Mit dem Internet verbundene Dinge lassen sich aus unserem Alltag nicht mehr wegdenken. Sie haben unser Leben in vielerlei Hinsicht vereinfacht und es werden täglich neue Dinge vernetzt. Der grosse Vorteil der die Vernetzung (mit dem «Internet» im Internet of Things) mit sich bringt, ist die Echtzeit-Vernetzung von Sensoren und Aktoren mit einer datenverarbeitenden und steuernden Instanz.
So lassen sich neue Prozesse implementieren oder bestehende Prozesse optimieren. Neue Formen der Integration in unser tägliches Leben werden ermöglicht, unsere echte, physische Welt verschmilzt mit der digitalen Welt. Die Vernetzung dieser beiden Welten bringt neben den vielen Vorteilen auch weitere Komplexitäten mit sich, insbesondere auch für die IT Security.
Die Geräte
IoT-Geräte werden für einen ganz bestimmten Anwendungsfall entwickelt und halten keine unnötigen Ressourcen vorrätig. Beispielsweise können starke Verschlüsselungsmechanismen die Hardware überfordern, wenn sie nicht zu Beginn einkalkuliert worden sind. Wenn das Gerät und die zugehörige Firmware nicht mit einem Security by Design Ansatz konzipiert worden ist, wird es schwierig auf Geräteebene zusätzliche Sicherheitsmassnamen zu implementieren.
In der Regel kann die Software der Geräte auch nur vom Hersteller angepasst werden, offene Systeme sind die Ausnahme und nicht die Regel. IT Security auf Geräteebene kann ebenfalls nur vom Hersteller kommen, Dritthersteller sind aussen vor.
Die Netze
Die Netzwerkverbindungen der IoT-Geräte können vielseitig und komplex sein. Eine Kommunikation über Protokoll- und Übermittlungstechniken hinweg ist die Regel. Die Systeme kommunizieren untereinander, mit ihren Controllern, mit den Datenverarbeitungsinstanzen, Steuerelementen, und, und, und…
Neue Systeme sind auf diese Kommunikation angewiesen und beherrschen diese von Geburt an, ja sind ohne diese Kommunikation teilweise gar nicht nutzbar. Älteren Systemen dagegen wurde die Netzwerkkommunikation nachträglich zugänglich gemacht. Systeme, welche ursprünglich gar nie dafür entwickelt wurden, nehmen nun an einer netzübergreifenden Kommunikation teil, teilen Daten oder empfangen Befehle darüber.
Die Akteure
Neben der Kommunikation mit ihrem IoT-Universum, gibt es viele weitere Akteure, die mit diesen Systemen kommunizieren wollen. Seien dies die «Benutzer» des Systems – das könnte auch ein weiteres automatisiertes System sein und muss nicht ein menschlicher Benutzer sein – aber auch der Hersteller, der Lieferant, Wartungspartner oder der Betrieb. Alle wollen oder müssen auf die eine oder andere Art mit den Systemen kommunizieren.
Schützenswert
Schlecht gesicherte IoT-Geräte oder -Netze bergen unterschiedliche Gefahren. Wir alle haben schon von den Horrorszenarien in Spitälern und Gesundheitseinrichtungen gehört, da kann es im wahrsten Sinne um Leben und Tod gehen. Aber auch weniger exponierte Systeme bergen Risiken. Von jeglichen Aktoren, welche mit der physischen Welt interagieren, geht ein gewisses Gefahrenpotenzial aus, auch ein Klimagerät kann in Brand geraten oder Pumpen können zum falschen Zeitpunkt aktiv/inaktiv werden. Doch auch die Sensoren oder ausschliesslich digitalen Aktoren bergen Gefahren.
So gibt es diverse Bot-Netze, welche sich IoT-Geräte zu Nutzen machen, im einfachsten Fall für DDos Attacken. Sensordaten zu verändern oder auch nur zu erhalten, kann für einen Angreifer lohnend sein. So ein Sensor kann auch ein Mikrofon, eine Kamera oder eine Füllstandsanzeige sein. Einige dieser Daten lassen sich direkt oder indirekt weiterverwenden oder weiterverkaufen. Die Bedrohung trifft also nicht nur mich oder mein eigenes Unternehmen, allenfalls werde ich auch unwillentlich und unwissentlich zur Bedrohung anderer.
IoT Security heute
Wie in vielen Fällen ist die Theorie ganz einfach, jedoch in der Praxis nicht sehr tauglich. Ein von mir eingesetztes IoT-Gerät soll doch bitteschön «Secure by Design» sein, vom Hersteller mit regelmässigen Updates gepflegt werden und durch regelmässige Code Audits und Penetration Tests von sich aus sicher sein. Starke Authentisierung und starke Verschlüsselung bieten und nur solche Verbindungen von und nach aussen zulassen.
Ich mag mich täuschen, aber vermutlich schränkt das meine Auswahl an heute verfügbaren Geräten so stark ein, dass ich nicht mehr in der Lage bin, meinen Use Case umzusetzen. Ich muss ich mich also mit Umsystemen behelfen, hierbei kommen die klassischen Sicherheitsmechanismen zum Tragen, optimalerweise in einer IoT affinen Ausgestaltung, welche insbesondere auch die eingesetzten Protokolle versteht, unterstützt und schützt.
IoT-Netzwerke gehören stark segmentiert, damit die Kommunikationsflüsse geordnet und kontrolliert werden können. Datenverbindungen sollen wo immer möglich durch zusätzliche VPN Verschlüsselungen gesichert werden. Eine starke Authentisierung kann ich oftmals nicht auf dem Gerät selbst einrichten, dann muss diese über eine Administrationsplattform und durch Netzsegmentierung sichergestellt werden. Ein Netzwerk IPS Schutz mit spezifischer Funktionalität für IoT-Geräte, Firmware und Protokolle, sowie eine Anomalie-Erkennung für Netzwerkverkehr erhöhen die Sicherheit massgeblich. Vulnerability Scanner, spezialisiert für IoT-Geräte, helfen Prioritäten zu setzen und Massnahmen gezielt und granular zu ergreifen.
Viele der von Ihnen bereits eingesetzten Sicherheitslösungen bieten mittlerweile zusätzliche Funktionalitäten spezifisch für den Einsatz in IoT-Umgebungen. Wenn in Ihrem Adventskalender vielleicht ein lustiges IoT Gadget liegt, nutzen Sie dies als Gedankenstütze, sich in nächster Zeit doch einmal dem Thema IoT-Sicherheit zu widmen.
Links
Forti
www.avantec.ch/loesungen/fortinet/fortigate/
Check Point
www.avantec.ch/loesungen/check-point/
