በ IoT አውታረ መረቦች ውስጥ ያሉ የደህንነት ተግዳሮቶች

በአይኦቲ ኔትወርኮች ውስጥ ያሉ የደህንነት ተግዳሮቶች

የነገሮች ኢንተርኔት (IoT) ሰዎች ከቴክኖሎጂ ጋር የሚገናኙበትን መንገድ ቀይሮታል። እንደ ስማርት መብራቶች፣ የሲሲቲቪ ካሜራዎች፣ የኢንዱስትሪ ዳሳሾች፣ ስማርት ኤሌክትሪክ ሜትሮች፣ ተለባሽ የጤና አጠባበቅ መሳሪያዎች እና የፋብሪካ አውቶሜሽን ስርዓቶች ያሉ መሳሪያዎች ውሂብ ለመሰብሰብ እና በራስ-ሰር ተግባራትን ለማከናወን ከበይነመረቡ ጋር የተገናኙ ናቸው። በIoT የሚሰጡት ምቾት እና ቅልጥፍና እጅግ በጣም ብዙ ቢሆኑም፣ የደህንነት ተግዳሮቶች ጉልህ ናቸው። የIoT አውታረ መረቦች ብዙውን ጊዜ ቀላል ኢላማዎች ናቸው ምክንያቱም የመሳሪያዎች ብዛት ግዙፍ፣ የተለያዩ ናቸው፣ እና ብዙዎቹ ዝቅተኛ ወጪን ከግምት ውስጥ በማስገባት የተነደፉ እና የደህንነት ገጽታዎችን ችላ ይላሉ። ይህ ጽሑፍ በIoT አውታረ መረቦች ውስጥ ያሉትን ዋና ዋና የደህንነት ተግዳሮቶች፣ መንስኤዎቻቸውን እና በግለሰብ ተጠቃሚዎች እና ድርጅቶች ላይ ያላቸውን ተጽእኖ ያብራራል።

1. በጣም ትልቅ የጥቃት ወለል

በአይኦቲ (IoT) ላይ ትልቁ ፈተና ሰፊው የጥቃት ገጽታው ነው። ከባህላዊ የአይቲ ስርዓቶች በተለየ፣ አገልጋዮችን፣ ኮምፒውተሮችን እና የኔትወርክ መሳሪያዎችን ብቻ ሊያካትት ይችላል፣ አይኦቲ በብዙ ቦታዎች ላይ የተበተኑ በሺዎች የሚቆጠሩ ትናንሽ መሳሪያዎችን ሊያካትት ይችላል። እያንዳንዱ መሳሪያ ለአጥቂዎች "የመግቢያ ነጥብ" ሊሆን ይችላል። የተገናኙ መሳሪያዎች በበዙ ቁጥር ሁሉንም በተከታታይ መከታተል የበለጠ ከባድ ይሆናል።

Misalnya, sebuah perusahaan manufaktur memasang sensor suhu dan getaran pada mesin produksi. Jika satu sensor memiliki celah keamanan dan terhubung ke jaringan internal, penyerang dapat memanfaatkannya untuk bergerak lateral menuju sistem yang lebih kritis seperti server produksi atau database.

2. ገደቦች ግብዓት Perangkat

ብዙ የአይኦቲ መሳሪያዎች በአቀነባባሪ፣ በማህደረ ትውስታ እና በሃይል ገደቦች የተገነቡ ናቸው። እነዚህ ገደቦች ዘመናዊ የደህንነት ዘዴዎችን ተግባራዊ ማድረግ አስቸጋሪ ያደርጉታል። ጠንካራ ምስጠራ፣ የተደራረበ ማረጋገጫ፣ ደህንነቱ የተጠበቀ ማስነሻ ወይም የታማኝነት ክትትል ብዙውን ጊዜ በዝቅተኛ ዋጋ ባላቸው መሳሪያዎች ላይ የማይገኙ የኮምፒዩተር ሀብቶችን ይፈልጋሉ።

በዚህም ምክንያት፣ አንዳንድ መሳሪያዎች ደካማ የመገናኛ ፕሮቶኮሎችን ይጠቀማሉ፣ የይለፍ ቃሎችን ደህንነቱ በተጠበቀ ሁኔታ ያከማቻሉ ወይም ያለ ምስጠራ ውሂብ ያስተላልፋሉ። ሻጮች ደህንነትን ለማሻሻል ቢጥሩም እንኳ መሳሪያዎች በቂ የደህንነት ዝመናዎችን ማስኬድ ላይችሉ ይችላሉ።

3. ነባሪ የይለፍ ቃል እና ደካማ ማረጋገጫ

አሁንም በተደጋጋሚ የሚከሰት ክላሲክ ችግር፡- የፋብሪካ ነባሪ የይለፍ ቃሎች አይለወጡም። ብዙ የአይፒ ካሜራዎች፣ የቤት ራውተሮች እና ሌሎች ስማርት መሳሪያዎች እንደ "admin/admin" ወይም ቀላል ጥምረት ባሉ ምስክርነቶች ይላካሉ። አጥቂዎች ነባሪ ምስክርነቶችን የሚጠቀሙ መሳሪያዎችን ለማግኘት በኢንተርኔት ላይ የጅምላ ቅኝቶችን ማድረግ ይችላሉ።

በተጨማሪም፣ አንዳንድ መሳሪያዎች እንደ ውስብስብ የይለፍ ቃሎችን ድጋፍ አለማግኘት፣ የፍጥነት ገደብ ወይም በሰርተፊኬት ላይ የተመሠረተ ማረጋገጫ ያሉ ጠንካራ የማረጋገጫ ዘዴዎችን እንኳን አያቀርቡም። ይህ የጭካኔ ኃይል ጥቃቶችን እና የመሣሪያ ቁጥጥርን የመክፈት እድልን ይከፍታል።

4. አነስተኛ የጽኑ ትዕዛዝ ዝማኔዎች እና የአቅራቢ ክፍፍል

የአይኦቲ መሣሪያ የህይወት ዑደቶች ብዙውን ጊዜ ረጅም ናቸው፣ ነገር ግን የአቅራቢ ዝማኔ ድጋፍ ሁልጊዜ ወጥነት የለውም። ብዙ መሣሪያዎች መደበኛ የደህንነት ጥገናዎችን አያገኙም፣ ወይም የዝማኔ ሂደቱ ለተጠቃሚዎች ውስብስብ ነው። በተጨማሪም፣ የአይኦቲ ሥነ-ምህዳር በጣም የተከፋፈለ ነው፡ በመቶዎች የሚቆጠሩ ሻጮች፣ የተለያዩ ቺፕስቶች፣ የተለያዩ ኦፕሬቲንግ ሲስተሞች እና የተለያዩ ፕሮቶኮሎች። ይህ መበታተን የደህንነት ደረጃውን የጠበቀ እና የዝማኔ አስተዳደርን ያወሳስበዋል።

አንዳንድ መሳሪያዎች በአየር ላይ (OTA) የማዘመኛ ዘዴ የላቸውም። ተጋላጭነት ሲገኝ ብቸኛው መፍትሔ መሣሪያውን መተካት ሊሆን ይችላል። መሣሪያው በትልቅ ደረጃ (ለምሳሌ፣ ስማርት የከተማ ዳሳሾች) ላይ ከተተገበረ፣ ወጪውና ውስብስብነቱ እጅግ በጣም ከፍተኛ ይሆናል።

5. በፕሮቶኮሎች እና በመገናኛዎች ውስጥ ያሉ ተጋላጭነቶች

የአይኦቲ መሳሪያዎች እንደ MQTT፣ CoAP፣ Zigbee፣ Z-Wave፣ Bluetooth Low Energy እና Wi-Fi ያሉ የተለያዩ ፕሮቶኮሎችን በመጠቀም ይገናኛሉ። እያንዳንዱ ፕሮቶኮል በተሳሳተ መንገድ ከተዋቀረ ወይም ደህንነቱ ባልተጠበቀ ሁኔታ ከተተገበረ ሊከሰቱ የሚችሉ ተጋላጭነቶች አሉት። ለምሳሌ፡

- MQTT ያለ TLS መሄዱ የውሂብ ሰላይነትን እና የግንኙነት ክፍለ ጊዜን መቆጣጠር ያስችላል።
- ብሉቱዝ በአግባቡ ያልተዋቀረ ከሆነ ከቅርብ ርቀት ለመድረስ ጥቅም ላይ ሊውል ይችላል።
– ዚግቢ ከቁልፍ አስተዳደር እና ምስጠራ በአግባቡ ካልተተገበረ የመስማት አደጋ ጋር የተያያዙ ተግዳሮቶች አሉት።

በተጨማሪም፣ መረጃ ብዙውን ጊዜ በሕዝብ አውታረ መረቦች ወይም በደመና ላይ ይጓዛል። ከጫፍ እስከ ጫፍ ምስጠራ ከሌለ፣ እንደ አካባቢ፣ የነዋሪዎች ልማዶች ወይም የጤና መረጃ ያሉ ሚስጥራዊ መረጃዎች ሊፈሱ ይችላሉ።

6. የግላዊነት አደጋዎች እና ከልክ ያለፈ የውሂብ አሰባሰብ

አይኦቲ ስለስርዓት ደህንነት ብቻ ሳይሆን ስለ ግላዊነትም ጭምር ነው። ብዙ መሳሪያዎች የተጠቃሚ ባህሪን በተመለከተ መረጃዎችን ይሰበስባሉ፡ አንድ ሰው ቤት ውስጥ ሲሆን፣ የእንቅልፍ ቅጦች፣ የጉዞ መስመሮች እና የድምጽ ቅጂዎች እንኳን። ይህ መረጃ ለአጥቂዎች እና ክትትል ወይም ማጭበርበር ለሚፈልጉ ሌሎች ወገኖች እጅግ ጠቃሚ ነው።

ተግዳሮቱ ግልጽነት እና ቁጥጥር ነው። ተጠቃሚዎች ብዙውን ጊዜ ምን አይነት መረጃ እንደሚሰበሰብ፣ እንዴት እንደሚከማች እና ከማን ጋር እንደሚጋራ አያውቁም። ውሂብ በደመና ውስጥ ደህንነቱ በተጠበቀ ሁኔታ ቢከማችም፣ ከአገልግሎት ሰጪው የመፍሰስ አደጋ ወይም በተሳሳተ ውቅር ምክንያት አለ።

7. የ IoT Botnets እና የ DDoS ጥቃቶች

ደካማ የአይኦቲ ደህንነት ከሚያስከትላቸው በጣም የሚታዩ ተፅዕኖዎች አንዱ እንደ ታዋቂው ሚራይ ያሉ የቦትኔት መፈጠር ሲሆን እነዚህም በነባሪ የይለፍ ቃሎች የአይኦቲ መሳሪያዎችን ያጠቃሉ እና ከዚያም የተከፋፈለ የአገልግሎት ዴኒል ኦፍ ሰርቪስ (DDoS) ጥቃቶችን ለማካሄድ ይጠቀምባቸዋል። የአይኦቲ ቦትኔት በመቶ ሺዎች የሚቆጠሩ "ዞምቢ" መሳሪያዎችን ሊያካትቱ ይችላሉ፣ ያለባለቤቶቻቸው እውቀት ይሰራሉ።

ከ IoT botnets የሚመነጩ የዲዶኤስ ጥቃቶች ወሳኝ አገልግሎቶችን፣ ትላልቅ ድር ጣቢያዎችን እና የኔትወርክ መሠረተ ልማቶችን እንኳን ሊያበላሹ ይችላሉ። የ IoT መሳሪያዎች በብዙ አገሮች ውስጥ ስለሚሰራጩ እና በብዙ ሰዎች የተያዙ ስለሆኑ፣ መከታተል እና መቀነስ ውስብስብ ነው።

8. ከክሪቲካል ሲስተሞች እና ኦቲ (ኦፕሬሽናል ቴክኖሎጂ) ጋር ውህደት

በኢንዱስትሪው ዘርፍ፣ አይኦቲ ብዙውን ጊዜ ከኦቲ ሲስተሞች ጋር የተገናኘ ሲሆን እነዚህም እንደ SCADA ሲስተሞች፣ PLCs እና የፋብሪካ ቁጥጥር ኔትወርኮች ናቸው። ይህ ውህደት ቅልጥፍናን ያሻሽላል፣ ነገር ግን በአግባቡ ካልተነደፈ፣ ከአይቲ ኔትወርክ ወደ ኦቲ ኔትወርክ የጥቃት መንገዶችን ሊከፍት ይችላል። ተፅዕኖው ከውሂብ መፍሰስ በላይ ይሄዳል እና ወደ ኦፕሬሽን መስተጓጎል፣ የማሽን ብልሽቶች እና የደህንነት አደጋዎች እንኳን ሊያመራ ይችላል።

ተግዳሮቱ ብዙ የቆዩ የኦቲ ሲስተሞች ከኢንተርኔት ጋር እንዲገናኙ አልተነደፉም። ዘመናዊ የአይኦቲ መሳሪያዎች በአሮጌ አካባቢዎች ውስጥ ሲካተቱ የደህንነት አለመጣጣም፣ ደካማ የኔትወርክ ክፍፍል እና የክትትል ችግሮች ሊያስከትሉ ይችላሉ።

9. የንብረት ታይነት እና አስተዳደር እጥረት

ድርጅቶች ብዙውን ጊዜ የተጫኑ የIoT መሳሪያዎች ሙሉ ዝርዝር የላቸውም። አንዳንድ መሳሪያዎች በተወሰኑ ክፍሎች ይገዛሉ፣ በሻጮች የተጫኑ ወይም ለጊዜው ጥቅም ላይ የሚውሉ እና ከዚያም ይረሳሉ። ይህ ታይነት ከሌለ፣ የማይተዳደሩ መሳሪያዎች ተጋላጭ ይሆናሉ። ችግሩ የተባባሰው የደህንነት ቡድኑን ፈቃድ ሳያገኙ በሚገናኙ "ጥላ IoT" መሳሪያዎች ነው።

የንብረት አስተዳደር ስርዓት ከሌለ፣ እንደ ዝመናዎች፣ የምስክርነት ማሽከርከር፣ ክፍፍል እና የትራፊክ ክትትል ያሉ የደህንነት ፖሊሲዎችን ተግባራዊ ማድረግ አስቸጋሪ ነው።

10. የሰው ምክንያቶች እና የተሳሳተ ውቅር

ብዙ የደህንነት ክስተቶች የሚከሰቱት ውስብስብ የቴክኒክ ተጋላጭነቶች ስላሉ ሳይሆን በተሳሳተ ውቅር ምክንያት ነው። የቤት ተጠቃሚዎች ካሜራዎችን ያለ ጥበቃ ወደ በይነመረብ ሊከፍቱ ይችላሉ። የድርጅታዊ አስተዳዳሪዎች አላስፈላጊ ወደቦችን ሊያነቁ፣ ጊዜያቸው ያለፈባቸው የምስክር ወረቀቶችን ሊጠቀሙ ወይም ደህንነቱ ባልተጠበቀ ቦታ ላይ የኤፒአይ ቁልፎችን ሊያከማቹ ይችላሉ። የደህንነት ትምህርት እና መደበኛ ሂደቶች ብዙውን ጊዜ ፈጣን የአይኦቲ አጠቃቀምን ወደኋላ ይመለሳሉ።

ከሲምፑላን

የአይኦቲ አውታረ መረብ ደህንነት ባለብዙ ገጽታ ፈተና ነው፡ መሳሪያዎችን፣ ኔትወርኮችን፣ ደመናዎችን፣ ፕሮቶኮሎችን፣ የውሂብ አስተዳደርን እና የተጠቃሚ ባህሪን እንኳን ያካትታል። ሰፊ የጥቃት ወለል፣ የተገደበ የመሣሪያ አቅርቦት፣ ደካማ ማረጋገጫ፣ የተገደቡ ዝመናዎች እና የአቅራቢዎች መከፋፈል አይኦቲ ለብዝበዛ ተጋላጭ ያደርገዋል። ውጤቶቹ ከውሂብ ስርቆት፣ የአገልግሎት መስተጓጎል እና በኢንዱስትሪው ዘርፍ ውስጥ ለደህንነት ስጋት እንኳን ሊሆኑ ይችላሉ።

እነዚህን ተግዳሮቶች ለመፍታት የአይኦቲ የደህንነት አቀራረብ ሁሉን አቀፍ መሆን አለበት፡- ከአስተማማኝ የመሣሪያ ዲዛይን እና ቀላል የጽኑዌር ዝመናዎች፣ ጠንካራ ምስጠራ፣ የአውታረ መረብ ክፍፍል፣ ቀጣይነት ያለው ክትትል እና የተጠቃሚ ትምህርት። በትክክለኛው ስትራቴጂ፣ አይኦቲ ደህንነትን እና ግላዊነትን ሳይጎዳ ጉልህ ጥቅሞችን ማቅረቡን መቀጠል ይችላል።

ከፈለጉ፣ እንደ አውዱ፡ ስማርት ቤት፣ ቢሮ ወይም ኢንዱስትሪ የበለጠ ቴክኒካዊ “የመቀነስ ስልቶች” ንዑስ ክፍል (ለምሳሌ፡ ለIoT የዜሮ ትረስት ትግበራ፣ የመሣሪያ የምስክር ወረቀቶች፣ የNAC እና የVLAN ክፍፍል ምርጥ ልምዶች) ማከል እችላለሁ።