• Новости
• Блоги
• Аналитика
• Новости компаний
• В СНГ и в мире
• Анонсы

Безопасность IoT под угрозой?

Системы безопасности становятся все более сложными, а количество киберугроз только растет. 

В этих условиях важен диалог между безопасниками, технарями, законотворцами, хакерами и рядовыми пользователями.

Для того чтобы все стороны могли получить понятный ответ на вопрос: как пользоваться благами технологического прогресса и не стать жертвой киберпреступников, компания Positive Technologies по-новому подошла к организации конкурсной программы форума  Positive Hack Days VI, сделав ее максимально приближенной к жизни и доступной для понимания широкой аудиторией. Ареной для действий хакеров и контрмер со стороны экспертов по безопасности стал оснащенный всеми необходимыми средствами автоматизации  «умный город» с энергетической сетью, сотовой связью, интеллектуальными зданиями, банком, подключенным автомобилем, железной дорогой и даже дронами.

И это неудивительно, поскольку к массовому внедрению технологий интернета вещей в повседневную жизнь человечества готовятся не только производители оборудования и ПО, а также разработчики решений и операторы связи, но и киберпреступники. И, что еще более тревожно, сейчас, когда решения в области IoT только формируются, у тех, кто стоит на темной стороне, уже есть множество возможностей для преступной деятельности.

Взять, к примеру, носимые устройства – smart-часы и фитнес-трекеры, которые приобретают все большую популярность. Пытаясь привлечь пользователей, производители наделяют такие продукты множеством самых разнообразных функций. В их числе – видео- и аудиозапись, определение местоположения, прием SMS, а в отдельных моделях даже платежные функции. О некоторых из таких возможностей пользователь может и не догадываться, а вот киберпреступники осведомлены очень хорошо, могут активировать их удаленно и использовать в своих интересах.  «Первая проблема ИБ в интернете вещей заключается в том, что пользователи не ожидают наличия в своих устройствах такого глубокого интеллектуального функционала», – говорит Алексей Качалин, директор экспертного центра компании Positive Technologies.

Практически во всех носимых устройствах сегодня заложены технические возможности съема и фиксации данных, а также последующего их хранения. Оказавшись в облаке такие данные дублируются для обеспечения отказоустойчивости,  так что пользователь, как отмечает эксперт, не может быть до конца уверен в том, что они будут полностью оттуда удалены даже по его требованию. Кроме того, поскольку все умные часы синхронизируются со смарфтоном, с их помощью хакеры в обход его защиты могут получить доступ к хранящейся на нем информации – паролям, приложениям мобильного банка и т.д. Тем, кто хочет обезопасить эти свои данные, эксперты рекомендуют избегать их установки на смартфон или планшет, с которыми синхронизированы «умные» часы.

Отдельного упоминания заслуживают и сети мобильной связи, по которым сегодня  общаются между собой не только люди, но и разнообразные подключенные устройства со встроенным «интеллектом». Эксперты компания Positive Technologies изучили результаты 16 ее проектов по анализу защищенности сигнальной сети SS7 (ОКС-7), к которой подключены все операторы в мире, пришли к выводу, что в этой части каждая мобильная сеть уязвима и что у хакеров есть широкие возможности для мошенничества и атак на инфраструктуру. Примерно 80% случаев атак на сети SS7 приводят к утрате контроля над «железными абонентами» – "подключенными" электро- и водосчетчиками, умными розетками и т.д.-- и к массовому отказу в обслуживании.

С появлением технологии SDR (Software Defined Radio) облегчилась задача злоумышленников по взлому GSM-сетей. Как заметил Дмитрий Курбатов, руководитель отдела безопасности телекоммуникационных систем компании Positive Technologies, плату, которую можно запрограммировать для реализации любого стека протоколов,  сегодня можно на eBay по цене, в зависимости от функционала, от $320 до $1500.

Индустриальному интернету вещей тоже требуется новые меры информационной безопасности. Построение «умных» предприятий и производств требует более тесной интеграции корпоративных информационных систем с АСУ ТП, поэтому риски попадания зловредов в технологические сети существенно возрастают. И, как показал анализ более 500 компонентов промышленных систем экспертами компании Positive Technologies, наиболее распространенными уязвимостями, которыми могут воспользоваться злоумышленники, являются отказ в обслуживании, удаленное выполнение кода, переполнение буфера, сбор информации. При этом киберпреступники,имеющие очень высокую квалификацию, руководствуются не столько экономическими, сколько политическими целями. Недаром исследователи обнаруживают злоумышленников, которые проникают в технологические сети, закрепляются там и затихают, словно выжидая команды.  Для того чтобы поставить заслон их действиям, нужно более тесное сотрудничество между вендорами АСУ ТП и разработчиками систем безопасности.

А поскольку в подходах к защите индустриального и домашнего интернета вещей много общего, то методы, разработанные для промышленных систем, будут применимы и в «умных домах» тоже.