We współczesnym biurze czy domu granica między przedmiotem użytkowym a komputerem staje się coraz bardziej płynna. Każde urządzenie podłączone do sieci – od inteligentnego ekspresu, przez termostat, aż po kamerę IP – posiada procesor, system operacyjny i pamięć, co czyni je pełnoprawnym, choć często ignorowanym przy ocenie zagrożeń ogniwem infrastruktury IT. Podczas gdy firmy inwestują tysiące złotych w zaawansowane firewalle i klucze sprzętowe, ich bezpieczeństwo może zostać zniweczone przez sprzęt wart ułamek tej kwoty. Skalę zagrożenia najlepiej obrazuje fakt, że globalna sieć zainfekowanych urządzeń IoT została już raz wykorzystana do sparaliżowania takich gigantów jak Twitter, Netflix czy Spotify, co udowodniło, że w rękach cyberprzestępców bronią może stać się nawet lodówka.
Drukarka tylko czeka na Twój błąd
Biuro stało się nową, rozległą powierzchnią ataku, na której komputery ukryte są pod maską zwyczajnych sprzętów biurowych. Największym, a zarazem najczęściej ignorowanym zagrożeniem, jest drukarka sieciowa, która w swojej pamięci przechowuje kopie niemal każdego przetworzonego dokumentu, od faktur po listy płac.
Równie niebezpieczne są systemy monitoringu wizyjnego oraz rejestratory wideo, które – jeśli są nieodpowiednio skonfigurowane – pozwalają hakerom na zdalny podgląd biura, ułatwiając im fizyczny rekonesans obiektu. Inne, pozornie niewinne urządzenia, jak inteligentne termostaty czy systemy zarządzania budynkiem, zapewniają napastnikom stały, niemal niewykrywalny punkt obecności w sieci firmowej. Z kolei telefony VoIP oraz systemy konferencyjne mogą zostać zmienione w zaawansowane narzędzia do podsłuchiwania poufnych rozmów biznesowych.
To właśnie te ignorowane komputery stanowią najsłabsze ogniwa, przez które hakerzy mogą bez przeszkód infiltrować firmę, omijając nawet najdroższe systemy ochrony brzegowej.
Za co cyberprzestępcy kochają IoT?
Atrakcyjność urządzeń Internetu Rzeczy dla hakerów wynika przede wszystkim z ich systemowej bezbronności i rażącego braku dbałości o higienę cyfrową ze strony użytkowników. Epidemia domyślnych haseł, takich jak legendarne „admin/password” czy „1234”, sprawia, że przestępcy nie muszą się nawet wysilać i łamać skomplikowanych szyfrów. Wiele z tych urządzeń jest projektowanych bez uwzględnienia podstawowych zasad bezpieczeństwa, co skutkuje brakiem szyfrowania przesyłanych danych oraz brakiem mechanizmów uwierzytelniania wieloskładnikowego.
Kolejnym krytycznym problemem jest cykl życia oprogramowania układowego (firmware), które w świecie IoT jest aktualizowane niezwykle rzadko lub wcale. Producenci taniego sprzętu często porzucają wsparcie krótko po premierze, pozostawiając urządzenia z krytycznymi lukami, na które nigdy nie powstanie łata. Całość dopełnia niska świadomość administratorów i pracowników, którzy nie postrzegają ekspresu do kawy czy żarówki jako urządzenia wymagającego zabezpieczenia, co czyni z nich idealną furtkę dla każdego, kto chce dyskretnie wkraść się do zasobów przedsiębiorstwa.
Hostis ex machina
Cyberprzestępcy nie atakują urządzeń IoT dla nich samych. Niespecjalnie interesuje ich, jaką temperaturę w pokoju lubią księgowe czy jaką kawę pija rano prezes. Sprzęty stanowią trampolinę do uderzenia w znacznie cenniejsze systemy i zasoby.
Najczęstszym scenariuszem jest wykorzystanie słabo zabezpieczonego urządzenia jako punktu wejścia do sieci, co pozwala napastnikowi na tzw. lateral movement, czyli swobodne poruszanie się między odrębnymi wcześniej systemami IT i OT. Przejmując kontrolę nad jednym elementem infrastruktury, haker może monitorować ruch sieciowy, kraść poświadczenia użytkowników lub instalować backdoory, które zapewnią mu powrót do sieci nawet po restarcie kluczowych serwerów.
Innym groźnym zjawiskiem jest włączanie urządzeń do botnetów (sieci zainfekowanych smart-sprzętów), które mogą służyć do przeprowadzania zmasowanych ataków DDoS na inne cele. Urządzenie może również służyć jako węzeł do podsłuchiwania komunikacji wewnętrznej lub kradzieży danych wrażliwych przesyłanych przez niezaszyfrowane protokoły. W skrajnych przypadkach przejęcie kontroli nad systemami inteligentnego budynku lub zamkami sieciowymi może prowadzić do zagrożenia bezpieczeństwa fizycznego pracowników i mienia firmy.
O krok przed hakerem
Skuteczna obrona przed zagrożeniami IoT musi zacząć się od pełnej inwentaryzacji urządzeń, ponieważ nie można zabezpieczyć czegoś, o czego istnieniu w sieci się nie wie. Wykorzystanie profesjonalnych skanerów sieciowych pozwala zidentyfikować każde urządzenie posiadające adres IP, przypisać mu właściciela i określić poziom ryzyka. Bezwzględnym standardem musi być zmiana wszystkich haseł fabrycznych na unikalne i silne ciągi znaków zaraz po wyjęciu sprzętu z pudełka.
Kluczowym elementem strategii ochrony jest segmentacja sieci, czyli izolowanie urządzeń IoT w oddzielnych strefach (VLAN), tak aby przejęcie drukarki nie otwierało dostępu do serwera księgowego czy bazy danych klientów. Wdrożenie systemów klasy Network Access Control (NAC) pozwala na automatyczne rozpoznawanie urządzeń i nadawanie im tylko niezbędnych uprawnień komunikacyjnych zgodnie z zasadą najmniejszych uprawnień. Nie można również zapominać o regularnych aktualizacjach firmware’u oraz wyłączaniu zbędnych usług i portów, co znacząco zawęża potencjalne pole manewru dla hakerów.
Grafika: prostooleh | Magnific