Безпека Інтернету речей: чому це важливо, чому має бути набагато кращим

Промисловий Інтернет речей (IIoT) бачить роботу мереж підключених промислових пристроїв разом збирати та аналізувати дані, щоб допомогти отримати нові знання та оптимізувати бізнес процеси. Він може варіюватися від найменших датчиків до великого промислового обладнання.

При правильному застосуванні це може допомогти створити розумніші та ефективніші робочі середовища для виробничих підприємств, постачальників комунальних послуг, електростанцій тощо. Прогнозне обслуговування сам по собі може допомогти заощадити величезні суми на вихідних витратах, а також сприяти безперебійній роботі критичної інфраструктури.

Однак, як і в будь-якій мережі IoT, якщо безпека цього середовища IIoT реалізована погано, це може мати різкий вплив на кібербезпеку всієї організації, потенційно надаючи кібер-зловмисникам нові шляхи для злому в серце промислових систем із згубними наслідками, що виходять далеко за рамки крадіжки даних.

«Історично ці пристрої знаходилися на острові. Ніхто про них особливо не думав, теоретично вони були закриті й ні до чого не підключалися», — каже Ейтан Гольдштейн, старший директор зі стратегічних ініціатив компанії Tenable з кібербезпеки.

У мережі IIoT можливо, що те, що раніше було окремою мережею для операційних технологій, відповідає за моніторинг і керування фізичними пристроями, такими як насоси та клапани, можна об’єднати з рештою інформації технологічна мережа. Хоча це може мати переваги, ризик полягає в тому, що критичне програмне забезпечення, яке колись працювало у власному захищеному середовищі, тепер підключено до ширшої мережі, створюючи легшу мішень для хакерів.

Потенційний ефект кібератаки IIoT не лише теоретичний: хакери вже розгорнули зловмисне програмне забезпечення, щоб промислових мереж, використовуючи підключені до Інтернету датчики та отримуючи доступ до кіберфізичних мереж, як продемонстровано атакою Trisis.

У результаті інциденту хакери зупинили промислові операції на Близькому Сході націлювання та маніпулювання Система безпеки Triconex від Schneider Electric.

ПОБАЧИТИ: Підприємство з датчиками: IoT, ML і великі дані (спеціальний звіт ZDNet) | Завантажте звіт у форматі PDF (TechRepublic)

Це далеко не єдиний приклад зламу промислових систем зловмисниками: хакери робили це раніше відключення електроенергії в регіоні України і офіційні особи США попереджали про це Російським хакерам вдалося проникнути на кілька станцій електропостачання та енергетики і кімнати керування віддаленим доступом кількох постачальників.

Більше з’єднань, більше ризику

Ці уроки про ризики нових технологій були засвоєні раніше. Ще в 1990-х роках кібербезпеці не приділяли багато уваги, оскільки організації просто не усвідомлювали потенціал загрози, пов’язані з підключенням комп’ютерів до Інтернету: промислові організації повинні йти тим же шляхом, і першим крок є усвідомлення підключених пристроїв створює додаткові кіберризики.

«Коли ми вперше почали підключати багато ІТ-компонентів, ми насправді не думали про наслідки цього для безпеки. За останні кілька десятиліть ми отримали освіту, ми почали розробляти стандарти, найкращі практики та багато інфраструктури та політики в межах галузь, щоб допомогти впоратися з цим", - каже Сенді Каріеллі, директор із технологій безпеки компанії Entrust Datacard, постачальника рішень ідентифікації та безпеки.

«Тепер ви дивитеся на промислові програми, і люди, які керують цими системами, повинні пройти через той самий процес. Насправді це не дивно, тому що це не те, з чим їм доводилося мати справу раніше», – додає вона.

Якщо неправильно встановлено в мережі, пристрої IIoT може створити додаткові вразливості. Вони не лише створюють новий вектор атаки, який потенційно може бути скомпрометований, але й у багатьох випадках Продукти IoT постачаються з низьким рівнем безпеки Дослідники з питань безпеки часто виявляють вразливі місця в пристроях, які мають величезну кількість користувачів по всьому світу. ІІоТ все ще є сферою, що розвивається, а це означає відсутність стандартів і купу технологічних компаній, які прагнуть швидко вивести продукти на ринок – обставини, коли безпека часто відходить на другий план.

Навіть якщо випускаються патчі для уразливостей системи безпеки, багато з них потребують оновлення вручну, що означає, що в деяких випадках пристрої не отримають необхідного додаткового програмного забезпечення.

Це золото для зловмисника, тому що вразливість також буде звернута до їхньої уваги, і вони використають інструменти пошуку, такі як Shodan щоб ідентифікувати ці пристрої, які використовуються в усьому світі, в надії, що вони все ще відкриті для атак.

Якщо продукти IIoT не отримали оновлення або все ще оснащені стандартні паролі та облікові дані для входу, вони надають зловмисникам легкий бекдор у мережі, які вже відомі як прибуткові цілі, коли йдеться про конфіденційні дані.

«Здебільшого мислення хакера, [коли] намагається проникнути в ці промислові пристрої IoT, намагається знайти слабку ланку – це легкий, низько звисаючий фрукт, який кусає вас за дупу», – каже Дестіні Бертуччі, експерт із мережевої безпеки у постачальнику ІТ-моніторингу та керування Сонячні вітри.

«У вас може бути найскладніша система у світі, але якщо ви забудете пароль за замовчуванням або маєте відкритий бекдор із відомою вразливістю, люди будуть шукати її», — додає вона.

Деякі з цих основ безпеки, як-от зміна облікових даних за умовчанням і застосування патчів у міру їх випуску може значно допомогти захистити пристрої IIoT, дані, якими обмінюються в цих мережах, і фізичні системи, якими вони керують.

Знайте свою мережу

Однак, щоб знати, коли підключені пристрої та датчики вимагають оновлення, організації повинні знати, які датчики встановлено в мережі в першу чергу. Це може становити сотні тисяч речей у великому середовищі.

Можна використовувати програмне забезпечення для перевірки мережі та отримання даних у реальному часі про те, які датчики та інші пристрої активні в середовища IIoT, але для Рейда Вайтмана, старшого дослідника вразливостей Dragos, компанії з кібербезпеки, що спеціалізується на Промислові мережі IoT, один із найкращих способів дізнатися, що там є, для тих, хто відповідає за безпеку мережі, щоб побачити це себе.

«Прогулянка з деякими інженерами навколо ваших елементів керування технологічним процесом і просто задання їм кількох запитань справді багато розкриє, коли ви скажете «де це дані надходять з?' або "як це працює?" Інженери розуміють, що у них є підключений віддалений сайт, який вони можуть захотіти дослідити», – пояснює він.

Але навіть якщо промислове підприємство має дані про всі датчики, пристрої та підключені до Інтернету кіберфізичні системи в мережі, застосування виправлень не таке просте, як для оновлень Windows та інших ПК програмне забезпечення. У багатьох випадках оновлення може знадобитися виправити вручну.

ПОБАЧИТИ: 20 професійних порад, які допоможуть Windows 10 працювати так, як вам потрібно (безкоштовний PDF)

Це велике завдання саме по собі, але ще більше, якщо врахувати, що багато з цих датчиків і пристроїв будуть частиною критичної інфраструктури для промислових середовищ. У деяких випадках може бути неможливо застосувати оновлення до пристроїв IIoT, не вимикаючи їх, і це може мати наслідки для всієї екосистеми.

«Для них час безвідмовної роботи є обов’язковим — це не схоже на ІТ-сервер, який можна відключити для виправлення. Ви вимикаєте один із цих контролерів, і ви закриваєте фабрику», – говорить Адам Айлз, керівник відділу кібербезпеки. консультаційна фірма з управління ризиками The Chertoff Group і колишній заступник голови апарату Міністерства внутрішніх справ США Безпека.

Деякі можуть вважати часткове закриття промислового сайту для застосування патчів безпеки надмірним, але Глобальна атака програм-вимагачів WannaCry продемонструвала, наскільки серйозними можуть бути невдале застосування патчів наслідки.

Сегментуйте свою мережу

Інший ризик полягає в тому, що хакери можуть проникнути в промислове середовище через інші пристрої в мережі, наприклад, використовуючи фішинговий електронний лист або розгортаючи троянське програмне забезпечення щоб закріпитися в мережі, яку спільно використовують офісні ПК і пристрої IIoT. Загалом, пристрої IIoT мають працювати в окремій мережі від інформаційних технологій, які забезпечують роботу решти організації.

«Я великий прихильник мікросегментації», — каже Вайтман, який припускає, що пристрої та датчики ІІоТ, які керують насосами, клапани, турбіни чи будь-що інше в системах SCADA має бути в повністю окремій мережі від решти ІТ інфраструктура.

«Якщо хтось дійсно потрапить у вашу мережу, він принаймні не зможе перепрограмувати щось або керувати чимось», — сказав він. Окремі мережі також можуть надати компаніям певний рівень захисту. «Між тим, як з’явиться патч, і коли ви його застосуєте, можуть пройти роки, тому можливість впровадження такого роду мікросегментації може зменшити ваш ризик», – сказав він.

Кібербезпека не є новою концепцією, але в багатьох випадках ці промислові системи ніколи раніше не були підключені до Інтернету. Ті, хто відповідає за оперативні технології, починають з того місця, де інформаційні технології були понад двадцять років тому.

На щастя, індустріальний Інтернет речей ще досить ранній у своїй еволюції, щоб організації могли його взяти дошка, що потрібно зробити, і це на щастя, тому що нездатність захистити IIoT може бути абсолютно руйнівною.

НЕЩАВНІ ТА ПОВ’ЯЗАНІ ПОВІДОМЛЕННЯ

Наступного разу ваш смартфон виглядатиме набагато дивніше
Великий, маленький, складний і пишний; MWC має побачити багато дивацтв, щоб спокусити виснажених покупців гаджетів. Але справжня дія в іншому місці.

Nokia хоче полегшити налаштування та запуск вашого проекту IoT
Чотири пакети IoT спрямовані на полегшення розгортання датчиків і аналітики на підприємстві.

Як IoT може змінити чотири галузі цього року
Охорона здоров’я, виробництво, автомобілебудування та державний сектор очікують значні зміни.

Новий промисловий бізнес програмного забезпечення GE для Інтернету речей: що це означає для клієнтів
З новим автономним бізнесом програмного забезпечення GE компанія дала найяскравіший сигнал, що ведення успішного бізнесу програмного забезпечення дуже відрізняється від управління промисловим конгломератом.

3 речі, які ви повинні знати про промисловий IoT (TechRepublic)
Чим відрізняється IoT від IoT? Які потенційні переваги та ризики IIoT? Отримайте відповіді на ці запитання.

Губернатор Каліфорнії підписав перший в країні закон про безпеку Інтернету речей (CNET)
Новий закон про Інтернет речей вимагає «розумних» функцій безпеки.