IoT как угроза корпоративной безопасности | Блог Касперского

[KL FC Bot]

На RSA Conference 2021 специалисты по безопасности Итцик Фигелевич (Itzik Feiglevitch) и Джастин Шоудер (Justin Sowder) в своем докладе Into the Mind of an IoT Hacker подняли вопрос уязвимости разнообразных IoT-устройств и необходимости особого отношения к ним со стороны служб кибербезопасности. В частности, они подобрали несколько ярких примеров, демонстрирующих состояние IoT-безопасности в современных компаниях.

Мало кто из безопасников вообще ведет учет используемых компанией IoT-устройств. Умные лифты, всевозможные датчики, IP-телевизоры, принтеры, камеры наблюдения — практически всегда это разрозненная коллекция каких-то нестандартных устройств, каждое из которых работает на своей операционной системе, поддерживает какие-то проприетарные протоколы, зачастую вообще не имеет нормального интерфейса управления и так далее. И таких устройств в компании могут быть тысячи.

Почему IoT-устройства вносят дополнительные риски для кибербезопасности

Одна из причин, по которым IoT-устройства представляют собой повышенную угрозу для безопасности корпоративной сети, кроется в том, что далеко не всегда они воспринимаются как часть соответствующей инфраструктуры. Если какой-нибудь условный сетевой принтер обычно все же признается сетевым устройством, то части «умного здания» или даже система IP-телефонии зачастую уже воспринимаются как некие отдельные структуры. А между тем они нередко оказываются подключенными к той же сети, что и корпоративные рабочие станции.

Иначе говоря, зачастую «умные» устройства в ментальной модели специалистов по информационной безопасности просто не входят в категорию «компьютеры», а пребывают скорее где-то рядом с водопроводом и офисной мебелью.

Еще больше может осложнить ситуацию текучка кадров. Чем чаще в компании меняются безопасники и айтишники, тем больше шансов, что новый человек вообще не будет знать, что за зоопарк IoT-устройств подключен к сети.

Что самое неприятное — иногда подобные устройства доступны извне. Такую возможность могут оставить в разных целях: чтобы вендоры могли контролировать состояние устройства; чтобы его могли использовать люди, работающие на удаленке; чтобы сервисная компания могла заняться обслуживанием устройства до того, как оно начнет причинять неудобства. То есть получается, что устройства, с одной стороны, подключены к корпоративной сети, а с другой — торчат в Интернете. Что может пойти не так?

Как это ни парадоксально это звучит, но еще один фактор риска — высокая конструктивная надежность электроники: если устройство пусть уже и старенькое, но до сих пор выполняет свои функции и не ломается, то менять его вроде как и смысла нет. В результате в современных организациях встречаются древние IoT-девайсы, в которых нет даже базовых функций безопасности — в те времена, когда их разрабатывали и внедряли, о таких вещах просто никто не задумывался.

Эти устройства, к примеру, работают на древних уязвимых операционных системах, которые уже не обновляются. А если и обновляются, то для этого необходим физический доступ (что не всегда просто в случае, например, систем умного здания). Также в них могут быть несменяемые пароли, установленные производителям, какие-нибудь отладочные бэкдоры, по забывчивости оставленные в финальной прошивке, и много всяких других сюрпризов, которые могут сделать жизнь специалиста по ИТ-безопасности крайне увлекательной.

 

View the full article