IoT security – dlaczego inteligentne urządzenia to jedno z największych zaniedbanych ryzyk w firmach

W sali konferencyjnej wisi ekran, przy drzwiach działa panel rezerwacji, na korytarzu kamera, a w magazynie czujnik temperatury. Wszystkie te urządzenia korzystają z firmowej sieci. Dla pracowników są wyposażeniem biura. Z punktu widzenia bezpieczeństwa każde z nich jest jednak komputerem z własnym oprogramowaniem, kontami, usługami sieciowymi i dostępem do danych.

Problem pojawia się, gdy firma nie wie, ile takich urządzeń posiada, kto je skonfigurował i czy producent nadal udostępnia aktualizacje. Nie potrzeba przy tym skomplikowanego ataku. Ryzyko może tworzyć domyślne hasło, zbędny dostęp z Internetu, nieaktualne oprogramowanie albo konto w usłudze chmurowej, nad którym nikt już nie sprawuje kontroli.

Jak zabezpieczyć urządzenia IoT, skoro część z nich nie obsługuje typowego programu antywirusowego, nie trafia do systemu zarządzania stacjami i potrafi działać przez wiele lat bez wyraźnego właściciela?

IoT security – co to jest?

Internet of Things (IoT), czyli Internet rzeczy, obejmuje urządzenia fizyczne wyposażone w czujniki, oprogramowanie i możliwość komunikowania się z innymi systemami. W firmie mogą to być kamery, drukarki, panele konferencyjne, inteligentne telewizory, kontrolery dostępu, elementy automatyki budynkowej czy urządzenia monitorujące pracę maszyn.

Granica między IoT a zwykłym sprzętem sieciowym nie zawsze jest jednoznaczna. Z perspektywy administratora ważniejsze od nazwy jest to, czy urządzenie:

• łączy się z siecią lokalną lub Internetem;
• gromadzi albo przesyła dane;
• posiada panel administracyjny, aplikację lub konto chmurowe;
• wymaga aktualizacji oprogramowania;
• może wpływać na proces fizyczny, np. otworzyć drzwi, wyłączyć wentylację lub zmienić temperaturę.

IoT security oznacza ochronę samego urządzenia, jego komunikacji, przetwarzanych danych oraz systemów, z którymi jest połączone.

Skąd bierze się ryzyko inteligentnych urządzeń w sieci firmowej?

Laptop ma właściciela, wspieraną wersję systemu, aktualizacje i oprogramowanie ochronne. Z urządzeniem IoT może być inaczej. Kamerę zamawia administracja budynku, ekran kupuje dział marketingu, a czujniki instaluje zewnętrzny wykonawca. Sprzęt działa, więc po zakończeniu instalacji przestaje zwracać uwagę.

W efekcie urządzenie może nie znaleźć się w ewidencji IT. Firma nie wie wówczas, jaki ma model i wersję oprogramowania, z jakimi serwerami się komunikuje ani kiedy kończy się wsparcie producenta. Trudniej również ocenić, czy wykryta podatność dotyczy urządzeń używanych w organizacji.

Bezpieczeństwo IoT w firmie nie zależy więc wyłącznie od jakości samego produktu. Znaczenie ma także sposób jego zakupu, konfiguracji, podłączenia do sieci, monitorowania i późniejszego wycofania.

Zagrożenia, które trzeba brać pod uwagę

Zagrożenia związane z Internetem rzeczy nie ograniczają się np. do przejęcia kamery albo podglądu obrazu. Skutki zależą od funkcji urządzenia, rodzaju danych i przyznanego mu dostępu. Nieprawidłowo zabezpieczone urządzenie może umożliwić osobie nieuprawnionej zmianę konfiguracji, odczyt danych lub wyłączenie usługi. Jeżeli reguły sieciowe pozwalają mu komunikować się z innymi systemami, przejęcie urządzenia może również ułatwić próby dotarcia do kolejnych zasobów. Nie dzieje się to automatycznie, możliwość takiego ruchu zależy m.in od segmentacji, konfiguracji zapór i dostępnych usług.

Innym problemem jest poufność danych. Kamera rejestruje obraz, mikrofon dźwięk, system kontroli dostępu historię wejść, a czujnik może przekazywać informacje o sposobie działania firmy. Dane bywają przesyłane do chmury producenta, dlatego trzeba wiedzieć, dokąd trafiają, jak długo są przechowywane i kto ma do nich dostęp.

Urządzenia IoT mogą być również wykorzystywane jako element botnetu albo źródło ruchu skierowanego przeciwko innym systemom. Szczególnie niebezpieczne są urządzenia wystawione bezpośrednio do Internetu, zabezpieczone domyślnym hasłem lub działające na niewspieranym oprogramowaniu.

Bezpieczny zakup jest tańszy niż późniejsze poprawki

Ocena urządzenia IoT nie powinna kończyć się na porównaniu ceny i dostępnych funkcji. Przed zakupem trzeba ustalić, jak długo producent będzie wspierał dany model, w jaki sposób dostarcza aktualizacje oraz czy informuje klientów o wykrytych podatnościach. Istotne jest również to, czy można zmienić domyślne dane dostępowe, ograniczyć zbędne usługi, pobierać logi i korzystać z urządzenia bez stałego połączenia z chmurą producenta.

Odpowiedzi powinny dotyczyć konkretnego modelu i wersji oprogramowania. Ogólna deklaracja, że produkt jest „bezpieczny” albo „regularnie aktualizowany”, niewiele wyjaśnia. Firma powinna wiedzieć, przez jaki okres aktualizacje będą dostępne, czy ich autentyczność jest sprawdzana przed instalacją, gdzie trafiają dane oraz co stanie się z urządzeniem po zakończeniu usługi chmurowej.

Pomocnym punktem odniesienia jest NIST IR 8259A. Dokument przedstawia sześć bazowych funkcji bezpieczeństwa urządzeń IoT:

• identyfikację urządzenia, możliwość jego jednoznacznego rozpoznania w sposób logiczny i fizyczny;
• kontrolowaną konfigurację, zmianę ustawień wyłącznie przez uprawnione osoby lub systemy;
• ochronę danych, zabezpieczenie informacji przechowywanych i przesyłanych przed nieuprawnionym dostępem oraz modyfikacją;
• kontrolę dostępu do interfejsów, ograniczenie dostępu do paneli administracyjnych, usług sieciowych i innych sposobów komunikacji z urządzeniem;
• aktualizację oprogramowania, bezpieczne instalowanie poprawek, w tym możliwość sprawdzenia ich źródła i integralności;
• informowanie o stanie cyberbezpieczeństwa, udostępnianie uprawnionym osobom lub systemom informacji, które pomagają wykryć nieprawidłowe działanie, zmianę konfiguracji albo możliwe naruszenie bezpieczeństwa.

Nie jest to jednak uniwersalna lista obowiązkowych funkcji dla każdego produktu. NIST przedstawia ją jako punkt wyjścia, który należy dostosować do przeznaczenia urządzenia i ryzyka występującego w danym środowisku. Innych zabezpieczeń będzie wymagał czujnik temperatury w osobnej sieci, a innych kamera rejestrująca obraz i wysyłająca go do zewnętrznej chmury. Jeżeli urządzenie nie obsługuje potrzebnej funkcji, firma powinna jeszcze przed zakupem ustalić, czy brak można bezpiecznie zrekompensować, np. przez segmentację sieci, ograniczenie komunikacji na zaporze albo dodatkowy monitoring. Jeżeli nie jest to możliwe, tańszy produkt może po wdrożeniu okazać się najdroższym wyborem.