(Статья написана в апреле 2020 года для журнала «Ростелеком PRO»).

Интернет Безопасных Вещей (Internet of Secure Things).

Интернет вещей IoT (Internet of Things) радикально изменился в последние два десятилетия, за счёт роста популярности технологий распределённых сетей. По оценкам аналитиков агентства McKinsey, к 2025 году в мире будет насчитываться примерно 50 млрд подключённых к сети Интернет устройств, в пять раз больше, чем в 2010 году. Общая экономическая ценность такой сети составит 11 триллионов долларов, за счёт создания новых возможностей для бизнеса, государственных организаций и ИТ-отрасли.

Однако, такое бурное развитие порождает не только соблазнительные возможности, но также и угрозы безопасности, как для организаций, так и отдельных людей. Однако, приходится с сожалением констатировать, что слишком поспешное внедрение технологий со стороны поставщиков решений IoT создаёт потенциальные киберугрозы.

По данным аналитиков из британской компании TheRegister, 98% трафика, генерируемого IoT-устройствами, передаётся по публичной сети в незашифрованном виде, делая персональные и конфиденциальные данные доступными для потенциальных злоумышленников. 

Более того, в большинстве корпоративных сетей устройства IoT используются вместе с традиционным оборудованием, таким как ноутбуки, персональные компьютеры и мобильные устройства. Это открывает лазейки для зловредных программ, при помощи которых можно получать доступ к IoT-устройствам, и таким образом, к большим объёмам потенциально ценных данных, которые можно продать на «чёрном рынке».

Такие неутешительные выводы показали результаты тестирования более чем одного миллиона IoT-устройств в нескольких тысячах компьютерных сетей в США, которое было выполнено компанией Palo Alto Networks из Калифорнии. Например, тестирование показало, что 83% диагностических медицинских устройств, связанных с получением диагностических изображений (рентген, КТ и пр.), работают на операционных системах с истёкшим периодом поддержки (например, Windows 7 и ниже). Это открывает злоумышленникам доступ к чувствительной медицинской информации.

Другие угрозы, которые были обнаружены в ходе исследования:

• 98% трафика IoT передавалось в незашифрованном виде, что давало возможность получать доступ к персональным и конфиденциальным данным.
• 51% угроз организациям здравоохранения связано с доступом к устройствам медицинских изображений (рентген, КТ, МРТ, УЗИ и пр.), что снижает качество медицинского обслуживания и даёт сторонним организациям (например, страховым компаниям) доступ к конфиденциальной медицинской информации.
• 72% локальных сетей медучреждений содержат как IoT-, так и IT-устройства, что даёт возможность зловредным программам с компьютеров получать доступ к IoT-устройствам в той же сети.
• 57% IoT-устройств уязвимы от средней до высокой степени, что делает их лёгкой добычей для хакеров
• 41% хакеров используют уязвимости IoT-устройств.

Другие источники и причины атак на IoT-устройства, которые были обнаружены в исследовании Palo Alto, показаны на рисунке ниже.

Об этом уже давно говорят многие специалисты по кибербезопасности. В штате Калифорния был даже принят специальный закон (SB-327) о том, что каждое IoT-устройство должно иметь уникальный пароль, причём, отличный от пароля изготовителя по умолчанию.

Хотя уже более 25 лет кибербезопасность находится в центре внимания больших предприятий, лишь относительно недавно специалисты по кибербезопасности обратили внимание на встроенные в промышленное оборудование IoT-устройства. Какие проблемы возникают при внедрении «Интернета Безопасных Вещей» (Internet of Secure Things), который бы обеспечивал безопасность встроенных устройств?

• Критические функции. Кроме устройств IoT в домашнем хозяйстве, IoT-устройства также широко применяются в управлении критическими инфраструктурами: транспортом, сетями ЖКХ, сетями связи и многих других. Кибератаки на устройства IoT в этих инфраструктурах может парализовать их работу, вызвав очень серьёзные последствия. 
• Репликация. После проектирования, недорогие устройства IoT могут производиться тиражами до миллионов штук идентичных устройств. Если хакер будет способен создать кибератаку на одно такое устройство, то она может быть реплицирована на все другие устройства.
• Предвзятость проектировщиков. Многие проектировщики встроенных IoT-устройств долгое время пребывали в уверенности, что такие устройства не являются целью хакеров. Эти предубеждения были вызваны ошибочным мнением о том, что хакеры, якобы, не обладают достаточной квалификацией, чтобы разобраться в принципах работы IoT. В результате, при проектировании IoT-устройств часто не закладывались требования по безопасности. Сегодня требования по безопасности в проектах IoT выглядят непривычными, и проектировщики ещё не наработали достаточного опыта.
• Трудность установки патчей. Многие устройства IoT не так легко проапгрейдить. После их разработки, они часто продолжают работать на том же ПО, которые было заложено в них при изготовлении. Специализированные операционные системы не имели возможностей автоматизации, которые бы позволяли легко апгрейдить их «зашитое» ПО (firmware), чтобы периодически обновлять функции безопасности по мере появления новых угроз. Сами устройства часто не имеют возможностей (ввода-вывода, или системы хранения) которые бы позволяли устанавливать на них патчи.
• Долгий срок службы. Срок службы устройств IoT обычно много больше срока службы персональных компьютеров или пользовательских устройств. Часто устройства IoT работают по 15-20 лет. Поэтому закладывать в проектируемые сегодня устройства требования к безопасности, которые могут появиться через 10 лет – довольно сложная задача.
• Проприетарные и специализированные отраслевые протоколы. Встроенные устройства часто используют весьма специализированные протоколы, которые на распознаются и не защищаются средствами безопасности предприятия. Системы информзащиты периметра предприятия обычно проектируются для предотвращения угроз, специфичных для предприятия, а не против атак на промышленные протоколы.
• Развёртывание вне периметра безопасности предприятия. Многие встроенные устройства являются мобильными и разворачиваются вне периметра безопасности предприятия, «в поле». В результате эти устройства могут получать прямой доступ к публичному интернету без средств защиты, которые находятся в корпоративной сети предприятия.

Уровень безопасности, требуемый для устройств IoT, сильно зависит от функции устройства. Вопрос должен быть не в том, безопасно ли устройство вообще, а в том, насколько оно безопасно. Например, спутник для военной связи или система управления АЭС требуют гораздо более высокого уровня безопасности, нежели устройство для удалённой диагностики заболеваний или для автоматического заказа стирального порошка.

Урок, который следует извлечь из историй с кибератаками, типа StuxNet, состоит в том, что хакерство – это не сообщества скучающих подростков, или даже не небольшие группы мотивированных хакеров. Когда ставки высоки, то кибер-атаки бывают очень изощрёнными, многофазными, детально спланированными и могут проводиться профессиональными командами хорошо оплачиваемых хакеров или даже спецслужбами государств.

Речь уже больше не идёт только о защите устройств от злонамеренных IP-пакетов или от DoS-атак. Организации хакеров вкладывают значительные средства в сбор информации об устройствах, которые могут быть их потенциальными целями. Они взламывают корпоративные сети для того, чтобы похищать информацию. При возможности, они даже покупают устройства, через которые возможно проникновение в корпоративную сеть, изучают их конструкцию, чтобы использовать это для возможных атак.

Иногда они пытаются также получить информацию о сетях и устройствах, используя другие методы шпионажа, включая попытки перекупить инженеров, которые занимаются проектированием устройств, которые хакеры намереваются взламывать. Поэтому, все встраиваемые в промышленное оборудование устройства от сторонних производителей должны предусматривать средства защиты от атак групп, которые могут сотрудничать с разработчиками устройств..

Требования по безопасности встроенных устройств должны предусматривать защиту firmware от взлома, несанкционированного доступа при разработке, защиту данных, содержащихся в устройстве, защиту коммуникаций между устройствами и защиту самого устройства от кибератак. Этой цели можно достичь только при учёте требований по безопасности на самых ранних стадиях проектирования устройств IoT.

Каких-либо универсальных решений для обеспечения безопасности устройств IoT, на все случаи жизни, к сожалению, не существует. Требования по безопасности должны принимать во внимание стоимость нарушения безопасности (экономическую, вреда окружающей среде, социальную и пр.), потенциальный риск атаки, а также стоимость внедрения решения по безопасности. При этом необходимо принимать во внимание следующее:

Решения для обеспечения безопасности устройств IoT.

Функция безопасности	Средства реализации на встроенных устройствах
Безопасная загрузка	Достигается при использовании программного кода, криптографически защищённого производителем, вместе с аппаратной поддержкой верификации распознавания кода. При этом обеспечивается защита от несанкционированного доступа к firmware.
Безопасные обновления кода	Метод безопасного обновления кода с использованием подписанного кода (безопасная загрузка) предотвращает попадание зловредного кода в систему.
Безопасность данных в устройстве	Предотвращение неавторизованного доступа к устройству, шифрование данных в системе хранения, а также шифрование каналов связи.
Аутентификация	Все коммуникации в устройстве должны проходить аутентификацию с использованием сильных паролей, а также с использованием протоколов аутентификации, таких как X.509 или Kerberos.
Безопасные коммуникации	Коммуникации между устройством и сетью должны быть обеспечены шифрованием (SSH, SSL и пр.), небезопасные алгоритмы шифрования должны быть исключены. Например, 40-битовые ключи шифрования, которые когда-то рассматривались как вполне безопасные, не должны использоваться.
Защита от кибератак	Встроенные файрволлы обеспечивают достаточный уровень защиты от кибератак. Файрволл способен ограничить коммуникации только ограниченным числом доверенных хостов, предотвращая внешние атаки хакеров до того, как они начнут атаку. Важно обеспечить уровень защиты для обычных атак, таких как перегрузка потоком пакетов, переполнение буфера, и защиту от известных эксплойтов протоколов. Файрволл может обеспечить большинство функций такой защиты, однако, некоторые из них могут быть содержаться и во встроенных приложениях.
Распознавание вторжений (IDS) и мониторинг безопасности	Многие существующие устройства IoT могут быть атакованы, и никто об этом даже не узнает. Хакер может выполнять тысячи и миллионы безуспешных логинов, и об этих атаках не будут генерироваться никаких отчётов. Поэтому встроенные устройства должны быть способны распознавать и анализировать попытки неуспешных логинов, а также другие виды злонамеренной активности. Причем, надо отметить, что требования к мониторингу устройств IoT сильно отличаются от требований мониторинга обычных компьютерных устройств в сети предприятия. Требования к IDS для встроенных устройств зависят от поддерживаемых ими протоколов.
Управление безопасностью устройств IoT	Интеграция с системами управления безопасностью должна позволять обновление политик безопасности, чтобы избежать рисков от вновь открываемых угроз.
Распознавание проникновения внутрь устройства (tampering)	Некоторые новые процессоры и платы уже содержат встроенные средства распознавания tampering-активности. У них есть способность детектирования целостности печати на крышке устройства для того, чтобы распознавать, что кто-то пытался открыть крышку устройства.

Интеграция средств безопасности в IoT-устройства– это важная задача, которую надо предусматривать на ранних стадиях проектирования. Это поможет обеспечить защиту устройства от кибер-атак, которые становятся всё более изощрёнными и разнообразными. Это поможет создать Интернет Безопасных Вещей (Internet of Secure Things).