IoT-beveiligingslessen uit recente inbraken: uw enterprise beschermen

In een onverwachte wending werd een onbenoemd Las Vegas-casino slachtoffer van een cyberaanval die oorsprong vond in zijn IoT-ingeschakelde aquarium. Een op afstand bestuurbare thermometer, gebruikt om voeding en watertemperatuur te monitoren, werd de toegangspoort voor hackers om gevoelige klantdata te stelen.

Het Internet of Things transformeert enterprise-operaties door apparaten in de toeleveringskete te verbinden, efficiëntie te verhogen, kosten te verlagen en nieuwe productmogelijkheden ontgrendelen. Volgens Avinash Prasad, hoofd Managed Security Services bij Tata Communications, kan IoT's transformatieve potentieel volledig gerealiseerd worden alleen wanneer beveiliging vanaf dag één in het bedrijfsmodel is ingebouwd.

Terwijl het volume data gegenereerd door IoT-apparaten ongekende inzichten biedt, creëert het ook aantrekkelijke toegangspunten voor cybercriminelen. Gartner rapporteert dat bijna 20% van de organisaties in de afgelopen drie jaar ten minste één IoT-gebaseerde aanval heeft ervaard. Met geschatte 75 miljard verbonden apparaten wereldwijd in 2025, wordt de blootstelling aan cyberkwetsbaarheden verwacht vijfvoudig te stijgen.

Naarmate we een IoT-gedomineerde era omarmen, is het essentieel om de dreigingen die gepaard gaan met wijdverspreide apparaatimplementatie te scrutiniseren en robuuste beveiligingsmaatregelen in uw enterprise-strategie te verweven. Hieronder staan drie cruciale IoT-kwetsbaarheden die elk bedrijf moet aanpakken.

1. Zelf de eenvoudigste verbonden apparaten kunnen kwetsbaar zijn

Het Vegas-aquarium-incident illustreert dat geen apparaat immuun is. De thermostaat-firmware stond aanvallers toe om 10 GB persoonlijke data te exfiltreren, wat vervolgens werd doorgestuurd naar een externe server in Finland. Met 80% van de wereldwijde data opgeslagen op privéservers, is het beschermen van zelfs de meest basale IoT-apparaten cruciaal voor het behoud van de algehele netwerkintegriteit.

2. Fysieke beveiliging en apparaatafval poser unieke uitdagingen

In 2018 ontdekte de security-onderzoeksgroep Limited Results bij het dissecteren van een LIFX Mini White slimme lamp dat het apparaat de Wi-Fi-wachtwoord, RSA-private key en root-wachtwoorden in platte tekst opsloeg. Hoewel LIFX een firmware-fix uitbracht, benadrukt het incident het belang van het beveiligen van apparaten tijdens de operatie en het waarborgen van veilige afvoering van verouderde hardware.

3. Industriële malware dreigt fysieke veiligheid

De Triton-malware-aanval op een Saoed-Arabische olieraffinaderij in 2018 markeerde de eerste keer dat een cyberdreiging was ontworpen om industriële veiligheidssystemen te saboteren. Door veiligheidssensoren uit te schakelen, hadden aanvallers catastrofale gebeurtenissen kunnen triggeren. Hoewel deze specifieke aanval voor executie werd gestopt, dient het als duidelijke herinnering dat naarmate industriële controlesystemen meer verbonden raken, hun beveiliging geprioriteerd moet worden.

De compliance-dilemma

Recente hoog-profiel inbraken bij British Airways, Marriott Hotels en diverse lokale overheden hebben benadrukt hoe ontoereikende databescherming kan leiden tot significante boetes onder de EU's Algemene Verordening Gegevensbescherming (AVG/GDPR). Alleen Marriott's inbraak blootstelde 7 miljoen Britse inwonersrecords.

Regulators, waaronder de Europese Commissie, straffen de handhaving van dataprivacy. Komende UK IoT-regelgeving zal fabrikanten aanspreeken voor inherente apparaatkwetsbaarheden, terwijl ondernemingen ook verantwoordelijkheid moeten nemen voor het beveiligen van hun eigen IT-ecosystemen.

Wat is de oplossing?

De groeiende alomtegenwoordigheid van IoT zal het een lucratief doelwit voor aanvallers houden. Om te beschermen tegen evolutieve dreigingen, moeten ondernemingen een gelaagde verdedigingsstrategie adopteren die geavanceerde analytics, machine learning en kunstmatige intelligentie inkorporeert om afwijkend gedrag over alle verbonden apparaten te detecteren.

Blockchain-technologie kan controle decentraliseren, zodat apparaten binnen een netwerk elkaars acties kunnen valideren en administrators waarschuwen voor verdachte verzoeken. Samenwerken met een managed security services provider die realtime threat intelligence, geautomatiseerde respons en compliance-ondersteuning biedt, kan een uitgebreid beveiligingsdashboard leveren, wat executives volledige zichtbaarheid in het IoT-landschap geeft.

Door een holistische, cloud-gebaseerde aanpak om te armeren – met pervasieve controles, uitgebreide zichtbaarheid en opkomende technologieën – kunnen organisaties end-to-end IoT-omgevingen beveiligen terwijl ze compliant blijven met evolutieve databeschermingsstandaarden.

Concluderend, IoT hoeft niet gevreesd te worden. Met de juiste bescherming op zijn plaats, kan het aan zijn beloftes voldoen en enterprise-operaties tillen.

De auteur is Avinash Prasad, hoofd Managed Security Services bij Tata Communications.