Подход к обеспечению безопасности IoT в Enterprise
•
1 like•448 views
В рамках секции: (Не)безопасность интернета вещей
Recommended
Recommended
More Related Content
What's hot
What's hot (20)
Similar to Подход к обеспечению безопасности IoT в Enterprise
Similar to Подход к обеспечению безопасности IoT в Enterprise (20)
More from Positive Hack Days
More from Positive Hack Days (20)
Подход к обеспечению безопасности IoT в Enterprise
- 1. Дмитрий Березин Ведущий системный инженер, отдел информационной безопасности г. Москва, 23 мая 2017 года ПОДХОД К ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ IOT В ENTERPRISE Александр Бутенко Системный инженер, отдел информационной безопасности
- 3. ОПРЕДЕЛЕНИЕ IOT Концепция IoT компании IBM Instrumented Измерять в точке возникновения события Interconnected Все компоненты объединены в одну сеть Intelligent Имеется интеллектуальная обработка данных /243
- 4. ОПРЕДЕЛЕНИЕ IOE Концепция IoE компании Cisco People Process Data Things /244
- 5. ПРИМЕР IOT: УМНЫЙ ДОМ /245
- 6. ПРИМЕР IOT: INDUSTRIAL INTERNET OF THINGS (IIoT) Индустрия 1.0 - 4.0 /246
- 7. ПРИМЕР IOT: INDUSTRIAL INTERNET OF THINGS (IIoT) АСУ ТП IIoT /247 • обмен информацией с датчиков • облачные сервисы
- 8. ПРИМЕР IOT: ENTERPRISE IOT Industrial Home Enterprise /248
- 9. ВЗАИМОДЕЙСТВИЕ МЕЖДУ ЭЛЕМЕНТАМИ IOT До 2005 Наше время После 2025 Закрытые централизованные системы Открытые сети, централизованное облако Открытые сети, распределенное облако /249
- 10. СЕТЕВОЕ ВЗАИМОДЕЙСТВИЕ IoT Сравнительный анализ каналов связи IoT /2410
- 11. СОТОВЫЕ СЕТИ 2G/3G/4G SMS, CSD, GPRS, EDGE • 60% устройств на технологиях 2G • Низкая скорость, высокие задержки (до 300 мс) HSPDA, UMTS Высокоскоростной доступ, сообщения IMS LTE Узкополосная передача данных Narrowband-LTE /2411
- 12. BLUETOOTH Протокол Bluetooth Bluetooth 1.0, 1.1, 2.0 Голосовые технологии и PAN Bluetooth 2.1 Технология энергосбережения Sniff Subrating Bluetooth 3.0 Стандарт 802.11 (технологии Wi-Fi) Bluetooth 4.0 Снижение энергопотребления Bluetooth 4.1 Совместимость и координация BT и LTE /2412
- 13. СПЕЦИАЛЬНЫЕ IoT-ПРОТОКОЛЫ Типовая архитектура • Беспроводные персональные вычислительные сети (WPAN) • Гарантированная безопасная передача данных • Небольшие скорости • Возможности длительной работы сетевых устройств от батарей • Самоорганизующаяся и самовосстанавливающаяся ячеистая топология • Ретрансляция и маршрутизация сообщений IEEE 802.15.4 • 10-100 м • 20 - 250 кбит/с • 100 - 1000 дней /2413
- 14. СПЕЦИАЛЬНЫЕ IoT-ПРОТОКОЛЫ • 10 - 30 м • до 100 кбит/с • 1 - 2 года • Низкое энергопотребление • Высокая отказоустойчивость • Частоты ниже 1ГГц Управляющие узлы Контроллеры, маршрутизация и взаимодействие Исполнительные узлы Принимают и исполняют команды, дополнительно ретрансляция сигналов /2414
- 15. СПЕЦИАЛЬНЫЕ IoT-ПРОТОКОЛЫ LPWAN Low-power Wide-area Network Long Range WAN • Большая дальность передачи • Низкое энергопотребление • Нелицензируемые частоты ниже 1ГГц • Базовая станция и оконечные устройства • 2,5 - 15 км • 250 бит/с - 50 кбит/с • до 10 лет /2415
- 16. ПРИКЛАДНЫЕ ПРОТОКОЛЫ IoT MQTT (Message Queue Telemetry Transport) • Лёгкий сетевой протокол работающий поверх TCP/IP • Используется для обмена сообщения между устройствами по принципу издатель-подписчик (publish–subscribe) Constrained Application Protocol (CoAP) • Асинхронный обмен сообщениями поверх UDP • Лучше остальных совместим с HTTP Advanced Message Queuing Protocol (AMQP) • Открытый протокол для передачи сообщений между компонентами системы • Обмен сообщениями через AMQP-брокер с маршрутизацией, гарантированной доставкой, подписка на нужные типы сообщений /2416
- 17. Gateway Collector Data Controlling Device 1 - - IoT-device Application 1 Application 2 Application 3 Controlling Device 2 Controlling Device 3 IoT-device IoT-device IoT-device IoT-device IoT-device /2417 АРХИТЕКТУРА IOT OS Integrity Authentication Data Security Anomaly Detection Secure Design / Development Authentication Data Security Anomaly Detection Secure Design / Development OS Integrity Authentication Data Security Anomaly Detection Secure Design / Development Data Security Authentication Data Security Anomaly Detection Secure Design / Development
- 18. /2418 • SDLC • Аудит кода • IoT-hardening ЭТАПЫ ЗАЩИТЫ Hardware design Software design Enterprise deployment • Настройка аппаратных интерфейсов • Настройка загрузчика ОС • Ball Grid Array • System on Chip • Удаление маркировок • Модули защиты • Обновление • Управление IoT vendor IT-solutions provider
- 19. Gateway IoT /2419 ТИПОВЫЕ ТЕХНОЛОГИИ ЗАЩИТЫ Firewall / IPS BruteforceLocal firewall / IPS + Temporary account block CVEexploit Patch & Update
- 20. < S I E M > . . . < C L O U D > /2420 ТИПОВЫЕ ТЕХНОЛОГИИ ЗАЩИТЫ Updates spoofing Command injection Firmware modification VPN / SSL / TLS Isolating device
- 21. /2421 • VPN • Encrypt update • Device + Encryption key • Разнесение обновлений во времени БЕЗОПАСНОЕ ОБНОВЛЕНИЕ IOT < Update Servers > IoT Updates OS Updates 3rd Party Apps Updates
- 22. /2422 • PKI • Атрибуты и роли устройств в сертификатах безопасности • Единая консоль управления устройствами БЕЗОПАСНОЕ УПРАВЛЕНИЕ IOT management servers< > PKI
- 23. /2423 • 152-ФЗ «О персональных данных» и подзаконные нормативные акты • 98-ФЗ «О коммерческой тайне» • 116-ФЗ «О промышленной безопасности опасных производственных объектов», 16-ФЗ «О транспортной безопасности», 256-ФЗ «О безопасности объектов топливно-энергетического комплекса» и подзаконные нормативные акты IOT И ЗАКОН Казалось бы, «Ubi jus incertum, ibi nullum» («Если закон не определен, то закона нет»)
- 24. Дмитрий Березин E-mail: DBerezin@croc.ru 111033, Москва, ул. Волочаевская, д.5, к.1 Т: (495) 974 2274 | Ф: (495) 974 2277 croc.ru СПАСИБО ЗА ВНИМАНИЕ! Александр Бутенко E-mail: AButenko@croc.ru
Editor's Notes
- Добрый день, уважаемые дамы и господа! Меня зовут Дмитрий Березин, мой коллега - Александр Бутенко, и сегодня мы обсудим подход к обеспечению безопасности IoT-устройств в Enterprise.
- И перед тем, как обсудить, как мы защищаем, предлагаю обсудить, что же мы защищаем. Дело в том, что сейчас пока еще нет четко сформулированного определения IoT, потому что это скорее некоторый набор концепций, и каждый из вендоров трактует его по-своему.
- Например, компания IBM говорит, что IoTом является набор устройств, которые взаимодействуют друг с другом и с пользователем. Каждое устройство должно быть достаточно интеллектуальным, чтобы самостоятельно обрабатывать некоторый объем данных, либо получая информацию извне, либо передавая данные со своих сенсоров и датчиков другим устройствам.
- Компания Cisco презентует немного другой подход, более широкую концепцию Internet of Everything. В этом случае под интернетом вещей подразумевается любое устройство, подключенное к сети Интернет, которое взаимодействует либо с другими устройствами, либо с пользователем, является частью интернета вещей. Как вы можете увидеть на графике, кол-во этих устройств заметно растет и, если в начале 2000х число устройств, подключенных к сети Интернет, было порядка миллиарда, то к 2020му году, по разным оценкам, их кол-во составит от 37 до 50 млрд.
- Есть различные сценарии применения интернета вещей. Например, эти устройства применяются для повышения комфорта пользователя, когда он дома, в автомобиле или на работе. Кстати, следует разделять понятия механизации, автоматизации и технологии умного дома. Давайте остановимся на этом немного подробнее. Например, у нас есть окно, и есть сервопривод, который позволяет открывать и закрывать окно - это у нас будет механизация. Следующий этап - это окно, сервопривод, и при этом у вас есть расписание, которое открывает и закрывает окно во время обеденного перерыва, чтобы впустить свежий воздух в помещение. Это у нас будет автоматизация. И следующий этап - это умный дом, когда команда на открытие окна отдается устройству только после учета всех возможных факторов - погоды за окном, температуры внутри помещения, информации о том, сколько людей в комнате и многому другому. Это как раз и является примером Интернета вещей. И таких применений достаточно много, некоторые из них приведены на слайде.
- Более строгие требования к IoT предъявляет индустриальный интернет вещей. В промышленном сегменте IoT используется для того, чтобы повысить эффективность работы сотрудников. В целом, промышленность развивалась следующим образом: сначала появились паровые машины, которые помогали людям проводить какие-то тяжелые работы, например, обеспечить подъем воды в водонапорную башню. Далее - автоматизация, для производства каких-либо товаров, например, штамповка деталей. Третий этап - это классические АСУТП системы, компьютеризированные, позволяют агрегировать всю информацию, поступающую с различных устройств, в единый центр, и передавать управляющие воздействия на исполнительные устройства.
- И последнее - это индустрия 4.0. Что же это такое? Например, у нас есть ветроэнергостанция, состоящая из сотен, а может и тысяч ветрогенераторов. Для обеспечения их работы требуются стабильные погодные условия - ветер должен быть сильным, но без резких порывов. В индустрии 4.0 ветрогенераторы обмениваются информацией напрямую друг с другом. Каждое устройство одновременно является источником данных для всей сети, например, передает информацию о скорости ветра, частоте оборотов, вибрациях на лопостях, так и получает информацию со всех других устройств, а также информацию по прогнозу погоды из облачного сервиса. Таким образом, как только первый ветряк, который находится у побережья, ощутит на себе порыв штормового ветра, остальные ветряки самостоятельно принимают решение о том, стоит ли им включить систему аварийного торможения, или, с учетом всей имеющейся у него информации, можно продолжать выработку электричества.
- И переходим к теме того, что же представляет из себя IoT в Enterprise. На наш взгляд, это все лучшее, что могут предоставить системы домашней автоматизации и системы АСУТП, при этом обогащаются информацией, необходимой для повышения эффективности и снижения накладных расходов при ведении бизнеса. В частности, это могут быть системы учета передвижений сотрудников курьерских служб, трекеры, прикрепляемые к ценному грузу (отслеживающего координаты по GPS, сохраняющий статистику по температура и влажности на этапе транспортировки), системы повышения безопасности работы сотрудников на промышленных предприятиях и многое другое. В целом, существует множество примеров применения IOT в Enterprise, но не будем останавливаться на этой теме слишком долго. Давайте обсудим, как же IoT устройства взаимодействуют друг с другом.
- Лет 10-15 назад большинство устройств работали по клиент-серверной модели и представляли из себя закрытые сети. Сейчас многие устройства подключаются друг к другу напрямую, в обход центрального сервера, а облачная платформа используется для управления и сбора статистики. По прогнозам, лет через 10 вся система станет полностью децентрализованной, как с точки зрения взаимодействия между конечными устройствами, так и с точки зрения распределенных облачных сервисов.
- Раз у устройств появляется возможность взаимодействовать друг с другом напрямую на логическом уровне, рассмотрим, как может быть организовано взаимодействие между IoT на уровне сети. Есть множество каналов передачи данных. Понятно, что IoT устройство может быть подключено обычным Ethernet-интерфейсов, и провод, естественно, накладывает ограничения на варианты применения. Также, IoT может быть подключен к WiFi, однако, этот канал связи требует значительных энергетических ресурсов, и устройство уже не сможет работать длительное время от аккумуляторов. Поэтому рассмотрим преимущества и недостатки других беспроводных каналов связи.
- Например, IoT устройство может сообщать о своем состоянии, и принимать какие-либо управляющие команды по SMS. Способ хороший, и в некоторых сценариях, таких, как охранная сигнализация, этот вариант можно назвать подходящим. Однако, присутствует значительная задержка в канале связи, да и по смс много информации не отправить, поэтому данный вид связи может быть использован далеко не во всех решениях. Есть другие технологии связи на основе сотовых сетей, например, LTE, однако при увеличении ширины канала связи, сотовые сети становятся более требовательными к энергетическим ресурсам (большее энергопотребление), поэтому устройства потребуется подключать к энергосети, от аккумуляторов в LTE сетях устройство долго не проработает.
- Есть менее энергоемкие технологии, например, Bluetooth. Преимущество в том, что начиная с 4 версии устройство может достаточно долго проработать в автономном режиме от аккумуляторов, недостаток в том, что Bluetooth имеет достаточно маленькую зону покрытия. Вероятно, в 5 версии эта проблема будет решена – публикуется информация о том, что новая версия выйдет осенью, и зона покрытия возрастет в 4 раза, но пока эта технология находится в экспериментальной фазе.
- Для Enterprise, так как это тема нашей презентации, рассматриваются специализированные IoT-протоколы, например, протокол Zigbee. Его преимущество в том, что он изначально проектировался для интернета вещей. Он не предполагает создания вышек связи или центральных устройств, как у Wifi, а наоборот – вся система полностью децентрализованная, самовосстанавливающаяся и саморегулирующаяся. Одно устройство может одновременно являться источником данных, так и являться промежуточным хабом, для того чтобы передавать информацию от одного устройства другому.
- Его аналогом является zWave. Он обладает практически такими же характеристиками. Так как рынок постоянно меняется и идет конкуретная борьба, скорее всего, через некоторое время один из этих протоколов станет более популярным, его поддержит большее число производителей и он станет доминировать на рынке.
- И есть некоторые ситуации, при которых требуется очень большая зона покрытия. Например, в агропромышленном секторе, когда у нас есть датчики освещения, датчики влажности, и нам необходимо настроить систему автоматического полива растений. В этом случае обеспечение большой зоны покрытия является критичным, поэтому используются специализированные протоколы, такие как LPWAN. Да, они требуют централизованного устройства, аналога сотовой вышки, зато в качестве преимущества мы получаем крайне низкое потребление конечных устройств. Фактически, устройство от одного элемента питания может работать до 10 лет, в отличии от традиционных GSM-сетей
- Ну и с точки зрения прикладных протоколов, сейчас все производители пытаются придумать что-то свое, общей стандартизации пока нет. На слайде приведен ряд протоколов прикладного уровня, который рекомендуется использовать в IoT-сетях, однако, многие производители IoT-устройств изначально были не крупными ИТ-компаниями, а производителями электрооборудования. И, как следствие, они придумывают собственные протоколы, стандарты и очень редко задумываются о безопасности. Ну а подробнее о безопасности IoT устройств расскажет мой коллега, Александр.
- Общая архитектура интернета вещей описывается следующим взаимодействием: IoT-устройства в процессе своей работы обмениваются данными друг с другом или же с центральным сервером, например, получая от него программные обновления. Взаимодействие может быть как напрямую, так и через агрегирующий шлюз (на деле это может быть специализированный сетевой IoT-маршрутизатор или специализированная сетевая розетка) Такое разделение может обуславливаться, к примеру, различной средой передачи данных (проводной / беспроводной канал, протоколы bluetooth / LTE). Данные от конечных устройств поступают через IoT-коллектор (FrontEnd сервер). По другую сторону этой структуры есть разнообразные гаджеты (смартфоны, планшеты и прочие устройства) для управления IoT-устройствами и обработки накопленных ими данных. С точки зрения ИБ защита устройств, защита данных и канала передачи должна быть продумана с момента конструирования и разработки устройства, должен быть реализован контроль целостности ОС, в которой устройство функционирует, внедрены механизмы аутентификации и авторизации, детектирования аномалий, шифрования данных. Анимация: По-хорошему все эти компоненты защиты должны быть внедрены и настроены для каждой сущности. Для того чтобы разобраться в этом множестве механизмов защиты и выстроить понимание процесса внедрения IoT-устройств в сектор Enterprise прежде всего с точки зрения информационной безопасности, мы предлагаем рассмотреть следующую 3-х этапную модель:
- Защита на этапе проектирования и конструирования Защита на этапе разработки ПО Защита на этапе внедрения в Enterprise Ну и на слайде показаны зоны ответственности по этапам для Вендора и Интегратора. Первый шаг: закладывание защиты на этапе проектирования и конструирования устройства. Речь идёт прежде всего о корректной конфигурации внешних физических интерфейсов, отсутствие у них избыточного функционала: К примеру, интерфейсы для связи цифровых устройств UART или JTAG, широко используемые разработчиками для решения разнообразных задач, начиная от проверки качества сборки и заканчивая загрузкой прошивки лучше отключить программно, если не стоит задачи использования его для тестирования. В загрузчике ОС (например U-Boot, ориентированный на встроенные устройства архитектур MIPS, PowerPC, ARM) лучше убрать избыточный функционал: отключить TFTP, ограничить допустимые команды. Использование специальной технологии пайки для схем Ball Grid Array для усложнения отладки платы Совмещение нескольких схем на одной интегральной схеме System on Chip также для усложнения отладки Удаление избыточных маркировок с платы Следующий шаг: обеспечение отсутствия программной избыточности. Разработка программного функционала IoT, его прошивки, должна осуществляться в рамках SDLC. Для кода нужно проводить аудит. Наконец, нужно уменьшать поверхность атаки на IoT путём отключения избыточных функций (проводить Hardening). Если производитель IoT-устройства выполнил указанные действия, иными словами, проработал безопасность «с нуля», решение может быть рассмотрено как «рабочее» и быть внедрено в корпоративный сектор. Далее, для того, чтобы повысить уровень безопасности IoT-решения нужно: использовать сторонние модули защиты, обновления и управления IoT-устройствами. Несколько типовых иллюстраций использования сторонних модулей защиты.
- Допустим у нас есть несколько IoT-устройств, функционирующих в одной сети. Часто встречающейся атакой может быть перебор пароля к административной панели или к консоли. Атака может быть реализована как в ручном, так и в автоматическом режиме. * Примером может служить деятельность ботнета Mirai, который начал проявляться в конце прошлого года. В теле бинарного файла бота был функционал, подбирающего пароли к IoT-устройству. Если на устройстве установлен межсетевой экран или IPS, то по достижению некоторого «тревожного» уровня некорректных подключений к IoT, соединение можно заблокировать или, к примеру, временно заблокировать аккаунт. Или тот случай, когда злоумышленник использует 1-day эксплойты, эксплуатируя уязвимость, заложенную в данном случае в кофеварке. Такого рода атаки проще всего остановить своевременным обновлением прошивки и прикладного ПО. * Больше всего такого рода эксплоитов можно встретить для маршрутизаторов. Например для TP-Link (BuffOverlflow, CSRF, DoS)
- Другая ситуация. Несколько устройств обмениваются информацией друг с другом, периодически связываясь с «облаком» для получения обновлений. Если каналы связи не защищены, то злоумышленник может подменить загружаемое обновление или, скажем, подменить команду на выполнение какой-либо процедуры. * Примером такой ситуации может снова послужить TP-Link, когда компания не зарегистрировала домен, указанный на задней крышке устройства. И злоумышленник, купив права на этот домен, может расположить на них вредоносный контент под видом обновлений. Подобного рода атаки можно предотвратить, если туннелировать трафик. Если у злоумышленника есть физический доступ к устройству и он хочет модифицировать прошивку, убрав или добавив какой-либо функционал, то при наличии SIEM-системы, собирающей различные события ИБ и в данном случае контрольные суммы прошивок IoT, такую модификацию можно задетектировать. Затем изолировать устройство от остальных.
- Говоря о процедуре обновления устройств, прежде всего необходимо обеспечить их полноту – обновления должны поступать для самого IoT, для ОС, в которой он функционирует и для сопряженного с IoT стороннего ПО, если оно есть. Канал доставки обновлений должен быть защищён. Если такой возможности защиты канала нет, то необходимо шифровать / подписывать обновления. Для таких случаев ключ расшифрования можно передавать на этапе поставки самих устройств от вендора. Ну и наконец обновления нужно разносить во времени, чтобы повысить отказоустойчивость системы.
- Обезопасить процесс управления IoT-устройствами можно за счёт развёртывания инфраструктуры открытых ключей – в таком случае каждое устройство станет доверенным. Различные роли, права и атрибуты для удобства можно включить в поля сертификатов. При таком подходе обеспечивается единая консоль управления IoT-устройств в систему. Организация безопасности IoT-систем в Enterprise не ограничивается только техническими мерами. Не стоит забывать о безопасности организационной. По этому вопросу снова передаю слово своему коллеге. Спасибо.
- Несмотря на то, что на данный момент нет нормативно-правовых актов, которые бы регулировали внедрение и эксплуатацию IoT устройств, информация, циркулирующая в данных системах, предоставляет для нас высокую ценность и, как следствие, подлежит защите. Для того, чтобы понять, как же защищать данную информацию, необходимо определить, какой интерес она может представлять для злоумышленника, например, конкурента. После этого, необходимо определить его возможности, подготовить модель нарушителя и модель угроз и, в соответствии с выявленными требованиями, осуществить проектирование системы защиты информации. В том же случае, если в системе циркулирует специфичная информация, например, для аутентификации на устройстве используется отпечаток пальца, то это является биометрической информацией и, как следует из законодательства российской федерации, эта информация является персональными данными. Как следствие, могут предъявляться не только требования к защите информации, но и требования к самим системам защиты, например, внедрение сертифицированного межсетевого экрана или сертифицированной системы криптографической защиты каналов связи. В качестве заключения, хотел бы подчеркнуть, что рынок IoT устройств динамически развивается, появляется множество новых вендоров, поэтому мы рекомендуем внедрять те системы IoT, которые изначально были созданы с учетом требований к безопасности.
- Речь: На этом все. Спасибо за внимание! Готовы ответить на ваши вопросы.