På trods af alle deres fordele blev IoT -enheder ikke designet med tanke på sikkerhed. Dette kan føre til store problemer.
Internet of Things (IoT) har givet mange fordele. Det har også ændret den måde, virksomheder og it -risiko styres på. I løbet af de sidste par år er der dukket rapporter op om kaprede kameraer, hacket medicinsk udstyr og kompromitterede industrielle kontrolsystemer. Problemet vil kun blive værre, da 5G bliver mainstream og integrerede IoT -enheder bliver mere almindelige.
IoT tilføjer endnu et lag af sikkerhed til eksisterende beskyttelser. Det er det, der gør det så svært. Fordi IoT potentielt berører alt inden for en virksomhed - og udadtil til partnere og forsyningskæder - involverer det firmware, operativsystemer, TCP/IP -stakke, netværksdesign, datasikkerhedsværktøjer og meget mere.
Merritt Maxim er vicepræsident og forskningsdirektør i Forrester. "Sårbarheder i dette brede økosystem er lettere at overse," siger han.
Dette er et alvorligt problem. Det kan være ekstremt svært at identificere alle IoT -enheder i et netværk. Dette er ikke slutningen.
Mange IoT -enheder blev ikke designet med sikkerhed for øje. "Mennesker, der implementerer og opsætter IoT -systemer, har ikke altid en god forståelse af sikkerheden. Tilføjelse af flere enheder fra forskellige producenter øger kompleksiteten," siger Joe Nocera, leder af Cyber and Privacy Innovation Institute hos PwC.
Ude af kontrol
Hver diskussion om IoT -sikkerhed begynder med en simpel kendsgerning: Internet of Things er fundamentalt anderledes end konventionel IT med hensyn til sikkerhed. Mange IoT -enheder har ikke en brugergrænseflade, så angreb udføres ofte direkte på enheden eller via enheden for at få adgang til et virksomhedsnetværk. Maxim påpeger også, at angreb kan have en anden dynamik end ransomware eller andre angreb.
Han siger: "Motivationen er ofte for en større forstyrrelse."
Faktisk kan et angreb forårsage enheder, der ikke kan repareres, eller forretningsforstyrrelser, der kan være økonomisk eller politisk motiverede. For eksempel i februar brød en hacker et vandrensningsanlæg i Florida gennem et industrielt kontrolsystem og forsøgte at manipulere med vandkvaliteten. Tilbage i 2018 hackede cybertyve et gambling casino i Storbritannien gennem et internetforbundet termometer i et akvarium i lobbyen. Kasinoets kundedata blev stjålet af tyve.
Producenter opretter ofte deres egen firmware, protokoller og designstandarder. De gør ikke altid et godt stykke arbejde med at vedligeholde og lappe systemer. Mange IoT -enheder er afhængige af ældre versioner af Windows og Linux. IoT bringer mere hovedpine på bordet: Industrielle kontrolsystemer og maskiner, der ikke var beregnet til at blive forbundet til verden, er nu en del.
Beskyt dig selv
Bemærkelsesværdigt sagde 74% af de virksomheder, der blev undersøgt af Ponemon Institute i juni sidste år, at deres IoT -risikostyringsprogrammer ikke kunne følge med de risici, der er forbundet med den allestedsnærværende brug af IoT -enheder.
PwC's Nocera siger, at kendskab til IoT -enhederne, der kører på netværket, og hvilke data de har, er det første skridt i opbygningen af stærk beskyttelse.
Han siger: "Mange virksomheder ved det ikke."
Dette bliver vanskeligere ved, at nogle producenter bruger uklare navne eller koder, der ikke klart identificerer deres enheder. Nocera foreslår, at du tildeler ansvar til en gruppe og foretager en opgørelse for at identificere potentielle fejlpunkter og risici. Nogle gange har en organisation muligvis brug for specialiseret asset management eller opdagelsesløsning.
Det er afgørende at etablere synlighed og kontrol over hele IoT -landskabet.
Nocera siger: "En organisation skal være i stand til at tænde og slukke forskellige enheder og konfigurere dem i overensstemmelse hermed."
Det er muligt med de rigtige værktøjer at sikre, at kun nødvendige tjenester kører på en enhed, og at alle andre enheder er slukket. Et andet problem, at konfigurationsadministrationsadresser sikrer, at enheder ikke bruger standardadgangskoder eller fabriksindstillinger.
Ulf Mattsson (chefsikkerhedsstrateg hos Protegrity) siger, at adgangskoder bør ændres regelmæssigt. Han anbefaler at bruge tokens, dataanonymisering og multifaktor -godkendelse (MFA) samt biometrisk godkendelse. Datakryptering i bevægelse og i ro, næste generations firewalls og indbrudsforebyggende systemer (IPS) er alle nødvendige. Han siger, at det er afgørende at holde disse systemer opdaterede og patched.
Nocera bemærker også, at netværkssegmentering er et andet nyttigt værktøj. Det er vigtigt at isolere nøglesystemer som f.eks. Industriel kontrol, virksomhedsprogrammer og andre kritiske oplysninger, så hackere ikke kan hacke sig ind i netværk via IoT -enheder.
Han siger for eksempel, at "hvis du er et rederi og logistikfirma, behøver IoT -enheder, der bruges til at styre din flåde, ikke at skulle tale med IoT -enhed og andre systemer, der bruges på et lager," På denne måde, hvis nogen enheder er kompromitteret, mister du kun ét lager og ikke alle dine lagre.
Det er sikkert at spille IT
Der er mange andre strategier, der kan bruges til at opbygge en mere modstandsdygtig IoT -infrastruktur. Disse strategier omfatter låsning af skyoplysninger, der derefter kan bruges til at omkonfigurere enheder. Deaktivering af funktioner, der ikke bliver brugt. Regelmæssig revision af IoT -infrastruktur og pensionering af unødvendige enheder. Holder malware-beskyttelsen opdateret og udskifter mindre sikre enheder. Du bør også være opmærksom på, hvordan 5G påvirker en IoT -ramme.
Maxim siger, at det også er klogt at kigge efter nyere IoT -enheder, der bruger sikker silicium og RoT -teknologi (root of trust). Dette reducerer sandsynligheden for, at BIOS- eller operativsystem-niveau kan ændres. Et andet område, der er værd at observere, er den stigende brug af stik, applikationsprogrammeringsgrænseflader (API'er), der udvider og undertiden dækker datakilder og -enheder.
Vil du ansætte vores dedikerede udviklere? Få et gratis skøn
En holistisk tilgang, der bruger en række værktøjer og strategier til at sikre enheder og data, er det bedste forsvar. Maxim siger, at enhver IoT -enhed eller -system skal gennemgå den samme grundige gennemgang som virksomhedsprogrammer og bør være underlagt strenge sikkerhedsstandarder, efter at det er blevet implementeret.
Han tilføjer, at IoT udgør nye og nogle gange mere alvorlige risici, som kan forstyrre virksomheder eller forårsage død.