IoT-устройства: риски кибербезопасности на пути прогресса

IoT или «интернет вещей» – это вся совокупность устройств, которые могут быть подключены к сети. Он растет огромными темпами как количественно, так и качественно: появляются новые устройства самого разного назначения, от бытовых приборов до транспортных средств, от производственных станков до считывающих устройств.

Несмотря на все перспективы, которые открывает интеграция IoT-устройств в повседневную жизнь и бизнес-процессы, возникает и масса рисков. И если социально-экономические грозят только в перспективе, то риски кибербезопасности актуальны уже сейчас. В этой статье портал Cyber Media обсудил с экспертами причины уязвимости IoT-устройств, связанные с ними риски и возможные последствия.

Распространение IoT-устройств

Интернет вещей прочно укоренился как в бизнесе, так и в повседневной жизни. Этому способствовало несколько факторов:

Развитие промышленности. Еще в 2011 году немецкие промышленники ввели в оборот термин «Индустрия 4.0» (в некоторых источниках – «Экономика 4.0»), который обозначает переход к автоматизированным производствам и тотальную цифровизацию промышленности. Концепция предполагает сведение функций человека на условном заводе до операторских и административных.
Снижение себестоимости производства и эксплуатации IoT-устройств. Развитие локальной сетевой инфраструктуры, снижение стоимости на цифровые элементы в устройствах.
Комфорт и оптимизация. Технологичные устройства, при достаточном уровне «пользовательской грамотности», банально удобнее и функциональнее. Сюда же можно отнести новый пользовательский опыт, который также привлекает потребителя.

Нельзя отметать в сторону и такой фактор, как маркетинг. Ведь IoT-концепция позволяет «продать» клиенту ту же самую кофемашину, принтер или пылесос еще раз (за счет дополнительных функций) и дороже.

Иван Чернов

Менеджер по развитию UserGate (эксперт в сфере информационной безопасности)

Рост количества IoT устройств напрямую связан с увеличением пропускной способности интернет-каналов, а значит, средствам защиты будет необходимо выдерживать значительные нагрузки, анализируя и обрабатывая гигантские потоки трафика, чтобы выявить, о чем «общаются» устройства. Просто представьте, что все автомобили города вдруг стали «умными» и начали взаимодействовать друг с другом, строить маршруты.

Весь этот трафик придется анализировать, чтобы удостовериться в его легитимности во избежание последствий. Главная тенденция в контексте безопасности IoT – это рост производительности средств защиты: увеличение скорости и углубление анализа протокола взаимодействия устройств.

Касательно использования IoT-устройств в производстве мнения достаточно неоднозначны. С одной стороны, это позволяет существенно оптимизировать сам процесс и сократить количество требуемого персонала. С другой – такое производство становится остро зависимым от компании-поставщика или других контрагентов, которые будут обеспечивать сервисное обслуживание такой техники, ее наладку и адекватное функционирование внутри сети.

Риски кибербезопасности в контексте IoT

Проблема безопасности интернета вещей стоит достаточно остро, и впервые была поднята еще в начале двухтысячных. Этому вопросу даже была посвящена серия популярного мультсериала «Симпсоны» где тотально цифровизированный дом главных героев «взбесился».

И если в мультфильме главным злодеем был искусственный интеллект, то в реальной жизни источники угрозы куда тривиальнее, и их всего две.

Отсутствие единых стандартов

Юрий Миронов

Заместитель технического директора по информационной безопасности САТЕЛ

Повысить защиту IoT-устройств от кибератак поможет регулирование этого процесса. В первую очередь необходимо создание рекомендаций, подробных инструкций о том, как обеспечить защиту интернета вещей от вмешательств извне.

Например, в текущем году компания Xiaomi обнародовала свое предложение по стандартам кибербезопасности для таких устройств. В нем перечислены стандарты, ОС для них, связи и интеграции между IoT-устройствами, а также требования к конфиденциальности и защите данных в этом сегменте. Корпорация предлагает масштабировать свои предложения до единых глобальных стандартов IoT, которые могут использовать и другие компании.

Также необходимо введение ответственности для разработчиков и производителей IoT-устройств за их безопасность и сохранность данных пользователей.

В мировой практике не существует никаких предписаний и регламентов, которые обязывали бы производителя каким-либо образом обеспечивать безопасность своих продуктов. Это возможно по двум причинам:

Безопасность – не приоритет для пользователя. Многие банально не знают о рисках информационной безопасности на бытовом уровне. Здесь уместно процитировать прошлогоднее выступление Евгения Касперского: «Ночью холодильник вдруг открывает дверь, а утром закрывает. Вы приходите на кухню, а там – неприятный запах! Вам приходит СМС-сообщение: "Хотите избавиться от запаха – заплатите 5 тыс. руб.”».
Коммерческая целесообразность не всегда предполагает создание безопасных продуктов. Разрабатывать защищенные устройства и давать гарантии их устойчивости к злонамеренному воздействию – это банально не нужно (а скорее вредно) в контексте получения прибыли. На такие издержки готовы идти далеко не все производители.

В результате на рынке присутствует огромное количество устройств (около 6 миллиардов на конец 2021 года, по оценкам Gartner), значительный процент которых имеют нулевой уровень защиты. В таких условиях возникновение ситуаций, подобных описанной Евгением Касперским – это вопрос времени.

Киберпреступники

Хакерская активность в контексте IoT-устройств долгое время находилось на низком уровне. Чаще всего они задействовались как «вспомогательные устройства» при маскировке трафика внутри инфраструктуры компании.

Со временем ситуация изменилась, поскольку IoT-устройства оказались:

слабо защищены или не защищены вовсе;
пригодны для ботнетинга и майнинга.

Третий аспект заключается в том, что данный тип устройств стал гораздо распространеннее, в том числе и в бизнес-среде, на предприятиях и производства. Это сделало его самостоятельной целью при проведении APT-атак.

Александр Осипов

Директор по облачным платформам и инфраструктурным решениям МегаФона

Риски с точки зрения информационной безопасности потребительских IoT устройств всегда были актуальны. Например, умные бытовые приборы часто взламывают чтобы с их помощью создать ботнет сети, которые активно используют хакеры для атак на инфраструктуру организаций. Для защиты инфраструктуры компаний МегаФон предлагает набор сервисов безопасности по типу защиты от DDoS-атак, защиты WEB-приложений и т.д.

Устройства для IoT продуктов МегаФона подключаются напрямую через сетевую инфраструктуру оператора в соответствии с международными стандартами консорциума 3GPP. Также подключенные устройства сразу попадают в выделенную APN внутри сети. Таким образом устройства соединяются с IoT платформой МегаФона без выхода в открытый интернет. А поскольку устройства не присутствуют в интернете - злоумышленники не смогут к ним подключиться для взлома.

Несмотря на то, что хакеры все еще предпочитают ПК и смартфоны в качестве целей для взлома, количество атак на IoT-устройства обязательно будет расти пропорционально росту их количества в разного рода организациях.

Итоги

Согласно прогнозу Gartner 2020-го года, связанного с циклом зрелости IoT-устройств в контексте безопасности, следующий «виток» интереса со стороны бизнеса стоит ожидать в промежутке от двух до пяти лет.

Уже сейчас заметна смена парадигмы, касательно отношения к интернету вещей: безопасность все меньше воспринимается как побочная характеристика, и чаще – как обязательное свойство устройства.

При этом, уже сейчас есть достаточно надежные способы защитить входящую в сеть компании группу устройств. В ближайшем будущем для компаний, которые используют технологичные девайсы и устройства, будут особенно актуальны услуги организаций, которые могут не только интегрировать такое устройство в инфраструктуру, но и обеспечить его защищенность через создание нескольких эшелонов обороны.

Кибербезопасность Интернет вещей (IoT)