Si cree que sus dispositivos IoT solo están conectados a su propia red, ¡piénselo de nuevo! Los dispositivos IoT generalmente están conectados a una red con acceso a Internet. Y los piratas informáticos pueden tomar el control de los dispositivos con bastante facilidad.
Los dispositivos IoT (internet de las cosas) de consumo son dispositivos "inteligentes" que se conectan con su red para aumentar las capacidades. Algunos dispositivos IoT incluyen luces inteligentes, electrodomésticos de cocina inteligentes, relojes inteligentes y automóviles inteligentes. Dichos dispositivos se están volviendo comunes en la mayoría de los hogares.
Pero hay una advertencia sobre la mayor comodidad y funcionalidad. Los fabricantes de dispositivos IoT generalmente se enfocan en las funciones orientadas al cliente y el tiempo de comercialización en lugar de la seguridad. Los dispositivos a menudo tienen agujeros de seguridad evidentes que son fáciles de infiltrar para los atacantes. Este es un desafío para las organizaciones, ya que los empleados vinculan estos dispositivos con las redes de la oficina. Dado que las redes domésticas también se utilizan normalmente para el trabajo corporativo, estos dispositivos pueden verse comprometidos para obtener acceso a las redes empresariales.
Algunos incidentes vienen a la mente. Puede pensar que los casinos son algunos de los negocios más seguros del mundo, pero pueden ser pirateados. Hace algunos años, un grupo de piratas informáticos logró acceder a la red de un casino a través de un termómetro conectado a Internet en un acuario y extrajo su base de datos de grandes apostadores con todos los detalles confidenciales.
En 2016, los piratas informáticos dejaron helados a los residentes de dos edificios de apartamentos en Lappeenranta, Finlandia, durante casi una semana al lanzar un ataque DDoS en sus sistemas de control ambiental a través de termostatos. Debido a que tanto los sistemas de calefacción central como los de agua caliente fueron atacados, los sistemas ambientales se reiniciaron en su intento de combatir el ataque y quedaron atrapados en un bucle sin fin.
Estos son sólo un par de ejemplos. En los últimos años, los incidentes de piratería de IoT han ido en aumento. La gestión de acceso e identidad (IAM) puede ayudar.
¿Qué vulnerabilidades en los dispositivos IoT representan una amenaza para la seguridad?
Las vulnerabilidades en los dispositivos IoT son numerosas, lo que crea una gran superficie en la que los atacantes pueden establecerse. De estos, IAM puede ayudar con algunos.
Esquemas de autenticación deficientes. Las contraseñas codificadas y de texto claro que se almacenan localmente y se transmiten a través de una red son fáciles de interceptar y robar para los atacantes. Además, los dispositivos IoT a menudo tienen credenciales de administrador predeterminadas simples que nunca se solicitan para cambiar, por lo que acceder a estos dispositivos es muy fácil. Los atacantes pueden aprovechar los esquemas de autenticación débiles en los dispositivos IoT de los consumidores para ganar persistencia, moverse lateralmente a través de una red local y, en última instancia, obtener un punto de apoyo con el que pasar a los activos empresariales. Este problema se ve agravado por el hecho de que cambiar las contraseñas puede llevar mucho tiempo en un hogar con muchos dispositivos conectados. Esto se evidencia en los miles de dispositivos conectados a Internet accesibles a través de Shodan, el motor de búsqueda de dispositivos conectados, debido al uso de credenciales predeterminado.5 Además, muchos dispositivos,
Las aplicaciones móviles correspondientes son vulnerables a las vulnerabilidades. Los dispositivos IoT tienen aplicaciones complementarias que están destinadas a controlar la configuración y emitir comandos. Las aplicaciones móviles rara vez se crean teniendo en cuenta la seguridad y también son fáciles de comprometer. Los atacantes pueden usar estas aplicaciones para obtener acceso a las redes corporativas.
El firmware es vulnerable a los exploits. Los dispositivos utilizan sistemas operativos en tiempo real integrados en el hardware, que poseen varias vulnerabilidades. Por qué estos son menos que los que se encuentran en dispositivos móviles y sistemas operativos como Windows, es una superficie de ataque adicional desde la cual los malos actores pueden intentar penetrar en una red corporativa.
Tienen vulnerabilidades de hardware. Los dispositivos IoT tienen controles físicos como botones de restablecimiento completo y puertos de expansión de medios que son vulnerables a los ataques. Si bien esto requiere que el atacante tenga acceso físico al dispositivo, no se puede ignorar como una superficie de ataque. Pueden robar datos de los medios de almacenamiento, reemplazarlos con algo que contenga ejecutables maliciosos o realizar inyecciones de línea de comandos directamente.
Tienen vulnerabilidades de comunicación. Este tipo de vulnerabilidad es muy común en dispositivos IoT. Un estudio mostró que el 90 % de todo el tráfico de dispositivos IoT no está cifrado, lo que puede dar lugar a ataques de intermediarios (MITM) en los que pueden producirse robos directos de datos o contraseñas. A pesar de que los dispositivos IoT son una tecnología nueva, utilizan protocolos de control remoto Telnet, que es un vector muy popular para los atacantes.
La gestión de acceso e identidad puede ayudar
El IoT introduce la necesidad de administrar exponencialmente más identidades de las que los sistemas IAM existentes deben admitir. La industria de la seguridad está experimentando un cambio de paradigma en el que IAM ya no se preocupa únicamente por la gestión de personas, sino también por la gestión de cientos de miles de "cosas" que pueden estar conectadas a una red. En muchos casos, estas cosas se conectan de forma intermitente y es posible que se requieran para comunicarse con otras cosas, dispositivos móviles y la infraestructura de back-end. Algunos han comenzado a referirse a este nuevo ecosistema de identidad como la Identidad de las Cosas (IDoT). El IDoT se refiere a las relaciones entre dispositivos y humanos, dispositivos y dispositivos, dispositivos y aplicaciones/servicios o un humano y una aplicación/servicios.
Con respecto a MFA, no siempre es factible usar los métodos tradicionales de MFA para respaldar la autenticación sólida de las cosas. La Iniciativa Kantara y otros han señalado la necesidad de investigar métodos que proporcionen autenticación basada en el contexto como un nuevo factor en un proceso de autenticación. Las organizaciones de autenticación de próxima generación como FIDO (MFA de hardware basado en USB) y CryptoPhoto (MFA de teléfono inteligente fuera de banda) ofrecen una autenticación sólida con autenticación mutua incorporada, las cuales son adecuadas para dispositivos IoT, incluso sin pantallas/teclados.
En general, la tecnología IoT representa un salto cuántico al agregar una capa de facilidad y comodidad a muchas actividades y hace posibles cosas que antes no eran posibles. Pero la seguridad de IoT deja mucho que desear. Son desastres calientes esperando a suceder. Ya sea debido a esquemas de autenticación deficientes, vulnerabilidades en las aplicaciones móviles correspondientes de los dispositivos, firmware o hardware vulnerable o vulnerabilidades de comunicación, hay muchas formas en que los piratas informáticos pueden infiltrarse en los dispositivos y llegar a los recursos corporativos a través de ellos.
ความคิดเห็น