Come introdurre elementi di protezione nei device IoT durante la progettazione affinché il device risulti “Cyber Immune”. Ne abbiamo parlato con Marat Nuriev, IoT Business Development Manager in Kaspersky
L’adozione dei dispositivi IoT cresce a rimi sostenuti. Lo studio di Forbes Business insight dedicato al mercato IoT prevede una crescita del 25% tra il 2019 e il 2028 mentre secondo lo studio di Juniper Research, il numero globale di connessioni IoT dovrebbe crescere del 107% entro il 2025, raggiungendo i 36,8 miliardi. Purtroppo, i device IoT non sono equipaggiati con protezioni di sicurezza informatica, perché in alcuni casi le soluzioni anti-malware non possono essere installate come ad esempio nei casi delle scatole di gateway IoT e/o nelle centraline elettroniche di un’auto connessa. Tutto questo porta a conseguenze molto serie in termini di vulnerabilità agli attacchi informatici agli apparati IoT e di rischi per gli oggetti IoT connessi. Se la crescente adozione continua a ritmi serrati, allora è necessario e doveroso preoccuparsi di garantire la confidenzialità (Riservatezza), l’Integrità e la Disponibilità (RID) dei dati trattati da dispositivi IoT e la protezione delle connessioni da e verso questi dispositivi.
Ne abbiamo parlato con Marat Nuriev, IoT Business Development Manager in Kaspersky che recentemente ha parlato di protezione dei dispositivi IoT all’evento IoT World durante la sessione dedicata al “Cyber IoT: Security by design e best practices lungo tutta la filiera IoT”
Quali sono gli attacchi più frequenti in ambito IOT?
Le tecnologie che rientrano negli IoT hanno gli stessi problemi delle altre tecnologie digitali: gli attaccanti alla ricerca di vulnerabilità eseguono scan massivi su tutta la superficie digitale, senza distinzioni. Sulla base della mia esperienza e degli honeypot che simulano gli IoT e che abbiamo dispiegato in rete, in meno di una settimana rispetto ad un nuovo device, si possono vedere i primi attacchi automatizzati e basati su scan massivi. Si tratta di attacchi simili al caso MIRAI in cui i criminali cercano le password per violare gli IoT. Alcune sono rubate presso il vendor o presso il cliente e poi usate per attaccare. Negli IoT osserviamo anche attacchi alla supply chain a volte mediante inject di malware sul firmware, per poi effettuare attacchi DDOS. Le vulnerabilità rese pubbliche in cronaca e che riguardano le librerie adottate dagli IoT o i device di tipo embedded comportano attacchi di tipo Remote Code Injection nel tentativo di creare altre Botnet (reti di computer infetti, come MIRAI) e poi usarle per attacchi di tipo DDOS, minare criptomonete, scatenare un ransomware ma anche per utilizzare i dispositivi IoT come proxy, ovvero come backdoor per accesso alle reti corporate.
Come garantire la sicurezza delle connessioni con IoT?
Si può intervenire a tutela della Riservatezza, Integrità e Disponibilità (RID) dei dati adottando la data encription nelle comunicazioni fra i devices ed eventualmente da e verso il cloud, però se la crittografia è sul device, le performance potrebbero risentirne; per questo consiglierei l’adozione di un gateway a protezione delle connessioni, in modo che sia il gateway a collezionare i dati e poi crittografarli verso l’esterno del perimetro. Per garantire l’integrità si può utilizzare la ridondanza nei protocolli in modo che gestiscano i pacchetti controllando la validità di ogni pacchetto e della sequenza, ad esempio, mediante controlli di checksum e negando quelli alterati, richiedendone il rinvio. Infine, la disponibilità può essere ottenuta dalla ridondanza nel canale di comunicazione o dall’utilizzo di due device ridondati e in load balancing fra loro. In sostanza si tratta di soluzioni architetturali in presenza di device IoT in una rete.
Nel ciclo di vita di un progetto IOT quali sono invece le prassi migliori da adottare?
In un progetto che include adozione di dispositivi IoT è necessario adottare una metodologia che sia comprensiva di modelli di maturità. Per questo in Kaspersky si adotta il principio della Cyber immunity. L’obiettivo della Cyber Immunity è quello di fare in modo che gli attacchi informatici non possano influenzare le funzioni di un sistema. In particolare, un sistema è Cyber Immune se tutto ciò che non è consentito viene esplicitamente proibito: questo significa che i componenti del sistema possono eseguire solo le funzioni che sono state prestabilite durante lo sviluppo. Secondo questo principio, quindi, coinvolgendo gli specialisti di security fin dalla creazione del device si fa in modo che possano tracciare un threat model (una modellizzazione degli attacchi a cui il device potrebbe essere soggetto n.d.r.) per capire come configurare il device e come proteggerlo. Per ogni obiettivo di sicurezza (ad esempio per garantire la RID dei dati) si chiede di verificare che il sistema lo soddisfi in qualsiasi caso d’uso. In termini di progettazione si lavora per garantire che tutti i componenti del sistema IoT, come applicazioni e driver, siano isolati l’uno dall’altro in modo che se un componente viene compromesso, questo non potrà intaccarne un altro. Infine, la comunicazione tra i componenti deve essere controllata, consentendo solo il tipo di comunicazione prestabilito. Per implementare la Cyber immunity in modo esaustivo abbiamo sviluppato KasperskyOS, un sistema operativo il cui kernel è il più compatto possibile, al fine di minimizzare l’eventualità di bug e vulnerabilità e di restringere la superficie di attacco. Inoltre, la Cyber immunity si concretizza tramite un gateway IoT utilizzabile per le connessioni da e verso il Cloud ma sfruttabile anche in altri contesti.
Un ulteriore progettualità in favore della Sicurezza per IoT riguarda l’education che per noi significa supportare gli sviluppi che vogliono adottare il Kaspersky OS. In particolare la community edition permette di sviluppare soluzioni cyber immuni e integrare la sicurezza come parte del design della soluzione.
