Безбедносни изазови у IoT мрежама
Интернет ствари (IoT) је трансформисао начин на који људи интерагују са технологијом. Уређаји као што су паметна светла, CCTV камере, индустријски сензори, паметна бројила електричне енергије, носиви здравствени уређаји, па чак и системи за аутоматизацију фабрика повезани су на интернет како би прикупљали податке и аутоматски обављали функције. Иако су погодност и ефикасност које нуди IoT огромне, безбедносни изазови су значајни. IoT мреже су често лаке мете јер је број уређаја огроман, хетероген, а многи су дизајнирани имајући у виду ниску цену, занемарујући безбедносне аспекте. Овај чланак разматра главне безбедносне изазове у IoT мрежама, њихове узроке и њихов утицај на појединачне кориснике и организације.
1. Веома велика површина напада
Највећи изазов са Интернетом ствари (IoT) је његова огромна површина за нападе. За разлику од традиционалних ИТ система, који се могу састојати само од сервера, рачунара и мрежних уређаја, IoT може обухватити хиљаде до милионе малих уређаја распоређених на више локација. Сваки уређај постаје потенцијална „тачка уласка“ за нападаче. Што је више повезаних уређаја, то је теже доследно их све пратити.
На пример, производна компанија инсталира сензоре температуре и вибрација на производне машине. Ако један сензор има безбедносну рањивост и повезан је са интерном мрежом, нападач би могао да га искористи да се помери ка критичнијим системима попут производних сервера или база података.
2. Ограничења ресурса уређаја
Многи IoT уређаји су направљени са ограничењима процесора, меморије и напајања. Ова ограничења отежавају имплементацију модерних безбедносних механизама. Јака енкрипција, слојевита аутентификација, безбедно покретање или праћење интегритета често захтевају рачунарске ресурсе који нису доступни на јефтиним уређајима.
Као резултат тога, неки уређаји користе слабе комуникационе протоколе, небезбедно чувају лозинке или преносе податке без шифровања. Чак и када произвођачи настоје да побољшају безбедност, уређаји можда неће моћи да покрећу адекватна безбедносна ажурирања.
3. Подразумевана лозинка и слаба аутентификација
Класичан проблем који се и даље често јавља: фабрички подразумеване лозинке се не мењају. Многе IP камере, кућни рутери и други паметни уређаји се испоручују са акредитивима попут „admin/admin“ или једноставном комбинацијом. Нападачи могу да изврше масовно скенирање широм интернета како би пронашли уређаје који и даље користе подразумеване акредитиве.
Штавише, неки уређаји чак ни не пружају јаке механизме аутентификације, као што је недостатак подршке за сложене лозинке, ограничавање брзине или аутентификацију засновану на сертификатима. Ово отвара могућност напада грубом силом и преузимања уређаја.
4. Минимална ажурирања фирмвера и фрагментација добављача
Животни циклуси IoT уређаја су често дуги, али подршка произвођача за ажурирања није увек доследна. Многи уређаји не добијају редовне безбедносне закрпе или је процес ажурирања компликован за кориснике. Штавише, IoT екосистем је веома фрагментиран: стотине произвођача, разноврсни чипсети, различити оперативни системи и различити протоколи. Ова фрагментација компликује стандардизацију безбедности и управљање ажурирањима.
Неки уређаји уопште немају механизам за ажурирање путем интернета (OTA). Када се открије рањивост, једино решење може бити замена уређаја. Ако се уређај користи у великим размерама (нпр. сензори паметних градова), трошкови и сложеност постају претерано високи.
5. Рањивости у протоколима и комуникацијама
IoT уређаји комуницирају користећи разне протоколе, као што су MQTT, CoAP, Zigbee, Z-Wave, Bluetooth Low Energy и Wi-Fi. Сваки протокол има потенцијалне рањивости ако је погрешно конфигурисан или имплементиран на небезбедан начин. На пример:
– MQTT који ради без TLS-а омогућава прислушкивање података и преузимање комуникационе сесије.
– Неправилно конфигурисан Bluetooth може се искористити за неовлашћени приступ из непосредне близине.
– Zigbee има изазове везане за управљање кључевима и ризик од прислушкивања ако се енкрипција не имплементира правилно.
Поред тога, подаци често путују преко јавних мрежа или облака. Без енкрипције од почетка до краја, осетљиви подаци као што су локација, навике станара или здравствени подаци могу процурети.
6. Ризици по приватност и прекомерно прикупљање података
Интернет ствари се не тиче само безбедности система, већ и приватности. Многи уређаји прикупљају податке о понашању корисника: када је неко код куће, обрасци спавања, руте путовања, па чак и гласовне снимке. Ови подаци су непроцењиви за нападаче и друге стране које желе да прате или манипулишу.
Изазов је транспарентност и контрола. Корисници често не знају који се подаци прикупљају, како се чувају и са ким се деле. Чак и ако су подаци безбедно сачувани у облаку, и даље постоји ризик од цурења од стране добављача услуга или због погрешне конфигурације.
7. IoT ботнети и DDoS напади
Један од највидљивијих утицаја слабе безбедности IoT-а је појава ботнета, као што је озлоглашени Mirai, који напада IoT уређаје са подразумеваним лозинкама, а затим их користи за спровођење дистрибуираних напада ускраћивања услуге (DDoS). IoT ботнети могу се састојати од стотина хиљада „зомби“ уређаја, који раде без знања својих власника.
DDoS напади из IoT ботнета могу да осакате критичне сервисе, велике веб странице, па чак и мрежну инфраструктуру. Пошто су IoT уређаји дистрибуирани у више земаља и у власништву многих људи, њихово праћење и ублажавање је сложено.
8. Интеграција са критичним системима и ОТ (оперативна технологија)
У индустријском сектору, Интернет ствари (IoT) је често повезан са OT системима, као што су SCADA системи, PLC-ови и фабричке управљачке мреже. Ова интеграција побољшава ефикасност, али ако није правилно дизајнирана, може отворити путеве напада са IT мреже на OT мрежу. Утицај иде даље од цурења података и може довести до оперативних прекида, кварова машина, па чак и безбедносних ризика.
Изазов је у томе што многи застарели OT системи нису били дизајнирани за повезивање на интернет. Када су модерни IoT уређаји уграђени у застарела окружења, то може довести до безбедносних некомпатибилности, слабе сегментације мреже и потешкоћа у праћењу.
9. Недостатак видљивости и управљања имовином
Организацијама често недостаје комплетан инвентар инсталираних IoT уређаја. Неке уређаје купују одређене јединице, инсталирају их добављачи или се користе привремено, а затим заборављају. Без ове видљивости, неуправљани уређаји постају рањивост. Изазов је отежан „сенковним IoT“ уређајима који се повезују без одобрења безбедносног тима.
Без система за управљање имовином, тешко је имплементирати безбедносне политике као што су ажурирања, ротација акредитива, сегментација и праћење саобраћаја.
10. Људски фактори и нетачна конфигурација
Многи безбедносни инциденти се не дешавају због сложених техничких рањивости, већ због погрешних конфигурација. Кућни корисници могу отворити камере на интернету без заштите. Администратори организација могу омогућити непотребне портове, користити истекле сертификате или чувати API кључеве на необезбеђеним локацијама. Безбедносно образовање и стандардне процедуре често заостају за брзим усвајањем IoT-а.
Закључак
Безбедност IoT мреже је вишедимензионални изазов: обухвата уређаје, мреже, облаке, протоколе, управљање подацима, па чак и понашање корисника. Широка површина напада, ограничена доступност уређаја, слаба аутентификација, ограничена ажурирања и фрагментација добављача чине IoT рањивим на експлоатацију. Утицаји могу да се крећу од крађе података, прекида услуга, па чак и претњи по безбедност у индустријском сектору.
Да би се решили ови изазови, приступ безбедности Интернета ствари мора бити свеобухватан: од безбедног дизајна уређаја и једноставних ажурирања фирмвера, јаке енкрипције, сегментације мреже, континуираног праћења и едукације корисника. Уз праву стратегију, Интернет ствари може наставити да пружа значајне предности без угрожавања безбедности и приватности.
Ако желите, могу додати и техничкији пододељак „стратегије ублажавања“ (нпр. имплементација нултог поверења за IoT, сертификати уређаја, NAC и најбоље праксе сегментације VLAN-а) у зависности од контекста: паметна кућа, канцеларија или индустрија.
