Wat de nieuwe IoT-publicatie van NIST (NISTIR 8228) betekent voor uw apparaten

Onlangs heeft het National Institute of Standards and Technology (NIST) een conceptpublicatie uitgebracht, NIST Internal Report (NISTIR) 8228, Considerations for Managing Internet of Things (IoT) Cybersecurity and Privacy Risks. Het is bedoeld als basis voor een reeks publicaties over het beheren van cyberbeveiligings- en privacyrisico's die samenhangen met IoT-apparaten.

NISTIR 8228 is gericht op zowel federale instanties als particuliere organisaties en identificeert drie ernstige beveiligingsproblemen van IoT-apparaten. NISTIR 8228 definieert ook drie doelen voor risicobeperking.

NISTIR 8228―Detaillering van beveiligingsproblemen van IoT-apparaten

IoT-apparaten interageren met de fysieke wereld op een manier die traditionele IT-apparaten niet hebben. In tegenstelling tot computers, tablets of smartphones draaien IoT-apparaten niet op Windows- of Mac OS-besturingssystemen. Toch zijn veel van deze apparaten verbonden met internet, waardoor toegangspunten tot anders beveiligde computernetwerken mogelijk zijn.

IoT-apparaten werken meestal op aangepaste, propriëtaire besturingssystemen die moeilijk of onmogelijk zijn voor IT-personeel om te controleren en te patchen, dus de enige manier om het risico te verminderen is om ze op het bedrijfsnetwerk achter VLAN-firewalls te plaatsen, om te voorkomen dat de apparaten toegang krijgen tot gevoelige delen van het netwerk. Als hackers toegang krijgen tot een IoT-apparaat op het netwerk, meestal omdat ze een kwetsbaarheid hebben gevonden in het besturingssysteem dat is ontworpen en geïnstalleerd door de fabrikant van het apparaat, kunnen ze een aanval uitvoeren op elke computer die op dat netwerk is aangesloten. Het meest voorkomende type aanval is een simpele brute force-aanval met een SSH-wachtwoord, waarbij meestal alleen standaardgegevens worden gebruikt.

Bovendien kunnen IoT-apparaten worden ingezet als botnets voor gebruik bij gedistribueerde denial-of-service (DDoS)-aanvallen. In oktober 2016 kreeg de internetdomeinservice Dyn te maken met de grootste DDoS-aanval in de geschiedenis. De aanvallers rekruteerden miljoenen onbeveiligde IoT-apparaten in een botnetleger om massaal verkeer naar Dyn-sites te leiden, waardoor het verkeer langzamer ging kruipen en uiteindelijk de sites crashte. Hackers kregen toegang tot de IoT-apparaten door kwetsbaarheden in de eigen besturingssysteemsoftware van de apparaten te misbruiken.

De risico's eindigen daar niet. Sommige IoT-apparaten kunnen wijzigingen aanbrengen in fysieke systemen zoals HVAC, liften, sprinklersystemen en andere die, indien gevorderd, fysieke schade of veiligheidsrisico's kunnen opleveren.

Op zoek naar een veilige manier om een ​​IoT-volgsysteem voor uw bedrijf te implementeren? Meld u aan voor een gratis demo van LinkLabs.

NIST IoT Framework-aanbevelingen

Om risico's op het gebied van cyberbeveiliging en privacy aan te pakken, beveelt het NIST IoT-framework acties aan die organisaties kunnen nemen gedurende de levenscyclus van IoT-apparaten. Deze omvatten:

• De risico-uitdagingen begrijpen.
• Het beleid en de processen van de organisatie aanpassen om deze uitdagingen aan te gaan.
• Implementeren van bijgewerkte risicobeperkende praktijken voor IoT-apparaten.

Volgens NIST is er veel belangstelling geweest voor het vaststellen van basislijnen voor beveiliging en privacy om risicobeperking te ondersteunen. Veel aandacht ging uit naar fabrikanten die beveiligings- en privacymogelijkheden in hun apparaten inbouwen. Hoewel dat misschien de toekomstige oplossing is, zijn er momenteel miljoenen IoT-apparaten in gebruik die deze mogelijkheden niet hebben. Het zal tijd kosten voor fabrikanten om de pre-market beveiliging en privacycapaciteit te verbeteren en in hun apparaten in te bouwen; er zullen ook extra uitdagingen zijn rond het toevoegen van deze mogelijkheden zonder IoT-apparaten te duur te maken.

Er zijn andere overwegingen beschreven in het NIST IoT-framework met betrekking tot het type en niveau van beveiliging dat nodig is voor verschillende IoT-apparaten. Voor sommigen heeft alleen het apparaat zelf bescherming nodig. Andere apparaten hebben mogelijk naast apparaatbeveiliging ook gegevensbeveiliging nodig, en sommige hebben mogelijk ook privacybescherming en apparaat- en gegevensbeveiliging nodig. Tot op heden zijn die afzonderlijke vereisten niet gedifferentieerd, waardoor organisaties moeten beslissen welke van toepassing zijn op een bepaald IoT-apparaat en gebruik.

Het NIST IoT-framework biedt een handig startpunt voor het aanpakken van de risico's die gepaard gaan met onbeveiligde IoT-apparaten, maar het is slechts de eerste stap. Er moeten nog uitdagingen komen bij het ontwerpen en bouwen van kosteneffectieve veilige apparaten en het aanpakken van de risico's van de miljoenen IoT-apparaten die al in gebruik zijn.

Twee jaar zijn verstreken sinds de Dyn-aanval de kwetsbaarheden aantoonde van veel IoT-apparaten die momenteel in gebruik zijn, en het zal waarschijnlijk nog een aantal jaar duren voordat fabrikanten van deze apparaten pre-market-oplossingen voor beveiligingsrisico's vinden. Hoe kunnen bedrijven de risico's beperken van de IoT-apparaten die ze in de tussentijd gebruiken voor het automatisch volgen en bewaken van activa en materialen?

Een eenvoudige benadering die de beveiliging van kant-en-klare IoT-apparaten aanzienlijk kan verhogen, is door simpelweg de standaardwachtwoorden te wijzigen die door fabrikanten in de apparaten zijn geprogrammeerd. Dit is een eenvoudige oplossing voor consumenten, die misschien maar een paar IoT-apparaten hebben. Maar voor bedrijven die honderden (of meer) apparaten in gebruik hebben voor het volgen en bewaken van bedrijfsmiddelen, is dit een onbevredigend apparaat vanwege de tijd en arbeid die nodig is om honderden tags te herprogrammeren.

Als uw bedrijf op zoek is naar een veilige manier om IoT-technologie te implementeren, neem dan contact op met Link Labs. Ons AirFinder-systeem isoleert IoT-apparaten op speciale netwerken die gescheiden zijn van bedrijfscomputernetwerken en maakt geen gebruik van standaard IP-protocollen, waardoor ze moeilijk te compromitteren zijn. Voor wide-area-netwerken bevat ons Symphony Link-systeem een ​​openbare-sleutelinfrastructuur (PKI), die door de NSA-normen als veilig wordt beschouwd, firmware-over-the-air om kwetsbaarheden snel en eenvoudig te patchen zonder fysieke toegang tot apparaten, realtime Advanced Encryption Standard ( AES) sleuteluitwisseling, en Bank-grade Transport Level Security (TLS) voor netwerkverkeer. Neem vandaag nog contact op met Link Labs voor veilige volgsystemen die eenvoudig te implementeren zijn en de veelvoorkomende IoT-beveiligingsrisico's vermijden die worden beschreven in NISTIR 8228.