Zero Trust: De Ultieme Verdediging voor IoT-Apparaatbeveiliging

Cybersecurity-experts scharrelen om een stap vooruit te blijven op hackers die zwaktes in miljoenen internet-of-things-apparaten wereldwijd willen exploiteren. Maar misschien richten ze zich op het verkeerde probleem.

IoT-apparaten doorladen praktisch elk aspect van het bedrijfsleven vandaag, en maken snelle inroads in de consumentensector ook. Elke sensor die linkt met het internet, creëert een andere potentiele kwetsbaarheid voor de gebruiker. Het is dus geen verrassing dat de huidige staat van IoT-beveiliging "waarschijnlijk niet erg goed is," zoals Gary Kinghorn, managing director bij Tempered Networks, het beschrijft.

Wanneer de database van high rollers van een casino gehackt wordt via een "slimme" vissenbakthermometer, is het duidelijk dat het opkomende IoT-universum een ernstig probleem heeft. De kwetsbaarheid van de technologie "is bijna tot het punt van absurditeit," zegt Kinghorn.

Bedrijven die hun informatiesystemen willen versterken, hebben zich gericht op de apparaten zelf, met name de noodzaak voor sterke wachtwoorden die ze zouden beschermen van cyberdiefstal. De overheid ook, heeft geprobeerd IoT-apparaten te versterken door maatregelen als de recent gepasseerde Cybersecurity Improvement Act. Maar Kinghorn gelooft dat dat niet het volledige antwoord is – of zelfs de juiste vraag.

Elk IoT-verbonden apparaat heeft een IP-adres dat het een verleidelijke doelwit maakt voor hackers. Toch zijn transmitters simpelweg niet zo "slim" als dat trendy bijvoeglijk naamwoord zou suggereren. "Ze zijn erg simpele apparaten," zegt Kinghorn. "Ze zullen nooit genoeg gesofisticeerd zijn om een legitieme netwerkverbinding of data-aanvraag te analyseren."

In plaats daarvan, zouden gebruikers zich moeten richten op wat Kinghorn noemt "het echte gat" in beveiliging: het netwerk zelf. De sleutel is ervoor te zorgen dat aanvalsvectoren niet beschikbaar zijn voor hackers. En om dat te doen, moeten systemen een "zero-trust" model adopteren voor het autoriseren van toegang.

De term betekent dat "u niets vertrouwt dat probeert zich aan uw netwerk te koppelen, zelfs apps of apparaten van uw eigen interne gebruikers, tenzij ze specifiek geautoriseerd zijn," legt Kinghorn uit. Denk aan een "witte lijst" die een telefoonlijn beschermt tegen scammers, telemarketeers en robocalls door alles te blokkeren behalve vooraf aangewezen nummers.

Zo een systeem beperkt toegang tot het netwerk door zelfs de meest vertrouwde apparaten. In het geval van het gehackte casino, vraagt Kinghorn, waarom was die vissenbakthermometer aan de klantendatabase gekoppeld in de eerste plaats? "Het zou alleen toegang moeten hebben tot één systeem – degene die praat over de temperatuur van de bak."

Zero trust maakt het mogelijk voor systemen om individuele sensoren af te schermen van het grotere netwerk. Waarom hebben dan niet meer private en publieke gebruikers het concept omarmd, zelfs als beveiligingsschendingen blijven oplopen?

Kinghorn vindt enkele antwoorden in de Zero Trust Adoption Report door Cybersecurity Insiders. Het vindt een hoog niveau van enthousiasme over het zero-trust model, met 78% van geënqueteerde I.T. beveiligingsteams die interesse uitten in het implementeren van zero-trust netwerktoegang in de toekomst. Ze reageren op een behoefte om systeembeveiliging aan te trekken op een moment dat bedrijven zich wenden tot de publieke cloud en proberen mobiele werkmachten veilig te managen.

Tegelijkertijd, zei 47% van de steekproef dat ze vertrouwen missen in hun huidige beveiligingstechnologie's vermogen om zero trust te implementeren. Slechts 15% heeft al zo'n systeem, en ongeveer 20% heeft de technologie nauwelijks overwogen.

Kosten zijn een beperkende factor, zegt Kinghorn. Zero trust kan duur zijn om te bereiken, met de noodzaak om "rip and replace" van sommige I.T. systemen, en in zijn huidige vorm strekt het zich niet altijd uit tot applicaties buiten het datacenter.

"Dat is onze focus," zegt Kinghorn, "om in staat te zijn zero trust toe te passen op elk netwerk of apparaat, door een combinatie van een typische software-agent en hardwired gateway-apparaten."

Wanneer het gaat om technologie-upgrades, is verandering zelden makkelijk. I.T. beveiligingsteams kunnen zich comfortabel voelen met traditionele firewalls en virtuele private netwerken (VPNs), of zich zorgen maken over de last van het vereisen van multi-factor authenticatie. Maar zero trust kan opgezet worden met een single sign-on, en agents kunnen in een paar minuten geïnstalleerd worden, claimt Kinghorn. "Het is niet onerously kostbaar," zegt hij, "hoewel sommige organisaties het dat wel kunnen maken."

Hij ziet interesse in zero trust snel stijgen, met name in reactie op de COVID-19-pandemie en de additionele beveiligingskwesties die het aan I.T. afdelingen heeft gebracht. En terwijl volledige acceptatie van de technologie enige tijd kan duren, zal het niet vooruitgaan blootstellen bedrijven aan toenemend schadelijke aanvallen door creatieve hackers.

Gisteren's legacy-systemen zijn niet uitgerust om moderne cyberdreigingen aan te pakken, zegt Kinghorn. "De IP-protocolstack is 50 jaar oud. Het was nooit ontworpen om te doen wat I.T. organisaties vandaag gevraagd worden te doen. Dat is waarom we een volledig nieuw model nodig hebben."