1. Geräteerkennung und -verwaltung

Sie können nicht schützen, was Sie nicht sehen können.

Es ist eines der ältesten Sicherheitssprichwörter überhaupt. Bevor Sie über Netzwerk- und Gerätesicherheit nachdenken, ist es wichtig zu wissen, was genau gesichert werden muss.

Port-Scanning, Protokollanalyse und andere Erkennungstechniken können feststellen, welche Geräte eine Verbindung zu Unternehmensnetzwerken herstellen. Kostenlose Tools wie Nmap, Shodan und Masscan sind ebenfalls verfügbar kommerzielle Produkte und Dienstleistungen die entdecken, identifizieren und IoT-Geräte verwalten.

Sobald IoT-Geräte Wenn Geräte entdeckt werden, führen Sie eine IoT-Risikobewertung durch, um zu verstehen, worauf die Geräte Zugriff haben können – und sollten – und warum. Listen Sie genehmigte Geräte in einem Unternehmens-Asset-Register auf, zusammen mit den zugehörigen Patch-Management-Prozessen und Lebenszyklusinformationen jedes Geräts. Achten Sie darauf, auch angeschlossene Geräte in Penetrationstests einzubeziehen. Legen Sie Richtlinien und Funktionen fest, um verlorene oder gestohlene Geräte zu verwalten, z. B. Fernlöschung und Deaktivierung der Konnektivität.

Anfällige vernetzte Geräte stellen nicht immer eine offensichtliche Bedrohung dar und fallen oft in die Kategorie der Schatten-IT. Denken Sie unbedingt an vernetzte Drucker, intelligente Kühlschränke usw Sensoren Maschinen hinzugefügt. Erinnern Sie sich an den Datenverstoß am Point-of-Sale von Target? Die Ursache lag darin, dass jemand den Login eines Auftragnehmers für das angeschlossene HVAC-System des Unternehmens missbrauchte. Achten Sie durch die Geräteerkennung auf eventuelle Schatten-IoT-Geräte.

Ziehen Sie auch IoT-Geräte für Verbraucher in Betracht – insbesondere, da viele Mitarbeiter inmitten der COVID-19-Pandemie remote arbeiten. Intelligente Lautsprecher, die an dasselbe Netzwerk angeschlossen sind wie ein Firmen-Laptop eine Datenschutzkatastrophe schaffen. Führen Sie Sicherheitsschulungen durch, um Benutzer vor IoT-Geräten zu warnen, und richten Sie Richtlinien ein, um zu verhindern, dass diese zu einem Problem werden.

2. Authentifizierung, Autorisierung und Zugriffskontrolle

IoT-Geräte verfügen per Definition über eine eindeutige Kennung, die bei der Authentifizierung und Autorisierung helfen kann. Nachdem Sie herausgefunden haben, welche Geräte eine Verbindung zum Netzwerk herstellen, entscheiden Sie, worauf diese zugreifen und mit welchen Geräten sie kommunizieren können. Angesichts der Tatsache, dass Hunderte oder sogar Tausende eindeutiger IDs verwaltet werden müssen, kann diese Aufgabe jedoch entmutigend wirken.

Betrieb auf dem Prinzip des geringsten Privilegs Damit Geräte nur das sehen und darauf zugreifen können, was sie für ihre Arbeit benötigen. Aktualisieren Sie jedes Gerät, das mit einem werkseitig installierten Passwort ausgestattet ist. Starke Passwörter helfen, IoT-Risiken zu bekämpfen. Wo möglich sollte eine Zwei- oder Mehrfaktor-Authentifizierung zum Einsatz kommen.

Im Allgemeinen gelten hardwarebasierte Roots of Trust als die stärkste IoT-Sicherheitsoption. Diese werden direkt in die Hardware integriert und in ein Gerät eingebettet. Digitale Zertifikate, die von einer vertrauenswürdigen Public-Key-Infrastruktur ausgestellt wurden (PKI) können ebenfalls verwendet werden, obwohl einige Geräte nicht in der Lage sind, sie zu verarbeiten. In diesem Fall können andere leichte kryptografische Algorithmen verwendet werden – mehr dazu weiter unten.

Auch neuere Technologien wie Biometrie und Blockchain können zur Authentifizierung von IoT-Geräten genutzt werden. Ein Nehmen Zero-Trust-Ansatz ist auch eine effektive Möglichkeit zur Steuerung von Geräten und Zugriffsrechten. Kommerzielle IoT-Plattformen bieten außerdem Funktionen zum Verwalten von Geräten und zum Steuern, auf welche Daten, andere Geräte und Netzwerke Geräte zugreifen können.

3. IoT-Passwörter

Problematische Passwörter hängen mit Authentifizierung, Autorisierung und Zugriffskontrolle zusammen. Die Infiltration der Mirai-Angriffe im Herbst 2016 wurde auf angeschlossene Kameras und andere IoT-Geräte zurückgeführt, die über werkseitig voreingestellte oder fest codierte Passwörter verfügten. Die Cyberkriminellen infiltrierten Server mithilfe dieser Geräte und einer Liste bekannter Anmeldeinformationen – eine Liste, die einigen Berichten zufolge nur 60 Kombinationen aus Benutzername und Passwort enthielt.

Hier gibt es eine doppelte Verantwortung. Unternehmen und Endbenutzer sollten bei der Aktualisierung von Standardkennwörtern sorgfältig vorgehen und über ein Kennwortrichtlinie und Verwendung sicherer Passwörter oder Passphrasen. Dies ist jedoch keine Option, wenn Passwörter fest codiert sind. Hier tragen die Gerätehersteller ihren Teil der Schuld. Es sollte niemals ein Gerät mit einem fest codierten Passwort erstellt werden.

[Eingebetteten Inhalt]

4. Patches und Updates

Das Aktualisieren und Patchen von Geräten ist ein wichtiger Bestandteil jeder Sicherheitsstrategie. Eine der größten Herausforderungen für die IoT-Sicherheit ist die Verwendung veralteter Software und Firmware, einschließlich Betriebssystem, Anwendungen und Kommunikationstechnologie.

IoT-Umgebungen stellen einige einzigartige Herausforderungen beim Patchen und Aktualisieren dar. Erstens sind einige Geräte nicht zugänglich. Was ist, wenn Sensoren sind verstreut auf Hunderten Hektar Ackerland, um Temperatur, Luftfeuchtigkeit und Nässe zu erfassen? Oder was wäre, wenn sie sich auf einer Brücke befinden und deren Vibrationen und das Wetter überwachen?

Zweitens können nicht alle Geräte für längere Zeit offline geschaltet werden, um Updates durchzuführen. Denken Sie an kritische Produktionsanlagen, die ein Industrieunternehmen Millionen von Dollar kosten könnten, wenn sie für eine oder mehrere Stunden offline sind Smart-Grid- dass Millionen von Menschen auf Wärme oder Strom angewiesen sind.

Fügen Sie als Nächstes hinzu, dass einige IoT-Geräte keine Benutzeroberfläche oder keinen Bildschirm haben und einige nicht einmal Updates akzeptieren. Oder was ist, wenn ein Gerät Updates akzeptiert, diese aber durch etwas in einem Update beschädigt werden und einen Systemausfall verursachen? Wie wird das Gerät in einen bekanntermaßen funktionsfähigen Zustand zurückgesetzt?

Auch Anbieter können Probleme beim Patchen verursachen. Einige Geräte erreichen möglicherweise das Ende ihrer Lebensdauer und werden vom Hersteller nicht mehr unterstützt. Ebenso sind einige Anbieter unverantwortlich und veröffentlichen keine Sicherheitsupdates, wenn eine Schwachstelle entdeckt wird, wodurch ihre Kunden potenziellen Sicherheitsverletzungen ausgesetzt sind.

Um IoT-Patching-Funktionen sicherzustellen, tragen Sie jedes IoT-Gerät im Rahmen der Geräteerkennung oder in ein Asset-Register ein Adoptionsverfahren. Geben Sie an, welche Software- und Hardwareversionen auf jedem Gerät ausgeführt werden, und behalten Sie den Überblick, wann Updates verfügbar und installiert sind. Verfolgen Sie außerdem, wann Geräte das Ende ihrer Lebensdauer erreichen und ausgemustert werden müssen. Die Verwendung älterer Geräte in Live-Umgebungen führt zu vielen Schwachstellen.

Erwägen Sie nach Möglichkeit Patch- und Aktualisierungsprozesse vor IoT-Bereitstellungen. Sicher sein Over-the-Air-Updates verfügbar und sicher sind. Entscheiden Sie sich außerdem zwischen automatischen Updates oder einem periodischen Zeitplan. Jedes hat seine eigenen Vor- und Nachteile.

Wählen Sie eine IoT-Plattform mit Bedacht aus. Viele enthalten Funktionen zur Vereinfachung von Patch- und Aktualisierungsprozessen, z. B. Automatisierung, und können Geräte verwalten, die Rollbacks oder Resets erfordern. Behalten Sie die im Auge Arbeitsgruppe Software-Updates der Internet Engineering Task Force für das Internet der Dinge, das einen Standard für IoT-Firmware-Updates entwickelt.

5. IoT-Angriffe

IoT-Umgebungen unterliegen viele der gleichen Bedrohungen sowie andere Cyberumgebungen, einschließlich DDoS-Angriffe, Botnets, Malware und Ransomware.

Um die Schwere eines IoT-DDoS-Angriffs vollständig zu verstehen, schauen Sie sich die Mirai-Angriffe von 2016 an. Während die Angriffe zunächst auf einen Minecraft-Server-Host abzielten, traf die Malware zunächst die Website des Sicherheitsjournalisten Brian Krebs und den französischen Webhoster OVH. Einen Monat später wurde das Botnetz gegen den DNS-Dienstleister Dyn eingesetzt, was zu Ausfallzeiten mehrerer bekannter Websites führte, darunter Amazon, Netflix und Twitter.

Leider ist es nahezu unmöglich, einen DDoS-Angriff zu verhindern. Organisationen können Maßnahmen ergreifen verhindern, dass jemand Erfolg hat, Jedoch. Verwenden Sie Intrusion Prevention/Detection-Systeme (IPSes/IDSes) mit DDoS-Funktionen oder arbeiten Sie mit einem ISP zusammen, der DDoS-Pakete erkennen und filtern kann, bevor sie das Netzwerk erreichen. Befolgen Sie andere grundlegende Cyber-Hygiene Praktiken, einschließlich der Verwendung von Firewalls, Antimalware, Endpoint-Sicherheitsplattformen, Endpoint Detection and Response (EDR) und erweiterter Erkennungs- und Reaktionssoftware.

Um Botnet-, Ransomware- und andere IoT-Angriffe zu verhindern, halten Sie die Gerätesoftware auf dem neuesten Stand, ändern Sie Standardkennwörter und überwachen Sie den Netzwerkverkehr. Segmentieren Sie, auf welche Daten und Netzwerke IoT-Geräte zugreifen können, und verwenden Sie Firewalls, um Eindringlinge zu stoppen. Deaktivieren Sie außerdem alle unnötigen Funktionen auf Geräten und sichern Sie regelmäßig Daten von Geräten und Netzwerken. Eine IoT-Risikobewertung kann auch dabei helfen, potenzielle Bedrohungen und deren Auswirkungen zu ermitteln.

6. Physische Sicherheit

IoT-Geräte müssen nicht nur vor Cybersicherheitsbedrohungen, sondern auch vor physischen Sicherheitsbedrohungen geschützt werden. Da IoT-Hardware – einschließlich IoT-Sensoren, Wearables und Edge-Geräte – leichter zugänglich ist als andere Teile eines Netzwerks, ist dies der Fall physischen Bedrohungen ausgesetzt sind über hartcodierte Passwörter hinaus, wie z. B. physische Beschädigung, Manipulation und Diebstahl.

Wenn bei ungesicherten Geräten physisch eingebrochen wird, sind die Ports möglicherweise mit einem Gerät verbunden, das Daten herausfiltert. Auch Speichermechanismen können entfernt und Daten gestohlen werden. Dieser physische Zugang kann ein Einstiegspunkt in das größere Netzwerk sein.

Um physische Sicherheitsrisiken zu verhindern, müssen IoT-Geräte gehärtet werden. Integrieren Sie Sicherheit in das Gerät, stellen Sie eine ordnungsgemäße Zugriffskontrolle sicher, setzen Sie Standardkennwörter zurück, verschlüsseln Sie Daten und Verbindungen und entfernen oder deaktivieren Sie nicht verwendete Ports. Stellen Sie außerdem sicher, dass IoT-Geräte nicht einfach zerlegt werden können oder ihre Komponenten entfernt werden können. In manchen Fällen ist es erforderlich, die Geräte in ein manipulationssicheres Gehäuse zu packen oder das Gerät nach einer physischen Manipulation unbrauchbar zu machen.

7. Verschlüsselung und Datensicherheit

Verschlüsselung gilt als die effektivste Methode zur Sicherung von Daten. Kryptographie ist ein wichtiger Mechanismus, um Datenschutzrisiken vorzubeugen und die Integrität von IoT-Daten im Ruhezustand und bei der Übertragung zwischen Benutzern, Unternehmen, Kunden und anderen Personen oder Geräten zu schützen. Es trägt auch dazu bei, die Privatsphäre des IoT zu gewährleisten und Vertrauen zwischen Unternehmen und Benutzern aufzubauen – insbesondere, wenn persönlich identifizierbare Informationen und sensible Daten ins Spiel kommen, wie etwa bei eingebetteten und vernetzten medizinischen Geräten. Durch die Verschlüsselung wird außerdem verhindert, dass Angreifer Daten manipulieren oder verfälschen.

Das Problem besteht darin, dass viele angeschlossene Geräte – zum Beispiel kleine Sensoren, die Temperatur-, Feuchtigkeits- oder Feuchtigkeitsdaten erfassen – die größten IoT-Sicherheitsbedenken verursachen, weil sie nicht über die erforderliche Leistung, Verarbeitung oder Speicherressourcen verfügen, um herkömmliche Verschlüsselungsalgorithmen wie Advanced Encryption Standard auszuführen (AES). Solche Geräte müssen einen Algorithmus mit hoher Sicherheit, aber geringem Rechenaufwand verwenden – einen Algorithmus, der die Größe, den Stromverbrauch und die Verarbeitungskapazitäten ressourcenbeschränkter Geräte berücksichtigt.

Hier kommen leichte kryptografische Chiffren ins Spiel. Kryptographie mit elliptischen Kurven, bietet beispielsweise das Sicherheitsäquivalent von Rivest-Shamir-Adleman, jedoch mit kleineren Schlüsselgrößen und Vorgängen, die weniger Verarbeitung erfordern, was es zu einer idealen Option für Geräte mit geringerem Speicherplatz, geringerer Rechenleistung und Akkulaufzeit macht. Zu den weiteren leichtgewichtigen Chiffriermitteln gehören Clefia, ein leichtgewichtiges AES; Enocoro, eine hardwareorientierte Stream-Verschlüsselung; Und Fleck, eine Add-Rotate-XOR-Chiffre.

Experten empfehlen außerdem die Verwendung vertrauenswürdiger Sicherheitsprotokolle wie Transport Layer Security oder Datagram TLS.

PKI ist eine andere bewährte Sicherheitsoption. Es kann in Geräte auf Fertigungs- oder Unternehmensebene eingebettet werden. PKI unterstützt die Verteilung und Identifizierung öffentlicher Verschlüsselungsschlüssel und ermöglicht Benutzern und Geräten den sicheren Datenaustausch. Es stellt Geräten eindeutige Identitäten und digitale Zertifikate aus.

Definieren Sie neben der Kryptografie auch geeignete Lebenszyklusverwaltungsprozesse für Verschlüsselungsschlüssel.

8. Netzwerksicherheit

Während die Sicherung von IoT-Geräten und den von ihnen gesammelten Daten wichtig ist, ist es ebenso wichtig, sicherzustellen, dass die Netzwerke, mit denen diese Geräte verbunden sind, vor unbefugtem Zugriff und Angriffen geschützt sind. Verwenden Sie IPSes/IDSes, Antimalware, Firewalls und Netzwerkerkennung und -reaktion oder EDR.

Eine weitere Best Practice für IoT-Sicherheit ist: Segmentieren Sie die IoT-Umgebung vom Rest des Netzwerks. Eines der größten IoT-Sicherheitsprobleme besteht heute darin, dass die mit IT-Netzwerken verbundenen Operational Technology (OT)-Netzwerke in der Vergangenheit im Allgemeinen nie als Bedrohung angesehen wurden. OT-Netzwerke stellten keine Verbindung zum Internet her und stellten, obwohl sie manchmal Angriffen ausgesetzt waren, keine unmittelbare Bedrohung für IT-Netzwerke dar. Ältere OT-Systeme – einige Jahrzehnte alt – verfügen oft über eigene proprietäre Systeme, was bedeutet, dass gängige Sicherheitsmechanismen ihre Probleme bei Routineprüfungen möglicherweise übersehen. Da OT-Geräte und -Maschinen nicht einfach oder kostengünstig ersetzt werden können, müssen Unternehmen sie aktualisieren, patchen und sichern. Da viele so alt sind, dass sie nicht mehr gepatcht werden, kann dies für Sicherheitsteams zu einer zunehmenden Aufgabe werden.

Durch Netzwerksegmentierungkönnen Organisationen verschiedene Netzwerke oder Teile von Netzwerken in verschiedene Zonen einteilen, um Subnetzwerke zu erstellen. Verwenden Sie beispielsweise jeweils eine Zone für Vertrieb, Finanzen, Betrieb usw. Jede Zone verfügt über eigene individuelle Sicherheitsrichtlinien, die auf ihren Benutzern, Geräten und Daten basieren.

Ein häufiger Kritikpunkt bei der Netzwerksegmentierung ist, dass sie die Effizienz und Konnektivität beeinträchtigt. Mit einem IoT-Gateway kann diese Probleme abmildern. Als Vermittler zwischen dem Gerät und dem Netzwerk verfügt ein Sicherheits-Gateway über mehr Rechenleistung, Speicher und Rechenkapazitäten als die damit verbundenen IoT-Geräte. Daher können stärkere Sicherheitsmaßnahmen wie Firewalls und Antimalware näher an den Geräten implementiert werden, um zu verhindern, dass Sicherheitsbedrohungen in das Netzwerk gelangen.

[Eingebetteten Inhalt]

Bekämpfen Sie IoT-Risiken zusätzlich zu Antimalware, Firewalls, IPSes/IDSes und Netzwerksegmentierung, indem Sie die Portsicherheit gewährleisten, die Portweiterleitung deaktivieren und niemals Ports öffnen, wenn sie nicht benötigt werden. Blockieren Sie außerdem nicht autorisierte IP-Adressen.

Bandbreite ist eine weitere häufige IoT-Herausforderung. Da IoT-Netzwerke wachsen und immer mehr vernetzte Geräte mit einem Netzwerk verbunden werden, entstehen Herausforderungen für die Geschäftskontinuität (Business Continuity, BC). Wenn kritische Anwendungen nicht die erforderliche Bandbreite erhalten, leiden Produktivität und Effizienz. Um eine hohe Verfügbarkeit von Anwendungen und Diensten sicherzustellen, sollten Sie die Erweiterung der Bandbreite sowie die Verbesserung der Verkehrsverwaltung und -überwachung in Betracht ziehen. Dies mildert nicht nur BC-Herausforderungen, sondern verhindert auch potenzielle Verluste. Führen Sie aus Sicht der Projektplanung eine Kapazitätsplanung durch und beobachten Sie die Wachstumsrate des Netzwerks, damit der erhöhte Bandbreitenbedarf in der Zukunft gedeckt werden kann.

Eine weitere Überlegung zur Netzwerksicherheit ist welche IoT-Kommunikationsprotokolle benutzen. Nicht alle Protokolle sind gleich, insbesondere wenn es um Sicherheitsfunktionen geht. Von Bluetooth und Bluetooth Low Energy bis hin zu Mobilfunk, MQTT, Wi-Fi, Zigbee und Z-Wave – berücksichtigen Sie die IoT-Umgebung und ihre Sicherheitsanforderungen, bevor Sie ein Protokoll verwenden. Unsichere Kommunikation kann zum Abhören und Abhören führen Man-in-the-Middle-Angriffe.

9. Mangelnde Standardisierung

Ein Standard ist eine Reihe von Spezifikationen, Regeln oder Prozessen, die allgemein von einer Industrie und der Wissenschaft vereinbart werden. Globale Standards tragen dazu bei, die Konsistenz und Kompatibilität zwischen Produkten und Anwendungen sicherzustellen – eine Notwendigkeit für das reibungslose Funktionieren von IoT-Umgebungen.

Die IoT-Branche litt von Anfang an unter einem Mangel an Standardisierung, sowohl im Hinblick auf die Sicherheit als auch auf andere Weise. Die Dinge ändern sich jedoch; Regierungen und Normungsgremien haben damit begonnen, Gesetze und Vorschriften zu veröffentlichen, um sicherzustellen, dass Sicherheit in Geräte integriert ist.

2018 zugelassen, Kaliforniens SB-327„Datenschutz: vernetzte Geräte“ verlangt von Herstellern, Geräte mit „angemessenen“ Sicherheitsfunktionen auszustatten, einschließlich eines vorprogrammierten eindeutigen Passworts für jedes Gerät und einer Einstellung, die erfordert, dass bei der ersten Verwendung ein neues Passwort erstellt wird. Auch im Jahr 2018 wurde die Großbritannien veröffentlicht „Code of Practice for Consumer IoT Security“, gefolgt von Technische Spezifikation 103 645 des Europäischen Instituts für Telekommunikationsnormen, ein Standard zur Regulierung der Sicherheit von Verbrauchergeräten, im Jahr 2019. Die USA Gesetz zur Verbesserung der IoT-Cybersicherheit 2020 forderte NIST und das US Office of Management and Budget dazu auf, Richtlinien und Standards für Sicherheitsmaßnahmen auf IoT-Geräten zu entwickeln, die von der Bundesregierung verwendet werden.

Unternehmen sollten über alle neuen Standards auf dem Laufenden bleiben – sei es von der Regierung, vom Verbraucher oder von anderen Stellen. Diese werden sich in Zukunft auf die Herstellung und Sicherheitsstandards von IoT-Geräten auswirken.

10. Mangel an IoT-Fähigkeiten

Der Fachkräftemangel betrifft jede Branche, und das Internet der Dinge ist da nicht anders. Was IoT von anderen Branchen unterscheidet, ist die Tatsache, dass es sich um eine völlig neue Disziplin handelt. Es ist auch ein Konvergenz von IT und OT, was bedeutet, dass Personen, die sich fließend in OT auskennen, sich wahrscheinlich nicht gut mit IT auskennen und umgekehrt. Darüber hinaus ist IoT keine einzelne Disziplin. Viele Fähigkeiten sind erforderlich ein erfolgreicher IoT-Experte zu sein, von Cybersicherheit und UX-Design über maschinelles Lernen und KI-Wissen bis hin zur Anwendungsentwicklung.

IoT-spezifische Zertifizierungen Es sind Schulungen entstanden, darunter eine Reihe spezieller IoT-Sicherheitsschulungen, die grundlegende Kenntnisse über vernetzte Umgebungen vermitteln.

Die Schließung der Qualifikationslücke ist in jeder Branche eine Herausforderung. Eine Möglichkeit besteht darin, in Schulungen und Zertifizierungen für interne Mitarbeiter zu investieren. Die Beauftragung Dritter und Berater für IoT-spezifische Projekte ist eine weitere Option, die jedoch je nach Anzahl der zu bearbeitenden Projekte kostspielig werden kann. Projekte können auch komplett ausgelagert werden.

Es ist auch wichtig, Endbenutzer über die sichere IoT-Nutzung aufzuklären. Viele Benutzer sind sich möglicherweise nicht der Sicherheitsbedrohungen bewusst, die Smart-Home-Geräte wie Smart-TVs, Lautsprecher und Babyphone für sie selbst und ihren Arbeitsplatz darstellen.