Die Vernetzung und Nutzung von IoT-Geräten schreiten weiter voran, aber die Security wird oft vernachlässigt. IT-Teams sollten vernetzte Geräte für den sicheren Betrieb härten.
IoT- und industrielle IoT-Geräte sind in der Regel so konzipiert, dass sie klein und kostengünstig sind und nur ein Minimum an Software und Ressourcen benötigen, um eine einzige Aufgabe zu erfüllen. Und dies in der Regel ohne menschliche Interaktion. Dabei wird oder wurde das Thema Sicherheit oft nicht von Anfang an mitgedacht. Der Mangel an eingebauter Sicherheit in vielen IoT- und IIoT-Geräten sorgt für Risiken im Betrieb. Und das gilt für Privatpersonen und Unternehmen bis hin zu kritischen Infrastrukturen und Regierungsbehörden gleichermaßen.
Infolgedessen haben viele Unternehmen IoT-Geräte eingesetzt, ohne deren Schwachstellen und die Auswirkungen, die diese Schwachstellen auf die allgemeine Netzwerksicherheit haben könnten, vollständig zu erfassen. Den Verbrauchern fehlt entweder das Wissen oder die Motivation, Standardkennwörter und -einstellungen zu ändern, bevor sie IoT-Geräte mit ihren Netzwerken verbinden. Sie sind sich wahrscheinlich auch nicht bewusst, ob ihr Gerät gehackt wurde; ein erfolgreicher Angriff wird die Leistung oder den Betrieb wahrscheinlich nicht merklich beeinträchtigen.
Ohne IoT-Härtung können IoT-Angriffe schwerwiegende Folgen haben. Der Mirai-Botnet-DDoS-Angriff von 2016 betraf beispielsweise mehr als 600.000 IoT-Geräte, darunter Router und IP-Kameras, und legte Dutzende von großen Internetseiten lahm, darunter Amazon, Netflix und Airbnb.
Die größten Schwachstellen bei IoT-Geräten
Unternehmen müssen IoT-Geräte und die Plattform, auf der sie laufen, härten, um zu verhindern, dass ihre Geräte infiziert, gekapert und für einen Cyberangriff verwendet werden. Ohne die richtige IoT-Härtung sind IoT-Geräte anfällig für die folgenden Schwachstellen:
Fehlen einer Geräteauthentifizierung. Ohne Authentifizierung können nicht autorisierte Geräte auf ein Netzwerk zugreifen und als Einstiegspunkt für Angriffe dienen.
Mangelnde Sichtbarkeit. Ohne Authentifizierung oder eine eindeutige Kennung ist es schwierig, IoT-Geräte zu erfassen, zu überwachen und zu verwalten.
Eingebettete Passwörter. Standardmäßige oder fest kodierte Passwörter können zwar die Installation und den Fernzugriff vereinfachen, erleichtern aber auch den Zugang für Hacker.
Patches und Upgrades. Oft gibt es keine einfachen Möglichkeiten, Software auf IoT-Geräten zu patchen oder zu aktualisieren, sodass Geräte mit bekannten Schwachstellen für Hacker angreifbar sind.
Physischer Zugang. IoT-Geräte sind oft an leicht zugänglichen Orten installiert, was es Hackern ermöglicht, sie zu beschädigen oder Komponenten wie Speicherkarten zu entfernen. Andere befinden sich an abgelegenen oder unzugänglichen Orten und sind daher schwer zu verwalten.
Da viele dieser Schwachstellen auf Konstruktions- und Fertigungsfehler zurückzuführen sind, ist es wichtig, dass Unternehmen und Privatpersonen nur solche Produkte in Betracht ziehen, die einen sicheren Betrieb gewährleisten können. Es ist auch wichtig, Geräte mit überflüssigen Funktionen zu vermeiden, wie zum Beispiel unnötige USB-Anschlüsse, die das Produkt unerwünschten Angriffsvektoren aussetzen können.
Unternehmen müssen IoT-Geräte und die Plattform, auf der sie laufen, härten, um zu verhindern, dass ihre Geräte infiziert, gekapert und für einen Cyberangriff verwendet werden.
Wie man IoT-Geräte absichert
Die IoT-Härtung ist entscheidend für den Schutz von IoT-Geräten und die Vermeidung von Sicherheitsproblemen. Die folgenden Maßnahmen zur IoT-Härtung sind unabdingbar.
Authentifizierung
Nehmen Sie nur die Geräte in die engere Auswahl, die sich sicher authentifizieren, bevor sie einem Netz beitreten. Eindeutige Identifizierungsmerkmale erleichtern die Identifizierung und Überwachung und verhindern, dass unseriöse Geräte dem Netz beitreten. Bei integrierten SIM-Geräten sind die Identifizierungsfunktionen direkt in die Hardware integriert, was die Wahrscheinlichkeit eines unbefugten Zugriffs verringert. Bewahren Sie Geräte-IDs und Authentifizierungsschlüssel an einem sicheren Ort auf; ein kompromittierter Schlüssel kann das gesamte Netzwerk gefährden.
Starke Passwörter
Verwenden Sie nur IoT-Geräte bereit, bei denen die Benutzer zu Beginn des Einrichtungsprozesses ein sicheres Passwort erstellen müssen. Dadurch werden Probleme mit eingebetteten oder Standardpasswörtern vermieden.
Manipulationssicherheit
Manipulationssichere Elemente und die Fähigkeit, physische Manipulationen zu erkennen, erhöhen die Sicherheit eines Geräts und die Sicherheit der darin gespeicherten und verarbeiteten Daten. Stellen Sie sicher, dass Überwachungssysteme bei Manipulationssignalen einen Alarm auslösen. Diese Funktionen sind besonders wichtig, wenn IoT-Geräte an abgelegenen oder unsicheren Orten eingesetzt werden.
Sicheres Booten, Speichern und Übertragen von Daten
Sichere und verschlüsselte Speicher- und Boot-Funktionen, die von einem Kryptoprozessor, zum Beispiel einem Trusted Platform Module (TPM), bereitgestellt werden, verbessern die Sicherheit eines Geräts und der IoT-Infrastruktur, auf der es sich befindet. Für ältere oder eingeschränkte Geräte, die diese Funktionen nicht haben oder nicht unterstützen können, sollten Feld- und Cloud-Edge-Gateways als Option in Betracht gezogen werden, um diese Geräte sicher zu verbinden und Daten über das Internet zu senden.
Skalierbare sichere Updates
Die Software und Betriebssysteme, auf denen das IoT-Netzwerk läuft, auf dem neuesten Stand zu halten und zu schützen, ist eine gängige Standardpraxis. Die Aktualisierung von IoT-Geräten ist jedoch nicht so einfach. Die Verwendung von USB-Geräten oder anderen manuellen Verfahren zur Aktualisierung von IoT-Geräten funktioniert zwar, ist aber nicht skalierbar. Automatisieren Sie Patches und Aktualisierungen, wann immer möglich. Over-the-Air-IoT-Hardening ist ein effizienter Weg, um kryptografisch gesicherte Konfigurations-, Firmware- und Anwendungsupdates an IoT-Geräte zu verteilen, die mit einem eingebauten Kryptoprozessor ausgestattet sind. Geräte, die diese Funktionen unterstützen, mögen anfangs teurer sein als ihre einfachen Gegenstücke, aber die einfachere Wartung und die höhere Sicherheit machen sie langfristig kosteneffektiver.
Netzwerksegmentierung
Ein für das IoT reserviertes Netzwerksegment bedeutet Sicherheitskontrollen mit IoT-spezifischen Regeln. Threat-Intelligence-Feeds mit den neuesten Signaturen für IoT-Geräte, die auf Kompromittierung hindeuten, helfen der auf maschinellem Lernen basierenden Verteidigung, Probleme, die von IoT-Sensoren vor Ort erkannt werden, präventiv zu identifizieren. Im Falle eines IoT-Sicherheitsvorfalls kann der Datenverkehr schnell blockiert oder unter Quarantäne gestellt werden, wenn er sich in einem separaten Netzwerksegment befindet.
Verwaltung des Lebenszyklus
Setzen Sie Sicherheitsrichtlinien und -verfahren durch, die den gesamten Lebenszyklus von IoT-Geräten abdecken. Diese müssen von der Inbetriebnahme und Wartung bis zur Außerbetriebnahme und Entsorgung am Ende der Lebensdauer gelten. Berücksichtigen Sie alle sensiblen Daten, die möglicherweise noch auf dem Gerät gespeichert sind. Klassifizieren Sie jedes IoT-Gerät und führen Sie es im Anlageninventar und in den Diagrammen der Netzwerkarchitektur auf. So stellen Sie sicher, dass ihre Interkonnektivität und Kommunikationspfade verstanden und wie jedes andere Netzwerkgerät korrekt überwacht, verwaltet und geprüft werden. Dies verringert die mittlere Zeit bis zur Entdeckung und unerwartete Ausfallzeiten. Einführung von Verfahren zur Reaktion auf Vorfälle, die regelmäßig überprüft und getestet werden. Unternehmen, die nicht über das nötige Personal verfügen, sollten IoT-spezifische Cloud-native Sicherheitsüberwachungs- und Analyseplattformen nutzen.
Nachholbedarf bei Regularien
Zwar hat sich in der jüngeren Vergangenheit einiges in Sachen Vorschriften für IoT-Geräte bewegt, dennoch besteht in Sachen Sicherheit häufig noch Handlungsbedarf seitens der Hersteller. So existiert in Deutschland das IT-Sicherheitskennzeichen, dass bei Verbraucherinnen und Verbrauchern für mehr Transparenz bei den Sicherheitseigenschaften digitaler Produkte sorgen soll (siehe auch IT-Sicherheitskennzeichen: Mehr Transparenz in der Security). Darüber hinaus definiert die europäische Norm ETSI EN 303 645 (Cyber Security for Consumer Internet of Things: Baseline Requirements) Basisanforderungen an die Sicherheit für IoT-Geräte (siehe auch EU-Standard soll die Sicherheit von IoT-Geräten erhöhen). Auch in den USA existieren mehrere Initiativen, die Gerätehersteller zu der Verbesserung der Sicherheit ihrer Produkte bewegen sollen. Unternehmen müssen zudem überprüfen, ob sie unter das IT-Sicherheitsgesetz 2.0 hinsichtlich der Anforderungen an ihre IT-Sicherheit fallen.
Die Einhaltung von Vorschriften allein garantiert keine Sicherheit, und es gibt immer noch zu wenig Anreize für Gerätehersteller, in bessere Sicherheit für kostengünstige Geräte zu investieren. Es liegt auch an den Entwicklungsteams, Organisationen und Einzelpersonen, ihren Teil dazu beizutragen, dass diese Geräte weniger anfällig für Angriffe und Missbrauch sind. Indem sie nur sichere Geräte auswählen, können die Käufer Druck auf die Hersteller ausüben, die Sicherheitsfunktionen ihrer Produkte zu erweitern, um die durchgängige Sicherheit und das Vertrauen zu gewährleisten.
Erfahren Sie mehr über Anwendungs- und Plattformsicherheit
