Больше интернета вещей – больше рисков

В 2021 году в мире было совершено свыше миллиарда атак на IoT-системы

Инфраструктура сетей интернета вещей (Internet of Things, IoT) более половины российских компаний не защищена полностью, утверждают эксперты по кибербезопасности. Одна из основных угроз связана с большим разнообразием применяемых технологий и решений, находящихся на разном уровне зрелости. Рынок умных устройств растет, а значит, вопросы безопасности IoT-систем становятся все более актуальными.

БЕЗОПАСНОСТЬ В ЦЕНТРЕ ВНИМАНИЯ

По данным исследования «Лаборатории Касперского», в России IoT-решения используют 39% организаций. При этом в 54% отдельные составляющие IoT-инфраструктуры, к примеру, медицинское оборудование или системы видеонаблюдения, могут быть не защищены от киберугроз.

Причины незащищенности зачастую связаны с большим разнообразием устройств и систем, которые не всегда совместимы с решениями безопасности

В России половина организаций (51%) опасается, что внедрение защитных инструментов может потребовать значительных финансовых затрат. Около трети компаний (34%) считают, что продукты кибербезопасности повлияют на производительность устройств и сервисов интернета вещей, или предполагают, что поиск подходящего решения может оказаться слишком сложным (32%).

Среди других распространенных проблем, с которыми сталкиваются компании при внедрении инструментов кибербезопасности, – нехватка персонала или специальных знаний в области безопасности интернета вещей (29%) и неумение доказать важность инвестиций в защиту таких устройств перед топ-менеджментом (28%).

При этом эксперты уверены, что

применение IoT-технологий связано с такими аспектами, как жизнь и здоровье человека, сохранность окружающей среды, поэтому кибербезопасность должна находиться в центре внимания

Важна и физическая надежность всех систем, а также конфиденциальность передаваемых данных. Например, незапланированная блокировка дверей может создать небезопасную ситуацию в помещении, так как в случае необходимости его сложно будет покинуть.

Руководитель отдела продвижения продуктов компании «Код безопасности» Павел Коростелев согласен с выводами коллег. В комментарии для RSpectr он отмечает, что IoT-инфраструктура, как правило, защищается хуже, потому что имеет меньше свободных вычислительных ресурсов. К тому же обычно «безопасники» не вовлечены в проектирование умных устройств, из-за чего в конечном итоге страдает вся система защиты.

В первую очередь риски связаны с несанкционированным доступом к сетям интернета вещей, который получает злоумышленник. Это может серьезно осложнить жизнь предприятий, которые используют IoT-решения, предупреждает П.Коростелев.

РЫНОК РАСТЕТ

Согласно прогнозу IoT Analytics, к 2025 году количество подключенных по всему миру IoT-устройств достигнет 27 миллиардов. На фоне такого быстрого роста увеличивается и потребность в их защите, уверены в «Лаборатории Касперского».

По данным исследования компании МТС,

глобальный рынок IoT достиг 158 млрд долларов в 2021 году, объем сегмента в России составил 148,5 млрд рублей

Оценка учитывает оборудование, ПО и услуги передачи данных.

По прогнозу компании, среднегодовые темпы роста в России составят 12% после спада в текущем году, а сам рынок может вырасти до 208,5 млрд рублей к 2026-му.

Ключевым фактором, определяющим дальнейшее развитие направления в России, является макроэкономическая ситуация, которая влияет на спрос на цифровые решения со стороны потребителей из различных сфер.

Если рассматривать выручку по отраслям, то лидерами являются энергетика/ЖКХ (30%), недвижимость (18%) и транспорт (16%). Прогнозируется, что в 2025 году они сохранят лидерство: энергетика/ЖКХ (32%), недвижимость (27%), транспорт (12%).

Резкий рост продемонстрируют интеллектуальные приборы учета коммунальных ресурсов. Их общее количество в России, по прогнозу МТС, вырастет до 39 млн к 2025 году, ими будет оснащена каждая вторая квартира.

На сегодня общее количество умных счетчиков составляет 5,7 млн единиц, более половины из них – для учета электроэнергии.

Резкий рост покажут умные колонки – с 3,5 млн в 2021-м до 10,5 млн к 2025-му; а также устройства умного дома – с 2,7 млн до 13,4 млн соответственно.

РАСПРОСТРАНЕННЫЕ РИСКИ

Как пояснил П.Коростелев, основная проблема безопасности интернета вещей кроется в конечных устройствах. По его словам,

можно было бы изначально разрабатывать IoT-устройства с повышенной защитой, однако это дорого и долго, поэтому главный вопрос – насколько сам производитель озабочен безопасностью

Павел Коростелев, «Код безопасности»:

– Надо еще помнить, что есть два вида IoT-устройств: консьюмерские и корпоративные. И если в последних о безопасности еще как-то думают, то в пользовательских с защитой совсем печально.

В команде разработчиков платформы кибербезопасности TheWall одним из распространенных рисков для информационной безопасности IoT-устройств называют плохую поддержку управления уязвимостями. «После выпуска датчика вендор или пользователь забывает об обновлениях или их установка по каким-то причинам становится невозможной», – говорят эксперты.

Другой распространенный вид уязвимостей и рисков – слабое шифрование или его отсутствие при хранении и передаче данных. Кроме того, использование слабого логина и пароля также делает IoT-устройства легкой мишенью для злоумышленников.

КАКИЕ СЕТИ БЕЗОПАСНЕЕ

Специально создаваемые для устройств интернета вещей сети отличаются низким энергопотреблением и широким покрытием (Low Power Wide Area Networks, LPWAN) и делятся на два типа. Одни базируются на технологиях мобильной связи и используют лицензированный спектр, другие работают в нелицензируемых диапазонах частот.

Компания МТС недавно завершила развертывание федеральной сети интернета вещей стандарта NB-IoT*. Она реализована в соответствии со стандартами 3GPP** в лицензируемом спектре, а также соответствует госстандарту***.

В ней свыше 45 тыс. базовых станций. На сети работают сервисы для более чем 76 тыс. клиентов, среди которых крупные ресурсоснабжающие организации, предприятия сегмента ЖКХ и производители умных устройств.

Как рассказали RSpectr в компании, в МТС согласны с тем, что одна из основных угроз связана с огромным разнообразием применяемых устройств, технологий и решений, находящихся на разном уровне зрелости и нередко несогласованных между собой. Понимая данные риски, специалисты выстраивают стратегию развития продуктовых IoT-решений, основываясь на принципах сквозной безопасности от устройства до платформ управления ими и обработки данных.

Оборудование, применяемое в МТС, соответствует предъявляемым требования в части ИБ и отраслевым параметрам передачи данных. «Для производителей устройств доступен сервис по их испытаниям в IoT-лаборатории МТС, в результате чего достигается наибольшая эффективность работы оборудования и его безопасности», – сказали в пресс-службе компании.

В МТС также сообщили о том, что применяют дополнительные средства повышения безопасности в архитектуре сети NB-IoT. Например, узел SCEF (Service Capability Exposure Function), обеспечивающий разделение трафика IoT-устройств и сетей связи общего пользования без выделения IP-адресов.

МТС, пресс-служба:

– Уровень безопасности в NB-IoT при правильной архитектурной реализации сети, протоколов, применяемого оборудования и платформ выше по сравнению с передачей данных в нелицензируемых спектрах частот.

Как пояснили эксперты, например, часть компаний, предоставляющих решения на базе стандарта LoRaWAN****, добавляет в состав оборудования и протоколов криптографические методы защиты передаваемых данных. Но при этом сама технология работы в LoRaWAN, в отличие от NB-IoT, предполагает, что все провайдеры IoT-решений работают в одном диапазоне частот, и каждая базовая станция одновременно «видит» все устройства в ее зоне действия, включая оборудование стороннего оператора, что потенциально вызывает больше угроз.

ВИРТУАЛЬНЫЙ УГОН

Согласно отчету SAM Seamless Network, в мире в течение 2021 года было совершено свыше 1 млрд атак на системы интернета вещей.

Большая часть из них была успешной по причине уязвимости в системе безопасности устройств. Сюда же стоит отнести многообразие операционных систем, из-за чего производители софта не успевают выпускать обновления.

Злоумышленники создают ботнеты, которые сканируют сеть и легче обходят системы защиты

Причем с каждым годом функционал и возможности такого ПО увеличиваются.

Взломав множество устройств, хакеры делают из них сеть для организации DDoS-атак, приводят пример эксплуатации уязвимостей разработчики платформы кибербезопасности TheWall. Такие нападения могут привести, например, к нарушению непрерывности бизнеса и, как следствие, к финансовым потерям.

Есть и более чувствительные сферы, где вопросы ИБ должны иметь первостепенное значение. Примером служит ситуация, когда специалисты по информационной безопасности компании Owlet обнаружили, что сенсор контроля сердечного ритма младенцев подвержен атакам. При возможном взломе хакеры могли бы отменить отправку уведомлений родителям о состоянии ребенка.

Разработчики платформы кибербезопасности, TheWall:

– Или же история с первым виртуальным угоном автомобиля, когда два хакера взяли под полный контроль управление Jeep Cherokee. Находившийся внутри авто водитель полностью потерял управление. Остановить машину удалось с помощью самих хакеров. Они же позже опубликовали список самых уязвимых автомобилей.

Как отметил руководитель направления по развитию бизнеса на базе операционной системы KasperskyOS «Лаборатории Касперского» Андрей Суворов, несмотря на все вызовы, IoT открывает масштабные возможности не только для бизнеса, но и для простых пользователей, обеспечивая комфортную жизнь – удобное использование транспорта, более быструю доставку продуктов, моментальную связь. Интернет вещей широко используется в умных городах, ритейле и промышленности. Среди таких проектов – управление энергопотреблением и водоснабжением, умное освещение, системы предупреждения об опасности, видеонаблюдение.

«Над эффективной защитой таких проектов работают специалисты по кибербезопасности со всего мира. Однако усилия должны быть приложены на всех уровнях – от производителей оборудования и разработчиков программного обеспечения до поставщиков услуг и компаний, внедряющих и использующих IoT-решения», – подчеркивает А.Суворов.

Чтобы восполнить пробелы в безопасности IoT, «Лаборатория Касперского» рекомендует компаниями предпринимать следующие меры:

• Оценивать уровень безопасности IoT-устройств перед их внедрением. Предпочтение лучше отдавать оборудованию с сертификатами кибербезопасности, а также продуктам производителей, уделяющих больше внимания ИБ.
• Использовать жесткую политику доступа, сегментацию сети и модель нулевого доверия. Это поможет свести к минимуму распространение возможной атаки и защитить наиболее уязвимые части инфраструктуры.
• Внедрять программу управления уязвимостями, чтобы регулярно получать самые актуальные данные, вносить исправления или использовать обходные пути защиты.
• Использовать выделенный IoT-шлюз, который обеспечивает безопасность и надежность передачи данных.

______

* NB—IoT (Narrow Band Internet of Things, узкополосный интернет вещей) – стандарт сотовой связи для сетей интернета вещей.

** 3GPP (3rd Generation Partnership Project) – консорциум, разрабатывающий спецификации в области мобильной связи.

*** ГОСТ Р 59026-2020 – «Информационные технологии. Интернет вещей. Протокол беспроводной передачи данных на основе стандарта LTE в режиме NB-IoT. Основные параметры».

**** LoRaWAN (Long Range Wide Area Network) – открытый протокол для высокоемких (до 1 млн устройств) сетей с большим радиусом действия и низким энергопотреблением, который LoRa Alliance стандартизировал для малопотребляющих глобальных сетей LPWAN.

Изображение: RSpectr, Adobe Stock