21년 2016월 XNUMX일, IoT 보안 실패로 인해 인터넷의 상당 부분이 약 하루 동안 오프라인 상태가 되었습니다. 그 범인? 현재 악명 높은 봇넷(악의적인 트래픽 폭주 또는 DDoS(분산 서비스 거부) 공격) 미라이. 멀웨어는 수만 개의 소비자 IoT 기기가 여전히 기본 비밀번호로 실행되는 것을 발견했습니다. Mirai는 그 암호를 가지고 있었습니다.
일단 장치를 제어하게 되자 Mirai는 장치를 봇 군대로 동원했습니다. 공격 배후의 그룹은 봇을 최상위 DNS(Domain Name System) 제공업체를 겨냥한 것으로 보입니다. 노크 플레이스테이션 네트워크. 다음으로 Reddit, Netflix 및 Twitter는 모두 몇 시간 동안 사용할 수 없었습니다.
동일한 종류의 침해로 인해 해커는 비즈니스 IoT 시스템을 자유롭게 지배할 수 있으며, 도난당한 데이터에서 랜섬웨어 등에 이르기까지 잠재적으로 치명적인 영향을 미칠 수 있습니다. 그것은 일어난다. 2020년 상반기에서 2021년 사이 IoT 기기에 대한 사이버 공격이 XNUMX배 이상 증가했다고 보안업체 Kaspersky는 Threatpost에.
하지만 좋은 소식도 있습니다. 60% + IoT에 의존하는 기업은 스스로를 보호할 힘이 없습니다. IoT의 사이버 보안은 2016년 이후 많이 발전했습니다. 최첨단 방어를 수용하는 IoT 파트너를 선택해야 합니다.
오늘날 많은 IoT 시스템이 셀프 서비스 플랫폼에서 실행되므로 모든 비즈니스 사용자가 맞춤형 IoT 애플리케이션을 구축할 수 있습니다. 처음부터 디자인하지 않고. 그래서 어떻게 결정합니까 어느 플랫폼이 보안 위협에 직면했을 때 가장 안심할 수 있습니까?
공급자에게 다음 XNUMX가지 IoT 보안 질문을 하십시오. 그들의 대답은 그들이 IoT 보안에 대한 오늘날의 모범 사례를 따르는지 아니면 계속 검색해야 하는지를 알려줄 것입니다.
IoT 플랫폼 공급자에게 물어봐야 할 5가지 IoT 보안 질문
기존 IT 보안 전략을 IoT 시스템에 적용할 수 없습니다. 각 장치의 잠재적인 침입 벡터가 있는 이 새로운 패러다임은 사이버 방어에 대한 새로운 접근 방식을 요구합니다. IoT 플랫폼의 보안 수준을 평가하려면 공급자와 인터뷰를 수행하고 다음 XNUMX가지 IoT 보안 질문으로 시작하십시오.
1. 전반적인 보안 프레임워크는 무엇입니까?
사이버 보안은 안정적인 방어를 만들기 위한 전략이 확립된 강력한 분야입니다. IoT 플랫폼 공급자는 이러한 전략을 설명할 수 있어야 합니다. 네트워크 및 정보 보안을 위한 유럽 연합 기관 추천하다 a 심층 방어 여러 계층의 방어가 공격을 중지하는 접근 방식; 보안 경계 하나가 실패하면 개념이 유지되고 다른 경계는 유지됩니다.
심층 방어는 IoT 시스템에 밀접하게 매핑되며, 여기에서 귀하(및 귀하의 플랫폼 제공업체)는 최소한 세 가지 보안 수준을 유지해야 합니다.
- 하드웨어, 소프트웨어 및 네트워크 연결을 포함한 장치 자체 보호
- 관리 계층 및 데이터 액세스를 포함한 IoT 클라우드 보호
- 귀하의 위치에 따라 GDPR(일반 데이터 보호 규정), 현지 법률 및 산업 인증을 포함한 데이터 개인 정보 보호법 준수
이러한 여러 수준의 보호를 제공하기 위해 IoT 플랫폼 개발자는 다음과 같은 인증 표준을 적용할 수 있습니다. ISO 27001 또는 개발 프로세스의 모든 단계에서 보안을 통합하는 DevSecOps(개발, 보안 및 운영) 프로그램을 따르십시오. 그들은 둘 다 할 수도 있고 또 다른 접근 방식을 취할 수도 있습니다. 의심스러울 때는 물어보십시오.
한편 마이크로소프트는 추천하다 제로 트러스트 원칙 IoT 보안을 위해 이 방어 프레임워크는 무죄가 입증될 때까지 모든 요청이 유죄라고 가정합니다. 액세스를 제공하기 전에 강력한 검증이 필요합니다.
심층 방어와 제로 트러스트는 상호 배타적이지 않습니다. IoT 플랫폼의 강력한 보안에는 두 가지 요소가 모두 포함될 수 있습니다. 사실, 세 번째 전략은—설계 상 보안—여러 보안 정책을 한 번에 통합하여 보안을 전체 시스템 및 해당 수명 주기에 걸친 전체적인 요구 사항으로 간주합니다.
2. 플랫폼에서 보안 기능을 어떻게 활성화합니까?
이것은 일종의 트릭 질문입니다. 이상적으로는 보안 기능이 기본적으로 활성화되어 있어야 합니다. 마찬가지로, 잠재적인 취약점을 여는 장치 기능은 반드시 필요하다고 확신할 때까지 비활성화해야 합니다.
참고로 기본 암호는 초기에 강력해야 합니다. 또한 배포하기 전에 암호와 사용자 이름을 변경해야 합니다. 이는 2016년의 Mirai 공격에서 여전히 관련이 있는 교훈입니다.
3. 장치 수준에서 보안 침해를 어떻게 방지합니까?
IoT 플랫폼의 경우 장치 보안이 까다로울 수 있습니다. 결국, 그들은 항상 당신이 사용하는 장치를 제어하지 않습니다. 선택할 수 있는 사전 통합된 장치 라이브러리를 제공하는 공급자에게 가서 장치 펌웨어에서 보안 프로토콜을 확인했는지 물어보십시오.
한 가지 주요 모범 사례는 하드웨어 기반을 제공하는 장치만 사용하는 것입니다. 변하지 않는 신뢰의 뿌리. 시스템을 부팅하는 펌웨어인 정품 BIOS(Basic Input/Output System)를 확인하는 칩입니다. 이 확인 없이 해커는 손상된 BIOS에서 장치를 부팅할 수 있습니다.
4. 플랫폼은 사용자 액세스를 어떻게 제어합니까?
악의적인 행위자가 현관문을 통해 들어오게 하지 마십시오. IoT 플랫폼의 사용자 제어는 주로 인증 및 권한 부여의 문제이지만 모든 인증 프로토콜이 동등하게 강력한 것은 아닙니다. 제로 트러스트 보안을 유지하기 위해 플랫폼은 시스템 리소스를 개별적으로 보호해야 합니다.
리소스 인증을 위한 가장 일반적인 프로토콜은 OAuth2입니다. 할당된 사용자 역할에 따라 달라지는 리소스에 대한 OAuth2 및 훨씬 더 나은 SSO(Single Sign-On) 인증을 포함하는 플랫폼 공급자를 선택합니다. 역할에 대해 말하자면 IoT 플랫폼에서 RBAC(역할 기반 액세스 제어)를 찾으십시오. 이를 통해 관리자에서 사내 사용자, 타사 파트너에 이르기까지 IoT 프로젝트에 관련된 모든 사람에게 다양한 수준의 액세스 권한을 부여할 수 있습니다.
5. 소프트웨어 및 펌웨어 업데이트를 어떻게 처리합니까?
업데이트를 빨리 적용할수록 전체 시스템의 보안이 강화됩니다. 그러나 수십(또는 수백) 개의 장치가 있는 IoT 시스템에서는 수동 방법만으로는 최신 상태를 유지할 수 없습니다.
대신 클라우드를 통해 새 버전의 소프트웨어 및 펌웨어를 푸시하는 무선(OTA) 업데이트를 지원하는 IoT 시스템을 찾으십시오. 또한 서버 업데이트를 위한 보안, 장치 연결 및 패키지 업데이트를 위한 암호화 방법에 대해 질문할 수 있습니다.
IoT 플랫폼의 사이버 보안 문제 극복
매우 풍부한 데이터 수집, 전례 없는 자동화, 실시간 데이터 흐름 등 IoT의 약속은 기술을 경쟁에 필수적으로 만듭니다. 이러한 이점을 제공하는 동일한 특성이 새로운 보안 문제 세트에 기여합니다.
대부분의 IoT 장치는 물리적 크기와 컴퓨팅 성능 모두에서 가능한 한 작게 설계되었습니다. 보안 기능을 위한 여지가 항상 있는 것은 아닙니다. 설상가상으로 IoT 시장은 모든 이해 관계자에 걸쳐 표준화된 보안 프로토콜에 정착하지 않았습니다. 예를 들어 장치 제조업체는 인증에 대해 완전히 다른 접근 방식을 취할 수 있습니다. 플랫폼 제공자, 시스템 통합자 및 운영자 자체가 모두 같은 페이지에 있지 않을 수 있습니다.
단일 셀프 서비스 IoT 플랫폼을 선택하면 이러한 단편화가 제거됩니다. 이러한 플랫폼은 전체적인 보안 기반 설계 전략을 비교적 간단하게 만듭니다. 그러나 플랫폼 공급자와 파트너 관계를 맺기 전에 해당 공급자가 보안을 처리하는 방법을 이해해야 합니다. 위에 나열된 IoT 보안 질문은 시작하기에 좋은 곳입니다.
