IoT compenseert 5G-backbone-beveiligingsproblemen

Naarmate het IoT verschuift naar het gebruik van een groeiende 5G-infrastructuur, slecht beveiligd IoT apparaten vormen een toenemende bedreiging voor de 5G-netwerkbeveiliging.

Verbondenheid en gemak zijn twee dingen die velen nu als essentieel beschouwen in het dagelijks leven. Hoewel een groot deel van de wereld het gemak van het Internet of Things (IoT) verwacht, besteden ze over het algemeen weinig aandacht aan de veiligheid van de transmissienetwerken die ten grondslag liggen aan het IoT. Maar met 13,8 miljard actieve IoT-apparaatverbindingen dit jaar en exponentieel meer die in de nabije toekomst worden verwacht, is IoT-netwerkbeveiliging van het allergrootste belang.

Met naar verwachting meer dan 25 miljard IoT-apparaten in 2025 zouden bedrijven er verstandig aan doen om het principe van de minste privileges toe te passen op hun IT-personeel. (Bron:freepik)

Volgens de GSM Association (GSMA), een organisatie die mobiele netwerkoperators wereldwijd vertegenwoordigt, slagen fabrikanten van IoT-apparaten er nog steeds niet in om adequaat te ontwerpen en te bouwen met veiligheid in het achterhoofd.

Erger nog, GSMA suggereert dat de meeste apparaatfabrikanten onvoldoende weten hoe ze hun apparaten moeten beveiligen. Onbeveiligde apparaten bieden hackers gemakkelijke toegang tot telecommunicatienetwerken, wat aanzienlijke risico's voor cyberaanvallen met zich meebrengt. En terwijl het IoT verschuift naar het gebruik van 5G naarmate dat netwerk zich uitbreidt, bedreigen onveilige apparaten de veiligheid van het 5G-netwerk.

Gebrek aan beveiliging aan de randen van het internet der dingen legt aanzienlijke beveiligingslasten op voor aanbieders van communicatiediensten (CSP), waaronder aanbieders van telecommunicatienetwerken, kabeldiensten en aanbieders van cloudcommunicatie. Naarmate meer en meer spelers buiten de traditionele telco's deelnemen aan het IoT en zich bezighouden met IoT-apparaten via het 5G-netwerk, wordt het aanvalsoppervlak aanzienlijk groter. CSP's moeten dus aanvullende maatregelen nemen om de beveiliging van hun systemen te waarborgen.

Evoluerende beveiligingsproblemen voor CSP's

In haar jaarlijkse evaluatie van het beveiligingslandschap identificeerde GSMA acht primaire bedreigings- en kwetsbaarheidsgebieden voor de mobiele communicatie-industrie:

• Apparaat en IoT
• Cloudbeveiliging
• 5G beveiligen
• Signalering en verbinding
• Toeleveringsketen
• Software en virtualisatie
• Cyber- en operationele beveiliging
• Tekort aan beveiligingsvaardigheden

De beveiliging van apparaten en IoT is een voortdurende zorg voor GSMA, vooral omdat het aantal verbonden apparaten de wereldbevolking nog steeds ver overtreft, met naar verwachting 25 miljard verbonden IoT-apparaten in 2025. De complexiteit van de technologie-stacks voor apparaten neemt vervolgens toe.

GSMA identificeert de verbindingen tussen bedrijfsnetwerken en telecomnetwerken als een belangrijke potentiële aanvalsvector, vooral omdat bedrijven profiteren van de uitrol van 5G. Professionals uit de industrie en academici onderzoeken al enkele jaren de beveiligingsrisico's van 5G, net als de Amerikaanse overheid. Maar er blijven zorgen over de uitbreiding van het aanvalsoppervlak naarmate 5G vaker voorkomt. GSMA suggereert een reeks beveiligingsprotocollen die 5G CSP's zouden moeten implementeren.

Een van de aanbevolen maatregelen voor het beveiligen van CSP's is geprivilegieerd toegangsbeheer. Een goed geïmplementeerde PAM verkleint het aanvalsoppervlak door het aantal privileges en permissies te beperken die hackers kunnen proberen te misbruiken. En PAM zal een minimale impact hebben op CSP-activiteiten omdat het de bedoeling is om machtigingen en rechten te verwijderen die niet nodig zijn voor mensen en processen om hun werk te doen.

PAM versus IAM

Veel lezers zijn misschien bekend met IAM (identiteits- en toegangsbeheer), maar minder met PAM. En hoewel ze gemeenschappelijke doelen hebben, verschillen ze qua reikwijdte en toepassing.

Overweeg een piramide waar een beperkt aantal administratieve gebruikers aan de top zitten en algemene gebruikers de basis vormen. In zijn verschillende iteraties bestrijkt IAM de hele piramide. Veel IAM-applicaties richten zich echter op de machtigingen voor de gebruikers aan de basis, degenen die vaak toegang hebben tot het systeem maar weinig of geen beheerdersrechten hebben. Aan de andere kant richt PAM zich op de top, dat wil zeggen op degenen die vanwege hun organisatorische rol de meest wenselijke doelen maken.

Merk op dat wanneer we hier naar gebruikers verwijzen, dit niet hetzelfde is als mensen zeggen. IAM- en PAM-controles zijn ook van toepassing op niet-menselijke identiteiten binnen een systeem, bijvoorbeeld processen die hun eigen identificatie kunnen hebben.

Toestemmingen en toegangsrechten inrichten

Bij het toewijzen van rechten en machtigingen aan de gebruikers van een organisatie zijn er verschillende benaderingen die IT-personeel kan nemen. Ten eerste, en het ergste, is algemene, brede toegang tot bedrijfssystemen en datastores – eigenlijk helemaal geen controle. Het spreekt voor zich dat deze aanpak een hoog risico met zich meebrengt en aanzienlijke exposure voor de organisatie creëert. Maar veel organisaties geven gebruikers veel meer toegang dan nodig is om te voorkomen dat ze de dagelijkse activiteiten onbedoeld verstoren, waardoor het aanvalsoppervlak van het bedrijf groter wordt.

Voorzichtige bedrijven passen het principe van minste privilege, 'need-to-know'-toegang of een combinatie van beide toe. Least privilege gaat over hoe gebruikers in het systeem werken; need-to-know adressen waartoe ze toegang hebben in het systeem.

Volgens het principe van de minste bevoegdheden krijgen gebruikers alleen die rechten en machtigingen die nodig zijn voor hun werk - niets meer en niets minder. Door te voorkomen dat gebruikers machtigingen hebben voor gebieden die ze nooit gebruiken, verwijderen organisaties een onnodige kwetsbaarheid zonder de prestaties van de gebruiker negatief te beïnvloeden.

Need-to-know is van toepassing op de gegevens van de organisatie, met beperkingen die de toegang tot de gegevens beperken die rechtstreeks verband houden met en noodzakelijk zijn voor de gebruiker om zijn of haar taken uit te voeren.

Gebrek aan 'least privilege' of 'need-to-know'-controles zijn slechts enkele van de identiteitsgerelateerde kwetsbaarheden die in veel organisaties voorkomen. Veel organisaties hebben nog steeds gedeelde accounts of wachtwoorden, wat de mogelijkheid vermindert om activiteiten te controleren en naleving van het bedrijfsbeveiligingsbeleid te garanderen. Bedrijven hebben ook vaak oude, ongebruikte accounts, vaak met aanzienlijke privileges, die idealiter al lang geleden zouden zijn verwijderd. En veel bedrijven vertrouwen nog steeds op handmatige of gedecentraliseerde levering en onderhoud van gebruikersreferenties.

Waarom (en hoe) CSP's PAM zouden moeten gebruiken

Elk privilege en elke toegang die een gebruiker heeft, creëert een unieke kans voor een cybercrimineel om te misbruiken. Het is dus in het belang van elke CSP om die privileges en toegangsrechten te beperken. Hierdoor worden potentiële aanvalsvectoren beperkt en mogelijke schade geminimaliseerd wanneer een hacker zich met succes de identiteit van een bepaalde gebruiker toe-eigent. Hoe minder rechten een gebruiker heeft, hoe minder een succesvolle aanvaller hoeft te werken.

Het beperken van privileges kan ook de soorten aanvallen beperken die de systemen van een organisatie kunnen beschadigen. Sommige typen malware hebben bijvoorbeeld hogere privileges nodig om effectief te kunnen worden geïnstalleerd en uitgevoerd. Als een hacker probeert malware in te voegen via een niet-geprivilegieerde gebruikersaccount, lopen ze tegen een muur aan.

Hier zijn enkele van de best practices die CSP's moeten volgen.

1. Implementeer een beleid voor privilegebeheer:aangezien er geen enkele, universeel toepasbare IoT-beveiligingsstandaard is, heeft CSPS strikt gedefinieerde en gecontroleerde beleidsregels nodig die naleving garanderen door elke mogelijkheid tot afwijking te elimineren. Beleid moet bepalen wie de inrichting en het beheer van machtigingen en rechten beheert, hoe de inrichting plaatsvindt en schema's voor zo nodig opnieuw inrichten of opheffen van inrichtingen. Daarnaast moet het beleid betrekking hebben op wachtwoordbeveiliging, inclusief wachtwoordsterkte, gebruik van multi-factor authenticatie en het verlopen van wachtwoorden.

2. Centraliseer PAM en IAM:CSP's zouden een gecentraliseerd systeem moeten hebben voor het leveren, onderhouden en deprovisioneren van machtigingen en toegangsrechten. Door een inventaris van accounts met hoge machtigingen op te bouwen, wordt voorkomen dat organisaties ongebruikte accounts door de kieren laten glippen.

3. Zorg ervoor dat de minste privileges de minste privileges zijn:hoewel gebruikers gefrustreerd kunnen raken als ze contact moeten opnemen met de helpdesk om bepaalde taken uit te voeren, is dat geen reden om hen meer rechten te geven dan ze nodig hebben. De meeste edge- of endpointgebruikers van een bedrijf hoeven geen beheerdersrechten of toegang tot rootdirectory's te hebben. Zelfs bevoorrechte gebruikers hebben geen brede toegangsrechten nodig. Beperk de toegang tot wat absoluut noodzakelijk is om de taak uit te voeren.

4. Voeg beveiliging toe door middel van segmentatie:het segmenteren van systemen en netwerken helpt voorkomen dat hackers laterale aanvallen uitvoeren wanneer ze met succes een bedrijfsnetwerk binnendringen. Versterk segmentatie met zero trust-beleid tussen segmenten waar mogelijk.

5. Dwing best practices voor wachtwoordbeveiliging af:slechte wachtwoordhygiëne blijft voor veel organisaties een belangrijke kwetsbaarheid. Bouw een veiligheidscultuur op door werknemers te leren begrijpen dat de kleine ongemakken van sterke wachtwoorden, multi-factor authenticatie en het verlopen van wachtwoorden het bedrijf beschermen tegen de potentieel verwoestende gevolgen van een inbreuk.

Veilige CSP's vormen de ruggengraat van een veilig IoT

Zonder beveiligde CSP-netwerken is het internet der dingen een speeltuin voor cybercriminelen. Voordat CSP-beveiligingsexperts zich zorgen maken over de miljoenen edge-apparaten, moeten ze naar binnen kijken en hun interne systemen zo goed mogelijk beveiligen. Het toepassen van 'least privilege'-principes en bevoorrechte toegangsbeheersystemen is een nuttige eerste stap.