En lugar de intentar "corregir" constantemente los problemas, aquí tienes algunos consejos óptimos para aprovechar de forma segura Internet de las Cosas (IoT).
Internet de las Cosas (IoT) es el resultado de continuos progresos de la tecnología de los chip, de donde se derivan dispositivos económicos que pueden implementarse para recopilar datos y aportar modificaciones a los entornos. Proteger estos dispositivos significa reconocer que los dispositivos IoT son básicamente iguales que otros equipos de procesamiento conectados a la red, como los portátiles.
La naturaleza de las amenazas y de las vulnerabilidades a las que se expone un dispositivo IoT depende de las circunstancias de su uso y del entorno de las amenazas en continua evolución. Considerando las previsibles vulnerabilidades del dispositivo y el modo en que los hacker podrían tratar de comprometerlo, logramos diseñar un conjunto apropiado de defensas para proteger el dispositivo durante todo su ciclo de vida.
Los enfoques de cara a determinar los requisitos de seguridad de un sistema IoT son fundamentalmente dos. Se puede considerar el problema como una cuestión técnica donde los dispositivos constan de una serie de niveles, cada uno de ellos con sus propias exigencias de seguridad que pueden resolverse aplicando los conocimientos sobre cómo proteger sistemas informáticos similares. O bien, los dispositivos IoT pueden considerarse como una oportunidad y un objetivo para los hacker. El conocimiento de las tácticas y los instrumentos que probablemente emplearán los hacker que intenten comprometer los dispositivos puede ser útil para desarrollar las defensas necesarias para proteger los sistemas.
Los dispositivos IoT, al igual que otros sistemas de cálculo, se componen de una serie de tecnologías superpuestas en ejecución. Dicha estructura está formada por el nivel físico del propio dispositivo, el sistema operativo y el firmware que permiten que el dispositivo funcione, el nivel de aplicación de las funcionalidades de los anteriores y, naturalmente, el nivel de red que permite que el dispositivo se pueda comunicar con los demás sistemas.
Cada uno de estos niveles posee un conjunto peculiar de requisitos de seguridad y protecciones que se deben tener en cuenta cuando se planifica la seguridad interna del dispositivo. Es importante recordar que también la protección de TI más sofisticada puede verse frustrada si la seguridad física del dispositivo no está garantizada y, por tanto, es robado.
Los dispositivos instalados en exteriores pueden estar expuestos a temperaturas extremas o a infiltraciones de agua, por lo que es necesario que dispongan de una cubierta que los haga resistentes a la intemperie. Los dispositivos en áreas públicas pueden ser objetivos tentadores para los ladrones.
Por ejemplo, algunos criminales en Sudáfrica han descubierto que pueden robar las tarjetas SIM usadas en los semáforos conectados de la ciudad. https://TechCentral.co.za/Thieves-Steal-... Aunque los dispositivos IoT pueden ser poco costosos, sus componentes internos pueden suponer una oportunidad para los criminales.
El personal de seguridad debería tener en cuenta la seguridad física de IoT y proteger físicamente los dispositivos donde sea necesario. Es necesario poder detectar si se ha producido una manipulación física o un robo de un dispositivo y, según el caso, tener la posibilidad de "limpiar" el dispositivo de aplicaciones de software, datos y privilegios de acceso.
Inevitablemente, todo sistema que incluya software presentará vulnerabilidades que deberán resolverse mediante la aplicación de revisiones.
Por ejemplo, CVE-2016-2148 es una vulnerabilidad de las versiones de BusyBox anteriores a 1.25.0 que permite a los hacker ejecutar comandos en un dispositivo con software vulnerable interactuando a través de la red. https://NVD.NIST.gov/VULN/detail/CVE-201. El desarrollador ha lanzado una revisión para solucionar la vulnerabilidad, pero el personal de seguridad debe conocer las revisiones que necesitan sus sistemas IoT e implantar un programa riguroso de aplicación de revisiones para identificar las vulnerabilidades y aplicar las revisiones apropiadas con prontitud.
En algunos casos, puede resultar imposible aplicar las revisiones en los sistemas, bien porque no haya disponible una revisión para la vulnerabilidad concreta, o bien, porque el dispositivo en cuestión puede que no tenga permisos para ponerse fuera de servicio con el fin de aplicar la revisión. En estos casos, se pueden proteger los sistemas vulnerables mediante un IDS (Intrusion Detection System) o un NGFW (Next Generation Firewall) para filtrar el tráfico de red con el fin de bloquear los intentos de aprovecharse de las vulnerabilidades.
Si un dispositivo está conectado, antes o después será objetivo de ataques basados en red. Una segmentación correcta de las redes para que los dispositivos IoT se encuentren en redes diferentes contribuye a limitar los accesos no autorizados y la explotación de las vulnerabilidades.
Por ejemplo, el motor de búsqueda Shodan enumera muchos dispositivos IoT que están expuestos en la red de Internet pública con todos los riesgos que esto comporta. https://www.Shodan.io/Explore/Tag/IOT
Los nombres de usuario y contraseñas no son una solución adecuada o razonable desde el punto de vista de gestión para la autenticación de los usuarios o administradores en los dispositivos IoT. Asimismo, los nombres de usuario y contraseñas son un medio muy poco idóneo para los dispositivos de autenticación cuando estos intentan conectarse a otros sistemas. El uso de la autenticación basada en certificado o en redes definidas por software garantiza que solo los dispositivos debidamente autenticados puedan tener acceso a los servicios que tienen autorizados.
Por ejemplo, los dispositivos IoT comprometidos pueden llevar a cabo ataques de Sybil al proporcionar datos falsos a los sistemas de análisis para engañarlos y hacerles tomar decisiones erróneas basándose en datos no correctos.
Los dispositivos IoT vulnerables pueden ser atacados por los hacker y usados como punto de entrada a una red con el fin de asestar ulteriores ataques contra otros sistemas. Los administradores de redes deberían considerar a los dispositivos IoT como cualquier otro PC de la red y asegurarse de que solo tienen asignados los privilegios indispensables para cumplir su función. Por ello, es necesario que los dispositivos IoT solo puedan tener acceso a una red específicamente segmentada o que usen sistemas SDN (Software-Defined Networking) para garantizar que no se puedan conectar a otros sistemas conectados en red.
Los dispositivos IoT cumplen su propia función mediante la ejecución de código de aplicación que usa la funcionalidad proporcionada por otros niveles en el interior de los dispositivos. Como cualquier código de software, se debe asumir que el código de la aplicación contendrá vulnerabilidades que requerirán la aplicación de revisiones. Como alternativa, si no es posible aplicar revisiones, el dispositivo deberá contar con una protección de red adicional, por ejemplo, un IDS o un NFGW, para impedir una explotación de las vulnerabilidades.
La integridad y el origen de cualquier aplicación se deberán verificar. Durante el proceso de instalación del software, el código podría resultar dañado y requerir una reinstalación. Esta circunstancia se debe poder gestionar sin que el dispositivo se bloquee o sin que sea necesario un reinicio manual. Por lo tanto, es necesario preparar un sistema de gestión del código para facilitar las operaciones.
A pesar de los esfuerzos realizados para limitar el acceso a la red y protegerse frente a la explotación de vulnerabilidades, los hacker todavía pueden instalar y ejecutar código malintencionado en los dispositivos IoT. En estos casos, es importante ser capaz de identificar los comportamientos inusuales procedentes de dispositivos mediante una supervisión de su comportamiento en la red e impedir que los dispositivos comprometidos se comuniquen con los servidores de comando y control malintencionados.
Por ejemplo, la botnet Mirai ha sido propagada por dispositivos IoT comprometidos por hacker que han tenido acceso a dichos dispositivos a través de nombres de usuario y contraseñas predefinidos sin modificar. Los autores de los ataques han instalado el código malintencionado en los dispositivos para lanzar desde ellos ataques de denegación de servicio contra los objetivos elegidos. https://krebsonsecurity.com/2016/10/who-makes-the-iot-things-under-attack/
Implementar defensas, como la autenticación basada en certificado, impedir o limitar el acceso a redes externas y realizar una segmentación oportuna de la red contribuyen a impedir que estos tipos de ataques tengan éxito.
Cualquier dispositivo de procesamiento capaz de ejecutar comandos y conectado a Internet representa una oportunidad para los hacker. Aunque el dispositivo pueda parecer pequeño e insignificante, la ejecución de un malware puede apropiarse de ciclos gratuitos de la CPU y de capacidad de red.
Detrás de cada ataque informático hay una persona, el autor de la amenaza, que apunta a un objetivo o persigue una finalidad. Cada autor tiene unos objetivos y unos niveles de habilidades diferentes. Estos niveles de habilidades pueden variar desde el "no sofisticado" (propio de los que pueden lanzar ataques solo empleando herramientas estándar proporcionadas por terceros) a los piratas informáticos extremadamente evolucionados que cuentan con multitud de recursos para lanzar un ataque personalizado contra un objetivo aprovechándose de una vulnerabilidad del sistema que otros desconocen.
La mayoría de los autores de las amenazas son poco sofisticados y, probablemente, consideran a los dispositivos IoT como dispositivos genéricos conectados a la red de los que pueden recaudar dinero haciendo uso de un modelo de negocio criminal puesto a prueba y fiable. Por lo general, estos hacker tratan de comprometer el mayor número de sistemas posible con el mínimo esfuerzo.
El número de criminales informáticos altamente sofisticados es relativamente reducido; estos criminales dedican mucho tiempo y energía a identificar vulnerabilidades de sistema muy específicas. Pueden utilizar los dispositivos IoT comprometidos como puntos de acceso para entrar en la red y permanecer allí mucho tiempo para asestar ataques contra otros sistemas de mayor valor. Este tipo de agresores se concentra probablemente en un número limitado de sistemas.
En cualquier caso, el objetivo del personal de seguridad es el de dificultar lo máximo posible que los dispositivos resulten comprometidos. Si un sistema resulta comprometido, el personal de defensa debe ser capaz de detectarlo en el menor tiempo posible y reaccionar con la máxima rapidez para eliminar a los hacker e impedirles eventuales accesos en el futuro.
A los hacker puede motivarles el deseo en sí mismo de provocar problemas o el desafío que representa realizar un ataque. Impedir que los dispositivos IoT sean identificados fácilmente a través de Internet o indizados por Shodan contribuye a evitar que puedan ser objeto de un ataque. Estos tipos de agresores, de hecho, tienden a apuntar a los objetivos más fáciles o más tentadores, por lo que es necesario asegurarse de que los dispositivos IoT no se pueden identificar tan fácilmente como otros para que los hacker se dediquen a otros sistemas.
En los casos en los que sea imposible ser prevalentemente invisibles, el uso de técnicas criptográficas robustas y de certificados para garantizar que solo los sistemas autorizados puedan conectarse entre sí y que el tráfico de red no se exponga a análisis no cifrados ayuda a frustrar los esfuerzos de estos criminales.
La mayoría de los autores de amenazas actúan por motivos criminales. Los criminales saben cómo hacer dinero con los dispositivos comprometidos a través de la instalación de un malware que puede: apropiarse de ciclos de CPU para violar los hash o buscar bitcoins; apropiarse de ancho de banda para participar en ataques de denegación de servicio; robar datos, que pueden ser sustraídos y revendidos a otros criminales; y cifrar los datos para solo devolverlos tras recibir el pago de un rescate.
Proteger los sistemas IoT frente a las conexiones no autorizadas por medio de una segregación y gestión válida de las redes, o bien, manteniendo las redes físicamente separadas de los demás sistemas, usando sistemas SDN o protegiéndolos con un NGFW, contribuye a impedir que los criminales informáticos tengan acceso a los dispositivos.
Cuando un dispositivo ha sido comprometido, si se le impide que se conecte a los sistemas de comando y control de los hacker, por mucho que pueda contener malware, no podrá recibir los comandos de los hacker para alcanzar los objetivos.Garantizar que las conexiones a otras redes estén protegidas por un firewall capaz de bloquear las conexiones a los sistemas de comando y control conocidos, así como reconocer y bloquear los protocolos de comando y control conocidos, impide al malware recibir ulteriores instrucciones malintencionadas.
A simple vista, los sistemas IoT son fáciles de crear. Esto es cierto, pero, como cualquier otro sistema en red, los dispositivos IoT deben protegerse frente a los ataques. Los procesos de gestión de riesgos como ISO 27005 o NIST SP 800-30 son herramientas muy útiles para identificar los tipos de defensas necesarias para proteger los sistemas IoT de las actuales amenazas ambientales. En cualquier caso, toda forma de reflexión sobre los tipos de riesgos que IoT comporta es mejor que nada.
Ninguna forma de protección por sí sola es probablemente suficiente, pero un enfoque de implementación de más sistemas de seguridad diferentes en más niveles puede también ser una protección frente a los hacker más determinados y ayudar al personal de seguridad a gestionar la situación.