивки. Потеря бдительности и игнорирование последних обновлений встроенной микропрограммы прибора приводит к тому, что такое оборудование подвергает большому риску корпоративные сети.

Заблуждение 4: нет ничего страшного в подключении кассового терминала (POS), ПК и IP-камеры к одному сегменту сети

Что может случиться? Это удобный и простой способ организации сети. С точки зрения безопасности не должно быть никаких проблем. Правильно? Неправильно!
ФАКТ: Поскольку IoT- устройства являются наиболее слабым звеном в безопасности сети, подключение к одному и тому же сегменту вместе с другим оборудованием не только ставит их под угрозу, но и облегчает хакеру его работу.

Заблуждение 5: если устройство работает — не трогай!

Есть ещё одно распространённое заблуждение: если устройство правильно работает с настройками по умолчанию, то не нужно его трогать. Например, подключённая к сети IP-камера, в которой не был предварительно изменён пароль по умолчанию.
ФАКТ: Конфигурация по умолчанию является серьёзной угрозой для безопасности, подвергая устройство риску атаки со стороны других устройств в сети. Сохранение настроек по умолчанию на IoT- устройстве позволяет хакеру удалённо выполнить вредоносный код, шпионить за пользователями, отключать устройства или группировать их в ботнет для DDoS-атак через известный бэкдор. Большинство пользователей не удосуживаются изменять предустановленные логины и пароли, что значительно облегчает жизнь злоумышленникам.

Предпосылки

Увеличение числа IoT-устройств, используемых в организациях

Недалёк тот час, когда IoT-устройства станут гораздо более эффективными и интуитивно понятными, чем мы могли когда-либо предположить. Согласно прогнозам, к 2020 году в различных организациях будут функционировать до 7,3 млрд. таких устройств. С другой стороны рост популярности IoT означает, что хакеры будут искать новые способы использования данной технологии в своих преступных действиях, нацеленных против корпоративных сетей.
Кибер-атаки не являются новостью для сегмента устройств IoT, но по мере того, как эта концепция всё теснее вплетается в жизнь отдельных индивидуумов и всего общества, увеличивается необходимость активизации усилий по разработке серьёзных мер кибер-защиты.

Рост числа кибер-атак на IoT-устройства

Для потенциального злоумышленника устройства данной категории являются «лакомым кусочком» по нескольким причинам. Прежде всего, это обусловлено естественным функциональным назначением оборудования. Например, взлом подключённой к сети видеокамеры слежения позволит хакеру получить информацию о средствах обеспечения безопасности на объекте. Уже сегодня компьютерные хулиганы используют IoT-устройства при различных типах атак на сети и серверы для своих вредоносных целей. DSL, DDoS и бот-атаки в 2016 году доказали, что недостатка в возможностях взлома нет, и хакеры готовы их использовать.

Отсутствие регулирования IoT-устройств

Ситуация с уязвимостью IoT-устройств вряд ли изменится в ближайшем будущем. Результаты последних ИТ-аудитов находят отражени в отчёте «Восстание машин: атака “Дин” была лишь пробной операцией» исследователи Джеймс Скотт и Дрю Спаниель отмечают, что уязвимости в безопасности IoT относятся к той категории угроз, которые мы только начинаем осознавать. Они убеждены в том, что отсутствие регулирования в сфере производства IoT-устройств не влияет на их уязвимость и больше связано с экономическими тенденциями:
«Правительственное регулирование сферы IoT-устройств в США окажет влияние на глобальные тенденции и экономику всего пространства IoT, потому что все игроки данного рынка либо работают в Соединённых Штатах, либо непосредственно сотрудничают с производителями из США и полагаются на экономику этой страны. В то же время, регулирование IoT не поможет снижению числа DDoS-атак, поскольку правительство США получит лишь ограниченное влияние на производителей. Кроме того, Соединённые Штаты не входят даже в десятку стран, которые являются наибольшими источниками вредоносного трафика IoT».

Создание прочных основ для безопасной работы IoT

Хотя во многих отношениях тенденция роста популярности IoT- устройств является тем фактором, который изменит правила игры, с точки зрения безопасности основные принципы остаются незыблемыми. На самом базовом уровне безопасность «интернета вещей» зависит от возможности следить за устройствами, подключёнными к корпоративной сети, и контролировать их.