Информационная безопасность интернета вещей
Интернет вещей (IoT — internet of things) — относительно новая технология, которая объединяет множество «умных» устройств в сеть, позволяющую им собирать, анализировать, обрабатывать и передавать друг другу данные. Эта отрасль стремительно развивается, однако на пути ее развития встречаются трудности, характерные для передовых разработок. На данный момент главной проблемой IoT является его уязвимость к кибератакам. С увеличением количества подключенных «умных» устройств, растут риски несанкционированного доступа в IoT-систему.
В настоящее время многие IT-компании занимаются поиском решений, ускоряющих полноценное внедрение технологии и обеспечивающих максимальную защиту от злоумышленников.
В настоящее время многие IT-компании занимаются поиском решений, ускоряющих полноценное внедрение технологии и обеспечивающих максимальную защиту от злоумышленников.
Проблемы и угрозы безопасности IoT
Элементы IoT-сетей способны обмениваться данными без непосредственного участия человека. Превращение устройств в самостоятельные интернет-узлы привело к значительному снижению безопасности системы. Все «умные» устройства подключенные к сети, передают через нее соответствующие их функционалу данные, которые являются мишенью для киберпреступников.
Безопасность IoT-устройств обеспечивается, прежде всего, сохранением целостности кода, проверкой подлинности пользователей и устройств, присвоением пользователям прав владения (в том числе генерируемыми данными), а также возможностью отражения виртуальных и физических атак.
В 2015 году, компанией OpenDNS было проведено глобальное исследование, в ходе которого были изучены корпоративные сети предприятий, использующих IoT. Исследователи сделали крайне неутешительный для пользователей вывод: интернет вещей небезопасен. Зачастую безопасность инфраструктуры, используемой для подключения «умных» устройств, никак не контролируется.
Независимое исследование информационной безопасности интернета вещей провела и компания HP, но уже не в бизнесе, а в сфере простых потребителей. Это исследование также выявило огромное количество уязвимостей — от использования дефолтных паролей, до применения незащищенных веб-интерфейсов, которые используются большинством гаджетов для подключения к IoT.
Дополнительно HP выяснили, что практически все современные девайсы собирают данные о своих владельцах без каких-либо разрешений и уведомлений.
Безопасность IoT-устройств обеспечивается, прежде всего, сохранением целостности кода, проверкой подлинности пользователей и устройств, присвоением пользователям прав владения (в том числе генерируемыми данными), а также возможностью отражения виртуальных и физических атак.
В 2015 году, компанией OpenDNS было проведено глобальное исследование, в ходе которого были изучены корпоративные сети предприятий, использующих IoT. Исследователи сделали крайне неутешительный для пользователей вывод: интернет вещей небезопасен. Зачастую безопасность инфраструктуры, используемой для подключения «умных» устройств, никак не контролируется.
Независимое исследование информационной безопасности интернета вещей провела и компания HP, но уже не в бизнесе, а в сфере простых потребителей. Это исследование также выявило огромное количество уязвимостей — от использования дефолтных паролей, до применения незащищенных веб-интерфейсов, которые используются большинством гаджетов для подключения к IoT.
Дополнительно HP выяснили, что практически все современные девайсы собирают данные о своих владельцах без каких-либо разрешений и уведомлений.
Слабые места IoT
Исследователи прогнозируют повышение количества киберпреступлений в сфере IoT — это связано с большим количеством слабых мест в системе. Аналитики выделяют несколько важных уязвимостей, представляющих опасность не только для компаний, но и для простых пользователей.
Быстрый рост числа подключаемых устройств
Одной из важнейших проблем информационной безопасности IoT является то, что к сети ежедневно подключается огромное количество новых устройств. По данным аналитиков из Gartner, в 2019 году число подключенных девайсов превысило 14,2 миллиардов единиц, и их количество увеличивается на миллионы ежедневно. Если допустить, что каждый новый гаджет имеет лишь одну проблему в системе безопасности, то мы получаем миллионы новых уязвимостей в общей сети каждый день.
Возможность создания крупных ботнетов
Боты позволяют злоумышленникам скрытно управлять зараженными устройствами. С появлением интернета вещей возникло больше возможностей для создания целых ботнетов, что связано с потерей автономии физическими устройствами — многие вещи перестали работать самостоятельно, они интегрируются в единую систему и не способны функционировать в отрыве от нее. А как уже упоминалось выше, процессы внутри IoT зачастую не контролируются.
Низкий уровень защищенности данных
Современные устройства собирают массивы данных о своих пользователях. Некоторым из них для работы требуется не только пароль, но и имя пользователя, его контактная информация, сведения о биографии. Такое количество информации требует надежной и качественной защиты, однако на данный момент IoT не может похвастаться защищенностью.
Также проблема усугубляется тем, что пользователи часто не изменяют установленные по умолчанию логины и пароли. Это значительно облегчает задачу злоумышленникам и ботнетам.
Также проблема усугубляется тем, что пользователи часто не изменяют установленные по умолчанию логины и пароли. Это значительно облегчает задачу злоумышленникам и ботнетам.
Инциденты
С каждым годом происходит все больше атак на умные системы. Ожидается, что в 2020 году наибольшей опасности будут подвергнуты объекты кредитной сферы, так как они дают злоумышленникам наибольшие возможности заработать, и именно в банковской сфере заметен очень высокий рост числа задействованных умных устройств. Сегодня известно уже множество инцидентов, когда хакерам удавалось получить доступ к устройствам.
Атака на университетскую сеть умных вещей
В 2017 году фирма Verizon сообщила, о мощной кибератаке, которой подвергся крупный американский университет (название учебного заведения не разглашалось). В ходе атаки злоумышленники использовали сразу 5 000 устройств на территории кампуса. Хакеры взломали все эти устройства и заставили их отправлять DNS-запросы.
Местные специалисты безопасности впервые столкнулись с атакой через умные девайсы и не могли оперативно придумать способ вернуть доступ к захваченным гаджетам. Последующая аналитика выявила, что за атакой стоит ботнет, захвативший сеть. Хакеры постепенно получали доступ к девайсам посредством перебора пароля.
Местные специалисты безопасности впервые столкнулись с атакой через умные девайсы и не могли оперативно придумать способ вернуть доступ к захваченным гаджетам. Последующая аналитика выявила, что за атакой стоит ботнет, захвативший сеть. Хакеры постепенно получали доступ к девайсам посредством перебора пароля.
Первый в истории взлом умного унитаза
К кибернетическим нападениям уязвимы самые разные устройства, даже умные унитазы, что было доказано группой специалистов компании Panasonic, работающих в области безопасности предприятия.
Специалисты доказали простоту взлома унитаза, управляемого через Bluetooth со смартфона. Хакеры смогли получить полный доступ к устройству, к примеру, они смогли в любой момент запустить спуск воды.
Специалисты доказали простоту взлома унитаза, управляемого через Bluetooth со смартфона. Хакеры смогли получить полный доступ к устройству, к примеру, они смогли в любой момент запустить спуск воды.
105 миллионов атак на IoT-устройства за полгода
Цифры дают возможность лучше оценить масштабы кибернетических атак на умные устройства. Сотрудники «Лаборатории Касперского» с начала 2019 года регистрируют хакерские атаки на умные девайсы с помощью ханипотов — спецприманок для хакеров. Им удалось зафиксировать более 105 миллионов атак на IoT-устройства, которые производились с 276 тысяч уникальных IP-адресов.
В 2018 году специалисты зарегистрировали всего 12 миллионов атак. Таким образом, злоумышленники за год существенно расширили свое влияние, и нет никаких оснований считать, что в будущем количество атак сократится.
В 2018 году специалисты зарегистрировали всего 12 миллионов атак. Таким образом, злоумышленники за год существенно расширили свое влияние, и нет никаких оснований считать, что в будущем количество атак сократится.
Сертификация IoT-устройств
Специалисты признают, что причина возникновения проблем безопасности интернета вещей заключается вовсе не в недостаточной квалификации разработчиков, а в погоне за прибылью. Для компаний важно ускорить выпуск нового устройства на рынок. Некоторые производители предпочитают пожертвовать защищенностью, ради получения преимущества перед конкурентами.
Многие компании и сегодня выпускают умные гаджеты, не вкладывая большие ресурсы денег и времени в тестирование кодов, доработку систем безопасности. По этой причине рынок растет очень быстро, технологии развиваются, но страдают пользователи.
Многие компании и сегодня выпускают умные гаджеты, не вкладывая большие ресурсы денег и времени в тестирование кодов, доработку систем безопасности. По этой причине рынок растет очень быстро, технологии развиваются, но страдают пользователи.
Заставить производителей пересмотреть свое отношение к безопасности изготавливаемых «умных» гаджетов может введение сертификации. Это не революционная идея, однако в перспективе она дает возможность уменьшить масштабы проблемы.
В идеале сертификация должна быть достаточно простой и быстрой для производителя, чтобы не стать преградой на пути прогресса, но в то же время она должна обеспечивать пользователям хорошую защиту от любых возможных атак.
В настоящее время в области сертификации умных девайсов работает несколько частных организаций, например, Online Trust Alliance (OTA), которая подготовила инициативу для решения проблемы. Так, был выпущен уникальный список критериев для разработчиков нового оборудования, соблюдение которых позволяет повысить безопасность и защитить конфиденциальные данные пользователей.
В идеале сертификация должна быть достаточно простой и быстрой для производителя, чтобы не стать преградой на пути прогресса, но в то же время она должна обеспечивать пользователям хорошую защиту от любых возможных атак.
В настоящее время в области сертификации умных девайсов работает несколько частных организаций, например, Online Trust Alliance (OTA), которая подготовила инициативу для решения проблемы. Так, был выпущен уникальный список критериев для разработчиков нового оборудования, соблюдение которых позволяет повысить безопасность и защитить конфиденциальные данные пользователей.
Сертификация подтверждает, что устройство или система обеспечивают необходимый уровень безопасности с учетом возможных рисков. Также она выступает подтверждением, что новые версии программного обеспечения для девайсов не будут приводить к потере безопасности.
Однако сертификация не может гарантировать защищенность на сто процентов, это лишь один из уровней защиты. И наличие такого документа все же оставляет вероятность получения злоумышленниками доступа к устройству.
Однако сертификация не может гарантировать защищенность на сто процентов, это лишь один из уровней защиты. И наличие такого документа все же оставляет вероятность получения злоумышленниками доступа к устройству.
Обеспечение безопасности интернета вещей
Сертификаты безопасности — это способ контролировать производителей, однако они не обеспечивают безопасность пользователей в полной мере. Для повышения надежности «умных» устройств необходимо вести работу с учетом действенных методов обеспечения безопасности интернета вещей в целом.
Безопасность устройств
Обязательным пунктом в обеспечении безопасности является защита девайсов, которая во многом заключается в защите целостности кода. Необходима гарантия безопасности запуска кода — криптографическая подпись. Также требуется и специальная защита в процессе выполнения кода, позволяющая не допустить его переписывания различными хакерскими программами.
Криптографическая подпись подтверждает, что код не был взломан и перезаписан, а потому остался полностью безопасным. Реализация защиты кода может быть осуществлена на уровнях application и firmware. Чтобы вся система оставалась безопасной, важно, чтобы все подключаемые устройства могли запускать только подписанный, а значит, полностью надежный код.
Девайсам также требуется защита и на других этапах работы. На этих этапах может использоваться хостовая защита, обеспечивающая харденинг. Она дает возможность разграничивать доступ, контролировать подключения, защищать от вторжений и обеспечивать безопасность, основываясь на поведении и репутации пользователя.
Криптографическая подпись подтверждает, что код не был взломан и перезаписан, а потому остался полностью безопасным. Реализация защиты кода может быть осуществлена на уровнях application и firmware. Чтобы вся система оставалась безопасной, важно, чтобы все подключаемые устройства могли запускать только подписанный, а значит, полностью надежный код.
Девайсам также требуется защита и на других этапах работы. На этих этапах может использоваться хостовая защита, обеспечивающая харденинг. Она дает возможность разграничивать доступ, контролировать подключения, защищать от вторжений и обеспечивать безопасность, основываясь на поведении и репутации пользователя.
Контроль устройств
К сожалению, даже использование качественной защиты не может на сто процентов гарантировать отсутствие уязвимостей: устройства требуется постоянно патчить, что занимает определенное время. Это приводит к реконструированию кода, вследствие чего злоумышленники получают возможность находить новые проблемы в нем.
Именно поэтому необходимо постоянно контролировать гаджеты и управлять ими удаленно, чтобы пользователь всегда использовал только защищенное и безопасное оборудование.
Именно поэтому необходимо постоянно контролировать гаджеты и управлять ими удаленно, чтобы пользователь всегда использовал только защищенное и безопасное оборудование.
Контроль взаимодействий в сети
Любые предпринятые меры по защите рано или поздно теряют свою актуальность и надежность, поэтому необходимо постоянно анализировать безопасность всей системы IoT и отдельных устройств в ее составе. Системы аналитики должны лучше понимать сеть в целом, видеть ее особенности, замечать подозрительные и опасные аномалии.
Блокчейн-технология
Безопасность Интернета вещей стала одной из первых сфер использования блокчейн-технологии. Эта технология позволяет сохранять протоколы обмена и результаты взаимодействия устройств IoT в децентрализованной системе. Распределенная архитектура блокчейна обеспечивает более высокую безопасность IoT-системы: даже если часть устройств будет подвержена взлому, это не скажется на работе системы в целом. Распределенная модель системы позволяет избавиться от взломанного устройства без ощутимого ущерба для взаимодействия между «здоровыми» объектами.
В контексте безопасности блокчейн может использоваться в сферах, где IoT развивается наиболее интенсивно. Например, это управление аутентификацией, проверка работоспособности разных сервисов, обеспечение неделимости информации и т.д. На сегодняшний день главная задача, которую поставили перед собой специалисты, — разработка на основе блокчейн-технологии распределенной базы данных и протокола обмена информацией между IoT-устройствами.
В контексте безопасности блокчейн может использоваться в сферах, где IoT развивается наиболее интенсивно. Например, это управление аутентификацией, проверка работоспособности разных сервисов, обеспечение неделимости информации и т.д. На сегодняшний день главная задача, которую поставили перед собой специалисты, — разработка на основе блокчейн-технологии распределенной базы данных и протокола обмена информацией между IoT-устройствами.
Заключение
Системы IoT бывают очень сложными и требуют комплексных мер защиты. Сегодня IoT только развивается, и, как и любая новая технология, все еще сталкивается с многочисленными проблемами и препятствиями.
Однако в быстром развитии заинтересованы как пользователи, так и крупные компании, готовые вкладывать большие деньги в развитие и исследование безопасности. Простого и универсального решения не существует, однако делая шаги в правильном направлении, реально устранить любые уязвимости. Можно с уверенностью сказать, что IoT ждет большое будущее.
Источники:
Однако в быстром развитии заинтересованы как пользователи, так и крупные компании, готовые вкладывать большие деньги в развитие и исследование безопасности. Простого и универсального решения не существует, однако делая шаги в правильном направлении, реально устранить любые уязвимости. Можно с уверенностью сказать, что IoT ждет большое будущее.
Источники:
- Эталонная архитектура безопасности интернета вещей (IoT). Часть 1
- Информационная безопасность интернета вещей (Internet of Things)
- Интернет вещей: обзор проблем безопасности
- IoT и проблемы безопасности
- GARTNER: в 2018 году расходы на IoT-безопасность вырастут на 28%
- Глобальные расходы на безопасность IoT к 2023 году вырастут вчетверо, до $6 млрд - Juniper
Задать вопрос
Заполните форму, и наши эксперты ответят вам
(если Вы наш клиент, пишите в NOC@center2m.ru )
(если Вы наш клиент, пишите в NOC@center2m.ru )