Αναμφισβήτητα η νέα μεγάλη τάση στο τομέα της τεχνολογίας για την οποία όλοι συζητάνε παγκοσμίως είναι το Internet of Things (ΙοΤ). Στις παραμέτρους που συνοδεύουν το IoT, σημαντικό ρόλο διαδραματίζει και η ασφάλεια.

Η νέα δύναμη της αλλαγής στην παγκόσμια τεχνολογική αγορά είναι το ΙοΤ. Πρόκειται, για ένα μεγάλο και πολυποίκιλο πεδίο δραστηριοποίησης, στο οποίο χρησιμοποιούνται συσκευές καθημερινής χρήσης αλλά και επαγγελματικών εφαρμογών, που συλλέγουν πληροφορίες από το περιβάλλον ή άλλες διασυνδεδεμένες συσκευές, μεταδίδοντας δεδομένα σε άλλα συστήματα ή σε συσκευές του χρήστη, προσφέροντας ευκολίες και αυτοματισμούς σε πραγματικό χρόνο. Οι διασυνδεμένες συσκευές στα πλαίσια του IoT μπορούν να καλύπτουν τομείς καθημερινής δραστηριότητας στο σπίτι και το επαγγελματικό περιβάλλον, αλλά και διαδικασιών αγορών, εφαρμογών υγείας και ασφάλειας, επικοινωνίας, μεταφορών και άλλων λειτουργιών.

Από πλευράς κατασκευαστών τεχνολογικών λύσεων η νέα τάση του IoT προσφέρει σίγουρα μια νέα μεγάλη ευκαιρία για να αναπτύξουν πρωτοποριακά προϊόντα που θα υποστηρίζουν τη συγκεκριμένη τάση. Παρόλα αυτά, όπως σε όλες τις νέες τάσεις έτσι και σε αυτή τη περίπτωση, εγείρονται ορισμένοι προβληματισμοί, αφενός για τη διαχείριση των συλλεγόμενων πληροφοριών από τρίτους αλλά και τον τρόπος που αυτές θα χρησιμοποιηθούν σε πραγματικό ή σε μελλοντικό χρόνο. Αφετέρου και με δεδομένο ότι ο πυρήνας της συγκεκριμένης τάσης είναι η διασύνδεση στο διαδίκτυο, ανακύπτουν οι προβληματισμοί για τις τρωτότητες και τις κακόβουλες ενέργειες που πάντα ελλοχεύουν και απασχολούν τους υπεύθυνους ψηφιακής ασφάλειας. Ας αναλύσουμε λοιπόν τα βασικά σημεία προβληματισμού αλλά και τον τρόπο που θα αμυνθούμε σε ενδεχόμενες απειλές που σχετίζονται με την νέα τάση, λαμβάνοντας υπόψη, ότι το περιβάλλον του ΙοΤ είναι δαιδαλώδες και η εικόνα δεν είναι πλήρως ολοκληρωμένη όπως και η διαφορετικότητα των τρωτών σημείων εντείνει σημαντικά το πρόβλημα.

 

Προκλήσεις ασφαλείας σχετικά με τις συσκευές του IoT

Σύνθετο και μεγαλύτερο τοπίο επιθέσεων. Εκ φύσεως, το ΙοΤ ­δεν αποτελεί μία τεχνολογική υλοποίηση ή ένα τμήμα μιας εταιρικής υποδομής που μπορεί να είναι ελεγχόμενη. Για να ψηφιοποιηθούν οι πληροφορίες από τον φυσικό κόσμο και να συνδυαστούν με στόχο την σύνδεση αυτοκινήτων, κτιρίων, βιομηχανιών, κατοικιών, ψυγείων κ.α. με το χρήστη, απαιτείται ο συνδυασμός πάρα πολλών τεχνολογιών, σε κάθε πιθανό σημείο συλλογής πληροφοριών. Αυτό οδηγεί στην ραγδαία αύξηση των τελικών σημείων σύνδεσης στο δίκτυο και άρα στον πολλαπλασιασμό των πιθανών εισόδων κακόβουλων εισβολέων.

Σχεδιασμός των ΙοΤ συσκευών. Μέχρι σήμερα, αρκετές ΙοΤ συσκευές έχουν σχεδιασθεί, παραχθεί και ήδη χρησιμοποιούνται σε ποικίλες εκφάνσεις της καθημερινότητάς μας. Οι ειδικοί σε θέματα ασφάλειας προσπάθησαν να μεταβάλλουν τη συμπεριφορά τους και να συλλέξουν πληροφορίες που θεωρούνται κατά μία έννοια ευαίσθητες ή απόρρητες, δίχως να είναι εξουσιοδοτημένοι. Δυστυχώς, οι δοκιμές ήταν επιτυχείς. Για παράδειγμα έχει αναφερθεί ότι κάποιοι άλλαξαν την συμπεριφορά ενός οχήματος, υπό κίνηση και παρακολουθήσαν εικόνες από μία οικία, μέσω μίας συσκευής παρακολούθησης ενός μωρού. Οι περιπτώσεις διείσδυσης στη διασύνδεση των συσκευών αυτών είναι αρκετές και εγείρουν ερωτήματα για τον αρχικό σχεδιασμό αυτών των συσκευών. Αποδεικνύεται, ότι πολλές ομάδες δημιουργίας των «έξυπνων» συσκευών δεν συμπεριελάμβαναν στο δυναμικό τους, ειδικούς σε θέματα ασφάλειας και ότι όλος ο σχεδιασμός υλοποιήθηκε με γνώμονα τα λειτουργικά χαρακτηριστικά, το χαμηλό κόστος και την γρήγορη ένταξη στην αγορά. Έτσι, το δίκτυο κατακλύστηκε από συσκευές με καμία ή ελάχιστη προστασία από κακόβουλες επιθέσεις, κάτι που βοήθησε στην ανάπτυξη ενός νέου περιβάλλοντος δραστηριοποίησης των εισβολέων. Το συγκεκριμένο πρόβλημα δεν αναμένεται να λυθεί άμεσα μιας και αυξάνει σημαντικά το κόστος παραγωγής και άρα την τελική τιμή των προϊόντων.

Περιορισμένη πρόσβαση στις ΙοΤ συσκευές. Σε κάθε επιχείρηση, οι συσκευές που χρησιμοποιούνται και συνδέονται στο εταιρικό δίκτυο, καλύπτουν μέρα με την μέρα τα κενά ασφάλειας που παρουσιάζουν, μέσω διαφόρων αναβαθμίσεων και patching διαδικασιών, που προσφέρονται από τους κατασκευαστές του υλικού ή του λογισμικού που χρησιμοποιούν. Πολλές από τις υπάρχουσες IoT συσκευές δεν σχεδιάστηκαν με γνώμονα την εταιρική ασφάλεια και δεν αναμενόταν να βρεθούν εντός μιας εταιρικής δομής. Έτσι, δεν διαθέτουν τις απαραίτητες αναβαθμίσεις απέναντι στις διαρκώς μεταβαλλόμενες απειλές, για να θεωρηθούν ασφαλής και αξιόπιστες.
Επιπρόσθετα, αν το ΙΤ τμήμα αποφασίσει να καλύψει μόνο του τα κενά ασφάλειας που εισάγονται από τις έξυπνες συσκευές, δεν είναι σίγουρο ότι θα επιτύχει τον στόχο του. Οι περισσότερες εξ’ αυτών δεν διαθέτουν ούτε πληκτρολόγιο, ούτε οθόνη ούτε εν γένει κάποια διακριτή είσοδο δεδομένων, καθιστώντας αδύνατη την επικοινωνία με το λειτουργικό τους πυρήνα. Από την άλλη μεριά αν η πρόσβαση είναι εφικτή, η υπολογιστική ισχύς και οι πόροι που διαθέτει μια έξυπνη συσκευή συνήθως δεν επαρκούν για να εφαρμοστούν διεργασίες ασφάλειας και κρυπτογράφησης.
Καθώς δεν υπάρχει  προτυποποίηση για την υλοποίηση των έξυπνων συσκευών απαιτείται κάθε συσκευή να αντιμετωπιστεί ξεχωριστά, να εξεταστούν τα χαρακτηριστικά της και να εφαρμοστούν στοχευόμενα βελτιώσεις και περιορισμοί. Αναλογιζόμενοι το πλήθος αυτών των συσκευών σε μία εταιρική δομή, αντιλαμβανόμαστε ότι με αυτόν τον τρόπο αυξάνεται δραματικά ο εργασιακός φόρτος και φυσικά η πιθανότητα σφάλματος.

Απομακρυσμένη πρόσβαση. Κάθε συσκευή που συνδέεται απομακρυσμένα στο δίκτυο με στόχο την παρακολούθηση και τη διαμόρφωσή της, είναι θεωρητικά ευάλωτη σε επιθέσεις. Ακόμα και αν οι συσκευές δεν αποθηκεύουν τοπικά ευαίσθητα δεδομένα, παραμένουν ενεργά σημεία πρόσβασης στο εταιρικό δίκτυο. Το πρόβλημα εντείνεται αν αναλογιστούμε ότι οι συσκευές δεν διαθέτουν anti-malware λογισμικό. Οτιδήποτε χρησιμοποιεί μία IP διεύθυνση είναι στόχος και σίγουρα θα εντοπιστεί.
Σε περίπτωση που οι συσκευές επικοινωνούν με cloud δομές το πρόβλημα λαμβάνει σχεδόν ανεξέλεγκτες διαστάσεις. Πέραν της περιορισμένης δυνατότητας να ελεγχθούν τα μονοπάτια των δεδομένων και η ποιότητα των εφαρμογών που  τα χρησιμοποιούν, προκύπτουν και προβλήματα φυσικής δομής. Οι cloud servers που υποστηρίζουν έξυπνες συσκευές βρίσκονται συνήθως εκτεθειμένοι με καμία σχεδόν φυσική προστασία απέναντι σε μη εξουσιοδοτημένη πρόσβαση.

Ιδιωτικότητα. Ένα από τα μεγαλύτερα προβλήματα που εγείρεται με τη χρήση των ΙοΤ συσκευών είναι το πώς χρησιμοποιούνται τα δεδομένα που συλλέγουν από το περιβάλλον του χρήστη. Γιατί οι πληροφορίες που επεξεργάζεται ένα ψυγείο, ίσως να μην είναι τόσο σημαντικές, αλλά αν συνδυαστούν με τις υπόλοιπες καταγραφές εντός μιας οικίας, ουσιαστικά μπορούν να αποκαλύψουν “ιστορίες” της καθημερινότητας των ενοίκων. Στη περίπτωση των επιχειρήσεων και των οργανισμών, μπορεί να εκτεθεί η παραγωγική τους διαδικασία και να γίνουν θύματα βιομηχανικής κατασκοπείας. Φυσικά, χωρίς την συλλογή αυτών των δεδομένων η ύπαρξη των έξυπνων συσκευών δεν θα είχε καμία αξία αφού δεν θα παρείχαν καμία διευκόλυνση στον χρήστη. Ο προβληματισμός έγκειται στον τρόπο που χρησιμοποιούνται, από ποιους και με ποιον απώτερο σκοπό. Το θέμα της ιδιωτικότητας είναι εκτενές και προς το παρόν δεν υπάρχει επαρκής νομοθεσία, που υπαγορεύει τον τρόπο που χρησιμοποιούνται οι συλλεγόμενες πληροφορίες και από ποιον. Η μόνη προστασία έγκειται στις πολιτικές ασφάλειας της κάθε εταιρείας που χρησιμοποιεί συλλεγόμενα δεδομένα με στόχο την ανάλυση και την εξαγωγή γενικών συμπερασμάτων. Για να αυξηθεί η εμπιστοσύνη και η προστασία των καταναλωτών, αυτές οι πολιτικές θα πρέπει να είναι απλές, κατανοητές και άμεσα προσβάσιμες στους τελικούς καταναλωτές ή τους εταιρικούς χρήστες.

 

Οι εκκολαπτόμενες απειλές στο εταιρικό περιβάλλον

Οι ΙοΤ συσκευές αντιμετωπίζουν τις ίδιες απειλές, όπως κάθε συσκευή που είναι συνδεδεμένη στο Internet. Βέβαια ως σημείο δράσης των εισβολέων θεωρείται περιορισμένο, αλλά όσο οι συσκευές αυξάνονται τόσο διευρύνεται το πρόβλημα. Τι μπορεί να συμβεί λοιπόν αν μία συσκευή βρεθεί υπό απειλή;

DDoS –DisruptionandDenialofService. Όταν η παραγωγική διαδικασία μιας εταιρείας στηρίζεται σε συσκευές ΙοΤ, απαιτείται η αδιάλειπτη λειτουργία τους και η προφύλαξή τους από μη εξουσιοδοτημένη πρόσβαση. Αν παρόλα αυτά επιτευχθεί εισβολή, η πιο συνήθης απειλή είναι η δημιουργία συνθηκών «αδυναμίας εξυπηρέτησης» της επιχείρησης προς τους πελάτες της. Αν στοχεύσουν χιλιάδες ΙοΤ συσκευές ώστε να ζητήσουν εξυπηρέτηση από μία εταιρική ιστοσελίδα ή αιτηθούν ώστε να λάβουν συγκεκριμένα δεδομένα, το αποτέλεσμα της αύξησης της κίνησης δεδομένων στις γραμμές εξυπηρέτησης θα γίνει αντιληπτό στους πραγματικούς πελάτες της εταιρείας και θα μειωθεί αισθητά η απόδοση.

Ροή δεδομένων. Όλες οι νέες συσκευές που χρησιμοποιούν Wi-Fi συνδέσεις θα δημιουργήσουν μία περαιτέρω ροή δεδομένων από την ήδη υπάρχουσα, που θα πρέπει να συλλεχθεί, να επεξεργαστεί και να αναλυθεί σύμφωνα με τις εταιρικές ανάγκες. Φυσικά, νέες επιχειρηματικές ευκαιρίες θα ξεπηδήσουν αλλά συμπεριλαμβάνονται και πολλαπλά ρίσκα. Οι οργανισμοί πρέπει να είναι σε θέση να αναγνωρίζουν τη θεμιτή από την κακόβουλη κίνηση δεδομένων και να επεμβαίνουν έγκαιρα προτού το πρόβλημα εξαπλωθεί. Ουσιαστικά, το μεγαλύτερο πρόβλημα δεν είναι η προστασία των τελικών σημείων – συσκευών, αλλά ο έλεγχος αυτής της ροής δεδομένων και των εντολών που διοχετεύουν. Για παράδειγμα, τι θα γινόταν αν ο φούρνος μικροκυμάτων σας έλεγε στο ψυγείο σας να απενεργοποιηθεί; Ποια είναι η πιθανότητα να αντιλαμβανόσασταν ότι υπάρχει πρόβλημα στον φούρνο και όχι στο ψυγείο; Επιπρόσθετα, παρατηρώντας τη λειτουργία των ΙοΤ συσκευών διαπιστώνεται ότι δραστηριοποιούνται εντελώς εκτός των εταιρικών firewall και συνάπτουν μακράς διάρκειας συνδέσεις με υπηρεσίες που παρέχονται από τρίτους. Σε πολλές περιπτώσεις η εταιρεία έχει άγνοια για αυτούς του απομακρυσμένους παρόχους υπηρεσιών και τον τρόπο προστασίας των δεδομένων και εφαρμογών τους. Το κυριότερο είναι ότι αν μία συσκευή βρεθεί σε κίνδυνο το ΙΤ τμήμα είναι πολύ πιθανό να μην το γνωρίζει, αφού υπάρχει περιορισμένη “ορατότητα” στις εσωτερικές λειτουργικές διαδικασίες της συσκευής και την σχέση λογισμικού – υλικού.

Κόστος. Κάθε εταιρεία ξοδεύει σημαντικό κεφάλαιο στην απόκτηση πόρων που θα αυξήσουν την παραγωγική της απόδοση και σε συστήματα ασφαλείας που θα καταστίσουν την δομή της άτρωτη από κακόβουλες επιθέσεις. Και ενώ είναι πλήρως κατανοητό ότι ένα laptop θα κοστίζει ένα σεβαστό ποσό και θα διατεθεί για την βελτίωση των καθημερινών διεργασιών, ένας αισθητήρας θερμοκρασίας πόσο αναμένεται να κοστίζει; Πόσα χρήματα είναι διατεθειμένη να ξοδέψει μία εταιρεία για μία έξυπνη καφετιέρα ή ένα σύστημα διαχείρισης του φωτισμού; Ως είθισται υπάρχει αναλογική σχέση μεταξύ του κόστους και της παρεχόμενης ασφάλειας. Πάροχοι που έχουν σχεδιάσει τις ΙοΤ συσκευές τους με γνώμονα την ασφάλεια σαφώς κοστολογούν τα προϊόντα τους ακριβότερα από τους υπόλοιπους. Προτού λοιπόν επιλεγεί οτιδήποτε καλείται να εισέλθει στην εταιρική δομή πρέπει να υπάρξει προσεκτική αξιολόγηση των χαρακτηριστικών παραγωγής και λειτουργίας.

Δεν θα χρησιμοποιήσω ΙοΤ συσκευές. Θα μπορούσε να είναι μία προσέγγιση από εταιρείες μικρού βεληνεκούς, αλλά είναι αλήθεια επιλογής τους; Πανεπιστήμιο που νοίκιασε ένα κτίριο για να καλύψει τις ανάγκες τους διαπίστωσε ότι ο χώρος περιείχε πολυάριθμες ΙοΤ συσκευές, από το σύστημα ψύξης-θέρμανσης έως κάμερες ασφαλείας, που είχαν αφήσει οι προηγούμενοι ενοικιαστές. Και γνωρίζετε αν ο αποθηκάριος έφερε μία έξυπνη καφετιέρα στον χώρο; Και τι γίνεται με τα wearables;
Ως wearables εννοούμε μικροσκοπικούς υπολογιστές που ο χρήστης μπορεί να φοράει κατά τις καθημερινές του δραστηριότητες, όπως είναι το iWatch της  Apple και τα Google Glass . Τα περισσότερα εξ’ αυτών συνδέονται στο Internet ή σε μία φορητή συσκευή μέσω Bluetooth και διαθέτουν λειτουργίες τοποθεσίας, άρα αμέσως διαπιστώνεται ροή δεδομένων και η συσκευή καθίσταται τελικό σημείο πρόσβασης. Τι θα συμβεί λοιπόν αν μία τέτοια συσκευή βρεθεί μέσα στην εταιρική δομή;

 

 Στρατηγική ασφαλείας για τις ΙοΤ συσκευές

Διαφαίνεται ότι απαιτούνται αναρίθμητες διαδικασίες σε ότι αφορά την αντιμετώπιση των ρίσκων που εισάγουν οι έξυπνες συσκευές, τόσο σε εταιρικό όσο και σε οικιακό επίπεδο. Μέχρι τώρα, το ΙοΤ αποτελεί μία νέα πύλη πρόσβασης για τους εισβολείς που ολοένα αυξάνει το βεληνεκές της. Αν και η εικόνα δεν είναι ολοκληρωμένη το καθοριστικό σημείο είναι το κόστος. Πολλοί πάροχοι ΙοΤ συσκευών με στόχο την εξοικονόμηση κόστους, δεν αφήνουν πολλά περιθώρια για δραστικές βελτιώσεις στα θέματα της ασφάλειας. Άρα, το θέμα δεν είναι αν μία έξυπνη συσκευή θα πέσει θύμα εισβολής, αλλά τι γίνεται από εκεί και πέρα και πώς όλο αυτό αντιμετωπίζεται.

Ανίχνευση και παρακολούθηση. Η πρώτη κίνηση για την προστασία της εταιρικής δομής είναι ο εντοπισμός όλων των ΙοΤ συσκευών που ενδεχόμενα βρίσκονται στον χώρο. Η διαδικασία εύρεσης τους δεν είναι μία στατική διεργασία, αλλά απαιτεί την δια ζώσης διερεύνηση κάθε χώρου και συστήματος και την καταγραφή όλων των πιθανών σημείων που προκαλούν ροή δεδομένων και συνδέονται στο δίκτυο με οποιονδήποτε τρόπο. Ακολούθως, αυτές οι συσκευές πρέπει να παρακολουθούνται στενά και το ΙΤ τμήμα να εξοικειωθεί με τη συμπεριφορά τους.
Για το λόγο αυτό προτείνεται η υιοθέτηση MDM (mobile device management)  πλατφορμών, με τις οποίες μπορούν να τεθούν τα όρια μέσα στα οποία θα λειτουργούν αυτές οι συσκευές, θα παρακολουθούνται και θα ανιχνεύεται κάθε συμπεριφορά πέραν του φυσιολογικού. Κυρίως, θα περιοριστεί η πιθανότητα επιθέσεων που σχετίζεται με την εισερχόμενη ροή δεδομένων προς τις ΙοΤ συσκευές. Επιπρόσθετα, προτείνεται η χρήση MAM (mobile application management) πλατφορμών που εφαρμόζουν τις πολιτικές ασφαλείας της εταιρείας σε επίπεδο εφαρμογών. Πολλές εφαρμογές μπορούν να συμπεριφερθούν ως εισβολείς σε γειτονικές συσκευές. Με τη χρήση των ΜΑΜ οι λειτουργίες των εφαρμογών μπορούν να περιοριστούν στο σημείο που ο διαχειριστής θεωρεί ασφαλές και επιπρόσθετα μπορεί να κρυπτογραφηθεί η ροή των δεδομένων που προέρχεται από την συσκευή. Ειδικότερα, για τις wearable συσκευές προτείνεται η χρήση WIPS (Wireless Intrusion Prevention Systems) ώστε να ανιχνεύονται και να αναφέρονται στο ΙΤ τμήμα ύποπτες συνδέσεις και πιθανές επιθέσεις. Σε συνδυασμό με διαδικασίες geofencing, οι οποίες θα εμποδίζουν συσκευές που βρίσκονται «κοντά» στην εταιρεία και όχι μέσα σε αυτήν να έχουν πρόσβαση στο δίκτυό της και αυθεντικοποίησης των εξουσιοδοτημένων χρηστών και συσκευών, μπορεί το WYOD (Wear Your Own Device) να υιοθετηθεί με παρόμοιους κανόνες ασφαλείας, όπως και στην περίπτωση του BYOD(Bring Your Own Device).
Μέσα από τα προαναφερόμενα εργαλεία θα μπορεί το ΙΤ τμήμα να δημιουργήσει μια Whitelist με εφαρμογές που επιτρέπεται να χρησιμοποιούνται από τις εταιρικές συσκευές και φυσικά μία blacklist για εφαρμογές που έχει διαπιστωθεί ότι εισάγουν υψηλό ρίσκο σε θέματα ασφάλειας.

Εκπαίδευση καταναλωτών και εργαζομένων. Όσοι κανόνες ασφάλειας και να εφαρμοστούν, αν οι τελικοί χρήστες δεν γνωρίζουν την ορθή χρήση των ΙοΤ συσκευών μοιραία αποδυναμώνεται κάθε προσπάθεια προστασίας. Σε οικιακό ή προσωπικό επίπεδο οι οργανισμοί πρέπει να εκπαιδεύσουν τους πελάτες τους για τις καλύτερες πρακτικές χρήσης των συσκευών τους. Κύρια διεργασία είναι η συχνή αλλαγή των κωδικών πρόσβασης, κυρίως των σημείων σύνδεσης στο Internet, μιας και αποτελεί την πιο συχνή αιτία εισβολών. Ειδικότερα, στις περιπτώσεις που οι συσκευές έρχονται από τον κατασκευαστή με ήδη έτοιμο προφίλ χρήσης (προεπιλεγμένα όνομα χρήστη και κωδικός πρόσβασης) τότε οι πιθανότητες εισβολής αυξάνονται σημαντικά. Επίσης, απαιτείται εκπαίδευση για την εφαρμογή αναβαθμίσεων ασφαλείας στις συσκευές τους. Ποιος καταναλωτής γνωρίζει αν υπάρχουν αναβαθμίσεις ασφαλείας για την συσκευή του ή πώς να τις υλοποιήσει; Η γνωστοποίηση και η εκπαίδευση πρέπει να είναι το κύριο μέλημα των παρόχων.
Σε εταιρικό επίπεδο, οι εργαζόμενοι πρέπει να επιμορφωθούν σε θέματα χειρισμού των εταιρικών δεδομένων σχετικά με τις ΙοΤ συσκευές. Αφορά κυρίως ποιες εφαρμογές επιτρέπεται να χρησιμοποιήσουν και τι επιτρέπεται να αποθηκεύουν τοπικά στις συσκευές τους. Σημειώνεται, ότι ο υπάλληλος που  εργάζεται και στο χώρο του, αν δεν σέβεται τους εταιρικούς περιορισμούς και δεν ακολουθεί τις πρακτικές ασφαλείας που προαναφέρθηκαν, μετατρέπει το οικιακό του δίκτυο σε πιθανό σημείο εισβολής στην εταιρεία.

Δικτυακή “απομόνωση“. Tα όρια της εισερχόμενης ροής δεδομένων πρέπει να ασφαλιστούν αυστηρά. Αν οι ΙοΤ συσκευές δεν προσπελαύνονται απευθείας από το Internet, καθίσταται δυσκολότερο να υποστούν σε μία DDoS επίθεση. Επίσης, η αποδέσμευση της επικοινωνίας των συσκευών από cloud δομές είναι μία πρακτική που υιοθετείται τελευταίως από τις εταιρίες, ώστε να απομακρυνθεί ένα σημαντικό τμήμα απειλών. Αν πάλι η διαδικτυακή προσπέλασή της είναι καίριας σημασίας για την λειτουργία της συσκευής, τότε προτείνεται να απομονωθεί από το υπόλοιπο εταιρικό δίκτυο. Το «απομονωμένο» τμήμα του δικτύου στο οποίο θα λειτουργούν τέτοιου είδους συσκευές πρέπει να παρακολουθείται στενά για τυχόν ασυνήθιστη συμπεριφορά και ανεξέλεγκτη ροή δεδομένων και φυσικά να είναι έτοιμες οι ενέργειες αντιμετώπισης των εισβολών παντός είδους.
Η δικτυακή απομόνωση προτείνεται και για συσκευές που εισάγονται για πρώτη φορά στο δίκτυο, ώστε να εξεταστεί η συμπεριφορά τους και να τεθούν τα κατάλληλα όρια. Αν δεν λειτουργούν όλες οι ΙοΤ συσκευές του εταιρικής δομής σε δικό τους κομμάτι δικτύου , π.χ. VLAN, προτείνεται η άμεση μετακίνησή τους, ειδικά στις περιπτώσεις που διαπιστώνεται ότι η συμπεριφορά τους δεν ταιριάζει με το προφίλ των εταιρικών συσκευών. Σε αυτή την περίπτωση πρέπει να ανακατευθυνθεί η δικτυακή δραστηριότητά τους, να απομονωθούν και να ελεγχθούν για τυχόν αλλαγές στο λογισμικό τους.

Προτυποποίηση. Σημαντική διαδικασία για την προστασία των ΙοΤ συσκευών είναι οι αναβαθμίσεις των συσκευών, σύμφωνα με τις επιταγές του κατασκευαστή και την εφαρμογή των διαφόρων patches για να αντιμετωπιστούν τα τρωτά σημεία του λογισμικού τους. Το πρόβλημα είναι ότι λόγω της έλλειψης προτυποποίησης κάθε συσκευή αντιμετωπίζεται ξεχωριστά και απαιτεί χρόνο και επαγρύπνηση για να παραμένει ενημερωμένη και ασφαλής. Στον αντίποδα η έλλειψη προτυποποίησης σημαίνει ότι τα τρωτά σημεία μίας συσκευής, δεν αφορούν μία ευρύτερη γκάμα προϊόντων και κάθε φορά είναι λίγες οι συσκευές που δέχονται επίθεση ταυτόχρονα.

Εν κατακλείδι, προτού ηθελημένα εισαχθούν οι ΙοΤ συσκευές στην εταιρική δομή πρέπει να γίνει μία μελέτη των κινδύνων που εισάγονται και τα οφέλη που αναμένονται και να αξιολογηθεί αν αξίζει το ρίσκο. Γνώμονας λήψης της απόφασης θα πρέπει να είναι η μέχρις στιγμής προστασία της εταιρείας από δικτυακές και όχι μόνο απειλές και η ταχύτητα και ευελιξία που έχει επιδείξει κατά καιρούς στις νέες απειλές που ολοένα και εμφανίζονται. Επιπλέον, αν το ΙΤ τμήμα δεν απαρτίζεται από διαχειριστές με μεγάλη εμπειρία στον χώρο της ασφάλειας με τους οποίους πρέπει να συνεργαστούν οι μέτοχοι σε όλα τα επίπεδα, προτού υιοθετηθεί το ΙοΤ, τότε  καλό θα ήταν να διατηρηθούν επιφυλάξεις. Τέλος, τα δεδομένα και τα μονοπάτια που ακολουθούν για να εξυπηρετήσουν το εταιρικό δίκτυο σε όλες του τις μορφές, πρέπει να είναι ήδη προστατευμένα και οι ίδιες τεχνικές ασφάλειας να εφαρμοστούν στα συλλεγόμενα δεδομένα από τις έξυπνες συσκευές. Διαφορετικά, θα προκύψουν με βεβαιότητα θέματα παραβίασης της ιδιωτικότητας και έκθεσης των ευαίσθητων ή απορρήτων δεδομένων, τόσο της εταιρείας όσο και των πελατών της.

 

Της Παναγιώτα Τσώνη