Сигурност на домашната мрежа и IoT: пълно ръководство за защитен интелигентен дом

Информатек Дигитал » Ресурси » Сигурност на домашната мрежа и IoT: пълно ръководство за защитен интелигентен дом

Живеем заобиколени от свързани джаджи: умни крушки, високоговорители с гласови асистенти, IP камери, роботизирани прахосмукачки, умни телевизори, Wi-Fi контакти, сензори от всякакъв вид... Домовете стават по-комфортни, по-ефективни и дори по-забавни благодарение на домашните технологии , но това също така отваря огромна врата за киберпрестъпниците, които преди са били насочени само към компютри и мобилни телефони.

Проблемът е, че повечето от тези устройства са проектирани с мисъл за функционалност и цена, а сигурността е много по-малко важна. Фабрични пароли, актуализации, които никога не пристигат, некриптирани връзки, масивно събиране на лични данни ... Ако не се предприемат мерки, вашият хладилник, вашият телевизор или вашият бебефон могат да се превърнат в шпионин в дома ви или в войник в глобална ботнет мрежа, без дори да го осъзнавате.

Какво е IoT в дома и защо трябва да се грижите за неговата сигурност?

Когато говорим за Интернет на нещата, имаме предвид физически устройства, свързани към мрежа, които обменят данни и могат да бъдат управлявани дистанционно . В дома това включва всичко - от традиционни компютри и мобилни телефони до домакински уреди, сензори, електронни брави и дори свързани автомобили.

Тези устройства обикновено включват сензори и малки процесори, които постоянно събират информация : температура, консумация на електроенергия, време на използване, околен шум, изображения от камерата, модели на движение... и я изпращат до мобилния ви телефон, домашния ви сървър или облака на производителя.

Цялата тази екосистема за интелигентен дом има няколко отличителни характеристики: голям брой устройства, много различни модели, дълъг жизнен цикъл и лоша култура на поддръжка . Не е необичайно камера, телевизор или термостат да останат в употреба в продължение на много години, без да получат корекции за сигурност или засилване на IoT мрежата.

Освен това, много IoT устройства са проектирани като „включи и забрави“, което означава, че потребителите рядко променят идентификационни данни, проверяват разрешения или се притесняват за фърмуер, протоколи за криптиране или политики за поверителност . Това е мястото, където нападателите намират перфектната среда за размножаване.

Рискове и заплахи в интелигентния дом, базиран на Интернет на нещата (IoT).

Най-големият проблем с IoT средите е, че все още няма задължителен глобален стандарт за сигурност за производителите на домашна техника. Регулациите се фокусират повече върху изискванията за електрическа или енергийна ефективност, отколкото върху това как устройството защитава вашите данни.

Натискът за пускане на продукти на пазара означава, че много устройства се пускат с конструктивни недостатъци, идентификационни данни по подразбиране, отворени услуги и без план за актуализации . Веднага щом се появи нов модел, старият обикновено не се поддържа, но той остава свързан в хиляди домове в продължение на години.

Междувременно киберпрестъпниците непрекъснато се развиват: появяват се нови техники за атака, заедно със специфичен за интернет на нещата зловреден софтуер и ботнет мрежи, способни да координират стотици хиляди устройства чрез един контролен панел. Дори неопитни хакери могат да изтеглят инструменти и да експлоатират известни уязвимости.

Сценариите за домашна сигурност са разнообразни. Нарушителят може например да поеме контрол над камери, бебефони или уебкамери и да ги използва за шпиониране. Той може също така да манипулира системите за осветление и климатичен контрол, за да определи дали някой е вкъщи, или да слуша гласови команди, насочени към гласов асистент, и да извлича идентификационни данни или банкова информация.

Друг фронт включва индиректни атаки: отвличане на едно слабо защитено IoT устройство, използването му като портал към останалата част от мрежата, стартиране на ransomware за блокиране на вашата система за домашна автоматизация или превръщане на вашите устройства в част от огромна ботнет мрежа, която участва в DDoS атаки, спам, кликване или добив на криптовалута.

IoT ботнети: Случаят с Mirai and Company

Класически пример е ботнетът Mirai, който преди години успя да зарази над 100 000 IoT устройства, като се възползва от факта, че много потребители не са променили потребителското си име и парола по подразбиране. С тази комбинирана сила, той стартира мащабна DDoS атака, която свали DNS доставчик и засегна основни онлайн услуги.

Въпреки че оригиналните създатели бяха арестувани, кодът на Mirai непрекъснато се използва повторно и адаптира , генерирайки нови варианти, които продължават да експлоатират същия основен недостатък: устройства, изложени в интернет с предвидими идентификационни данни.

Често срещани атаки срещу IoT устройства

Сред най-честите атаки срещу домашни IoT устройства са:

• Шпионаж и наблюдение: възползване фотоапаратимикрофони или слабо защитени сензори за записване на аудио, видео или потребителски навици и изпращането им до сървъри, контролирани от нападателите.
• Разпространение на спам и зловреден софтуер: използване на вашите устройства като изпращачи на спам или като част от кампании за разпространение на зловреден софтуер.
• атаки с груба силаОпитайте милиони комбинации от пароли (използвайки речници или общи ключове), докато не я получите правилната; ако използвате прости пароли, рано или късно ще се провалите.
• Кражба на информацияизвличане на история на употреба, лични данни, пароли, запазени в свързани приложения, или дори финансова информация, ако има такава.
• ескалация на привилегиитеВлезте с евтино устройство и оттам се придвижете странично, за да достигнете до по-ценно оборудване, като например домашни компютри или сървъри.
• DDoS атаки: претоварване на услуга, уебсайт или дори извеждане на камери и системи за сигурност от строя чрез изпращане на обем заявки, които те не могат да обработят.

Умни високоговорители и гласови асистенти: особено деликатен случай

Гласовите асистенти са може би най-важното за поверителността IoT устройство . Те не само винаги слушат правилната ключова дума, но често контролират ключалки, камери, осветление, термостати и други ключови домакински уреди.

Демонстрирани са атаки, при които натрапник, дори отвън, може да издава гласови команди, които говорещият интерпретира (от телевизионна реклама или аудио, възпроизвеждано наблизо), за да отваря врати, да закупува продукти или да променя настройките за сигурност.

Открити са и случаи, при които злонамерени приложения или грешки са позволявали на асистента да продължи да записва след командата и да изпраща тези разговори на трети страни. Затова е препоръчително да се разделят например мрежите или акаунтите и да се оценят системите за домашна сигурност : екосистемата за домашна автоматизация е едно, а достъпът до онлайн банкиране или силно чувствителна информация е съвсем друго.

Умна телевизия и масивно събиране на данни

Свързаните телевизори също не са изключение. Много от тях внедряват проследяване на това какво гледате, по кое време, колко често сменяте канали или приложения , и тази информация може да бъде продадена на рекламодатели или трети страни; консултирайте се с основно ръководство за онлайн сигурност . Има нашумели случаи на глоби на производители за проследяване на потребители, без да ги информират правилно.

Освен това, смарт телевизорът обикновено е свързан към същата мрежа като останалите устройства и често има остарял фърмуер, отворени портове или несигурни приложения . Хакер, който успее да го компрометира, може да го използва като мост към други устройства в дома.

Основни често срещани уязвимости в Интернет на нещата

Много проблеми със сигурността на IoT се повтарят при различните производители и модели. Разбирането на тези слабости ви помага бързо да идентифицирате кога дадено устройство е ненадеждно или се нуждае от по-внимателна конфигурация.

Един от най-сериозните недостатъци е, че много устройства се предлагат с идентификационни данни по подразбиране, понякога дори невъзможни за промяна . Ако потребителят не промени потребителското име и паролата и устройството е достъпно от мрежата (или интернет), е само въпрос на време някой да опита тези публични комбинации и да получи достъп.

Друга класическа уязвимост е липсата на надеждност в софтуера: препълване на буфера, ненужни активни услуги, лошо защитени API, липса на криптиране или слабо удостоверяване . Всичко това улеснява всичко - от изпълнението на произволен код до прихващането на данни.

Съществуват и уязвимости, свързани със самата екосистема: уеб интерфейси без HTTPS, мобилни приложения, които предават данни в обикновен текст, несигурни механизми за актуализиране (без проверка на подписа на фърмуера) или остарели и несигурни компоненти на трети страни.

Най-често срещаните уязвимости в IoT устройствата

Сред най-често срещаните слабости откриваме:

• Слаби или твърдо кодирани пароли във фърмуера, еднакво на всички устройства от даден модел.
• Неправилно конфигурирани домашни Wi-Fi мрежисъс старо криптиране (WEP, WPA), лесни ключове или остарели рутери.
• Несигурни интерфейси за управление: некриптирани уеб панели, отворени API, панели, достъпни от интернет без никакво филтриране.
• Неизправни механизми за актуализиранеФърмуер, който се изтегля без криптиране или подпис, което позволява внедряването на злонамерени версии.
• Остарели компонентинеподдържани вградени библиотеки и системи, които носят известни уязвимости.
• Небезопасна конфигурация по подразбиране: UPnP, Telnet или HTTP услуги са отворени, ненужните функции са активирани, много широки разрешения.
• Липса на физическа защита в устройства, изложени на открито (камери, сензори, броячи), което улеснява директната манипулация.
• Лошо управление на данните: некриптирано съхранение, изпращане на прекомерна телеметрия или изпращане на телеметрия без ясно съгласие.

Атаки срещу мрежата и комуникациите: от MitM до DDoS

Освен самото устройство, голяма част от риска идва от това как и къде се предават данните. Всяко IoT устройство зависи от мрежа и комуникационни протоколи (Wi-Fi, Ethernet, Bluetooth, Zigbee и др.) и там има достатъчно място за бедствия, ако не е правилно защитено.

Нападател, който получи достъп до вашата локална мрежа или използва уязвимости във вашия рутер, може да прехваща трафик между устройства и сървъри . Това са атаки от типа „човек по средата“ (MitM), при които нападателят се позиционира между подателя и получателя, копирайки или променяйки данните.

При пасивна атака „Човек по средата“, нарушителят само слуша: събира идентификационни данни, модели на употреба и чувствителна информация . При активна атака „Човек по средата“, той също така променя съобщенията, потенциално изпращайки фалшиви команди към сензор, манипулирайки показанията или инжектирайки команди във вашата система за домашна автоматизация.

Друг значителен риск са атаките от типа „отказ от услуга“ (DoS и DDoS) . В домашен контекст те могат да включват претоварване на камери или алармени системи, така че те да спрат да работят точно когато е на път да се извърши грабеж, или, в голям мащаб, използване на стотици хиляди IoT устройства по целия свят за спиране на критични услуги.

Тъй като много IoT устройства не могат да работят с антивирусна програма или защитни стени и имат много ограничени ресурси, е важно сигурността да се делегира на други точки в мрежата , като например рутер, домашна защитна стена или добре конфигурирани облачни услуги.

Ролята на изкуствения интелект в атаките и защитата срещу Интернет на нещата

Експлозията на изкуствения интелект не само доведе до по-интелигентни асистенти и по-добри системи за препоръки, но и промени начина, по който се атакува и защитава инфраструктурата. Киберпрестъпниците вече използват модели на изкуствен интелект и машинно обучение, за да автоматизират голяма част от цикъла на атака върху интернет на нещата.

Например, обучените алгоритми могат да сканират огромни IP диапазони за уязвими устройства , да откриват марката и модела от малки детайли на отговора и да стартират специфични експлойти с малка или никаква човешка намеса.

Техниките с изкуствен интелект се прилагат и за фина настройка на DDoS атаки в реално време, промяна на моделите на трафик и избягване на системи за откриване или за генериране на много по-надеждни фишинг кампании, насочени към собственици на съоръжения с чувствителен IoT.

Успоредно с това, защитата разчита и на изкуствен интелект: има системи, които изучават нормалното поведение на всяко устройство и откриват фини аномалии, които човек не би видял, например камера, свързваща се с необичайни IP адреси, или сензор, изпращащ повече данни от очакваното.

Тези модели могат да задействат автоматични реакции: изолиране на устройство, блокиране на трафика, принудително обновяване или уведомяване на потребителя предварително, намалявайки времето, през което атаката остава незабелязана.

Най-добри практики за защита на вашата домашна мрежа и интернет на нещата

Не съществува перфектна сигурност, но чрез прилагане на няколко разумни мерки можете значително да намалите шансовете за сериозен инцидент в дома си . Ключът е да действате на няколко нива: мрежа, устройства и хора.

Подсилете вашия рутер и Wi-Fi

Вашият рутер е входът на вашия дом към интернет. Ако го контролирате, вие контролирате всичко; например, промяната на DNS настройките на вашия рутер може да подобри скоростта и сигурността. Минималните препоръчителни настройки са:

• Променете името на мрежата (SSID) и паролата по подразбиранеизбягвайки споменавания на вашия адрес или фамилия.
• Използвайте WPA2 или WPA3 криптиранеКрай на старите WEP или WPA протоколи, които се развалят за минути.
• Използвайте дълги, произволни пароли, със смесица от букви, цифри и символи.
• Актуализирайте фърмуера на рутера често и деактивирайте услугите, които не са ви необходими (WPS, дистанционно администриране, UPnP и др.).
• Настройте гостева Wi-Fi мрежа за посетители и, ако е възможно, още един специално за IoT устройства, без достъп до интранета.

Ако вашият рутер позволява сегментиране по VLAN или прилагане на бели/черни списъци за достъп, още по-добре: можете да изолирате вашите смарт устройства от основните компютри и мобилни телефони, така че дори ако едно устройство е компрометирано, атаката да не може да се разпространи към останалите.

Сегментиране и отделни мрежи за Интернет на нещата

Много ефективна стратегия е да поставите всички ваши IoT устройства в отделна мрежа (например мрежата за гости), без достъп до вътрешната локална мрежа, където имате компютри, NAS или Raspberry Pi с чувствителни данни.

На някои усъвършенствани домашни рутери можете дори да създадете няколко Wi-Fi мрежи с прости правила за защитна стена: да разрешите само на системата за домашна автоматизация Raspberry Pi достъп до определени портове или устройства , да блокирате достъпа до интернет на устройства, които не се нуждаят от него и т.н.

В случаите, когато родителският контрол на рутера е ограничен (както е при някои модели на Asus), едно от решенията е да се зададат статични IP адреси на всички устройства, да се деактивират традиционните родителски контроли и да се използват бели списъци за достъп, така че само избраните от вас устройства да имат достъп до интернет.

Това включва малко повече първоначална работа, но в замяна всяко ново устройство, което свържете, ще бъде заключено, докато не го оторизирате ; ако някой включи странно или компрометирано устройство във вашия дом, няма да може да направи много.

Силни и уникални пароли на всички устройства

Звучи като клише, но все още е най-често срещаната грешка. Всяко устройство, всяко свързано приложение и всеки облачен акаунт трябва да има различна, дълга и произволна парола . Ако използвате повторно парола и тя изтече в друга услуга, ефектът на доминото е гарантиран.

Когато създавате пароли, избягвайте имена, дати или очевидни модели. В идеалния случай използвайте мениджър на пароли , който генерира и запомня пароли вместо вас. Добра идея е също така периодично да преглеждате и редувате най-важните си пароли, особено тези, които защитават вашия рутер, централна система за домашна автоматизация и акаунти за гласов асистент.

Когато устройството е с фабрично зададено потребителско име и парола, променете ги веднага щом го извадите от кутията . Ако устройството не ви позволява да промените тези идентификационни данни, сериозно помислете за връщането му или замяната му с такова, което предлага по-добра сигурност.

Актуализации на фърмуера и софтуера

Повечето сериозни уязвимости се отстраняват с пачове, но ако никога не актуализирате устройствата си, те ще останат уязвими към всички открити дупки . В крайна сметка е само въпрос на време някой да използва някоя от тях.

Когато инсталирате ново оборудване, си струва да добавите страницата за поддръжка на производителя към отметките си и да проверявате, поне от време на време, за по-нова версия на фърмуера. Ако устройството поддържа автоматични актуализации, активирайте ги, когато е възможно.

В по-сложни среди (например, компании или работа от разстояние с много устройства) е важно да се включи Интернет на нещата (IoT) в общата политика за актуализиране , с ясна инвентаризация, графици и отговорни лица, така че нищо да не бъде пропуснато неволно.

Конфигурирайте правилно поверителността и наличните функции.

Почти всички свързани устройства са с набор от много отворени настройки за поверителност по подразбиране , предназначени да събират възможно най-много информация. Важно е да отделите няколко минути, за да прегледате тези менюта.

Препоръчителните действия включват:

• Ограничете ненужните разрешения в приложения (местоположение, достъп до микрофон, файлове, обаждания…).
• Деактивирайте функции, които не използватекато например гласово управление, отдалечен достъп или автоматично разпознаване на устройства (UPnP).
• Ограничете телеметрията и използването на данни за търговски цели в настройките на всяка услуга.
• Активиране на регистриране когато устройството ги предлага, за да прегледате достъпа и важните промени.

В случай на интелигентни високоговорители, телевизори и гласови асистенти, препоръчително е да научите къде и как периодично да изтривате гласови и потребителски истории , или от приложението на производителя, или от вашия акаунт в Google, Amazon, Apple и др.

Двуфакторно удостоверяване и отдалечен достъп

Винаги, когато дадено IoT устройство или платформа предлага двуфакторно удостоверяване (2FA или MFA) , си струва да го активирате. Това може да бъде SMS код, приложение за удостоверяване или дори биометричен елемент, но добавя допълнителен слой сигурност, в случай че някой открадне паролата ви.

Що се отнася до отдалечения достъп, основният принцип е: ако не ви е нужен, изключете го . А ако ви е нужен, уверете се, че е чрез защитени механизми, като например усъвършенствана mesh VPN , а не чрез директно излагане на некриптиран HTTP порт към интернет.

Препоръки при закупуване на нови IoT устройства

Сигурността започва още преди да извадите устройството от кутията. Когато купувате ново устройство, е важно да вземете предвид не само цената и лъскавите функции. Политиката за актуализиране, репутацията на производителя и опциите за конфигуриране са от решаващо значение.

Някои полезни въпроси, които да си зададете преди покупка:

• Производителят обещава ли актуализации на сигурността в продължение на няколко години? Той прозрачен ли е по въпроса?
• Мога ли да променя идентификационните данни по подразбиране, да деактивирам услуги и да конфигурирам криптиране?
• Зависи ли изцяло от облака на производителя? Или може да действа локално, ако искам да огранича експозицията?
• Има ли ясна документация относно сигурността?, използвани портове, механизми за актуализиране, криптиране и т.н.?

Имайте предвид, че много евтини устройства са „без поддръжка“: плащате веднъж и няма бизнес модел за текущо отстраняване на уязвимости . Други обаче предлагат абонаментни планове, които включват активно наблюдение и чести актуализации, което е особено полезно за критични устройства като интелигентни ключалки.

IoT сигурност в компаниите, дистанционна работа и критична инфраструктура

Всичко, което се обсъжда за дома, става още по-сложно, когато говорим за бизнеси, фабрики, болници, транспортни мрежи или интелигентни градове. Там Интернет на нещата (IoT) засяга не само поверителността, но и физическата сигурност и непрекъснатостта на бизнеса.

Виждали сме случаи на злонамерен софтуер като Stuxnet, Triton и VPNFilter, атакуващ промишлени системи, електропреносни мрежи, нефтохимически заводи и големи паркове рутери . Виждали сме и масивни пробиви в охранителни камери, свързани медицински устройства и системи за управление на сгради.

Рисковете варират от прекъсвания на електрозахранването и спиране на производството за милиони долари до разкриване на медицински досиета, кражба на интелектуална собственост, отвличане на свързани превозни средства или манипулиране на градските системи за аварийно реагиране.

Следователно, на корпоративно ниво се препоръчват допълнителни мерки: агресивна сегментация на мрежата (DMZ, специфични VLAN за IoT), периметърни защитни стени, периодични одити, изчерпателна инвентаризация на свързаните активи , съответствие със стандарти като IEC 62443, ISO/IEC 27400, ETSI EN 303 645 и др.

Освен това, с нарастването на дистанционната и хибридната работа, компаниите трябва да приемат, че много от служителите им се свързват от домашни мрежи, наситени с несигурни IoT устройства . Ясните политики, обучението и решения като надеждни корпоративни VPN мрежи вече са задължителни.

Регламенти и рамки за сигурност на интернет на нещата

За да се опитат да въведат ред в тази екосистема, различни организации са разработили стандарти и рамки за проектиране, внедряване и управление на сигурни IoT устройства . Те не са панацея, но осигуряват солидна основа.

Сред най-актуалните са:

• NISTIR 8259Американските насоки за производителите да интегрират сигурността в IoT платформата от етапа на проектиране.
• ETSI EN 303 645Европейски стандарт, който определя добрите практики за сигурност в потребителските IoT устройства (уникални пароли, актуализации, криптиране на данни и др.).
• Закон на ЕС за киберустойчивост (CRA): регламент, който изисква продуктите с цифрови елементи, продавани в Европа, да отговарят на изискванията за киберсигурност през целия си жизнен цикъл.
• Закон за подобряване на киберсигурността на интернет на нещата в САЩ.: установява минимални стандарти за сигурност за устройства, придобити от федералното правителство.
• Сертификати като UL 2900-1, които оценяват сигурността на свързаните продукти срещу злонамерен софтуер и често срещани уязвимости.

За обикновения потребител тези акроними може да звучат непознато, но на практика те означават нарастващ натиск върху производителите да приемат сериозно актуализациите, криптирането и управлението на уязвимостите . Проверката на кои стандарти даден продукт твърди, че отговаря, е добър индикатор за неговата зрялост в областта на сигурността.

Осведоменост на потребителите: последната линия на защита

Колкото и добре да са проектирани технологиите и регулациите, човешкият фактор винаги ще остане. Много сериозни инциденти започват, защото потребител приема разрешения, без да ги прочете, отваря подозрителен прикачен файл, използва повторно пароли или свързва устройства, без да обмисля последствията.

Вкъщи е добра идея цялото семейство да има някои основни познания: не свързвайте странни устройства към мрежата, не деактивирайте мерките за сигурност, „защото са досадни“, бъдете предпазливи към странни имейли и съобщения , питайте, преди да приемате съмнителни приложения или услуги и т.н.

В професионалната среда обучението по киберсигурност за служителите вече не е нещо допълнително: то е съществена мярка, наравно с добра защитна стена или система за архивиране . Разбирането какво представлява IoT устройство, защо неправилно конфигуриран интелигентен контакт може да представлява риск и как да се управлява, е част от ежедневната работа.

Домовете и бизнесите се пълнят с IoT устройства с главоломна скорост и това има както много светла, така и много тъмна страна. Удобството, автоматизацията и енергийната ефективност, които те предлагат, вървят ръка за ръка с нови повърхности за атака, по-изложени данни и повече потенциални задни вратички . Защитата на домашната ви мрежа и свързаните устройства включва грижа за вашия рутер, сегментиране на мрежата, изоставяне на паролите по подразбиране завинаги, поддържане на всичко актуализирано, щателен преглед на настройките ви за поверителност и разбиране, че сигурността на тези устройства не е нещо, което можете просто да „настроите и забравите“. С малко организация, здрав разум и внимание към сигналите, които самата индустрия предоставя (стандарти, препоръки, предупреждения за уязвимости), е напълно възможно да се наслаждавате на интелигентен дом, без да го превръщате в сито за киберпрестъпници.