Nesnelerin İnterneti’nde güvenlik ve içindeki bağlı ağların korunması
Daha büyük bir ağa sızmak ve saldırmak için ortak bir IoT cihazının kullanıldığı bir dizi siber saldırı, IoT güvenliği ihtiyacına dikkat çekti. Bağlı IoT cihazlarının bulunduğu ağların güvenliğinin sağlanması kritik öneme sahiptir. Nesnelerin İnterneti’nde güvenlik, modern işletmelerde Nesnelerin İnterneti’nin giderek artan güvenlik açıklarını hafifletmeyi amaçlayan çok çeşitli teknikleri, stratejileri, protokolleri ve önlemleri içerir.
Nesnelerin İnterneti güvenliği nedir?
IoT güvenliği, internete bağlı veya ağ tabanlı cihazların güvenliğini sağlamak için kullanılan koruma yöntemlerini ifade eder. Nesnelerin İnterneti terimi çok geniştir ve teknoloji ilerlemeye devam ettikçe terim daha da genişlemiştir. Saatlerden termostatlara, video oyun konsollarına kadar hemen hemen her teknolojik cihaz, belli bir kapasitede internet veya diğer cihazlarla etkileşime geçme özelliğine sahiptir.
IoT güvenliği, bu cihazları tehlikeye girmekten korumak için kullanılan teknikleri, stratejileri ve araçları içerir. İronik bir şekilde, bu cihazları siber saldırılara karşı giderek daha savunmasız hale getiren şey IoT’nin doğal bağlantısıdır.
Nesnelerin İnterneti çok geniş olduğundan, Nesnelerin İnterneti’nin güvenliği Nesnelerin İnterneti’nin kendisinden çok daha geniştir. Bu, IoT güvenliği şemsiyesi altına giren çeşitli yöntemlerin ortaya çıkmasına neden oldu. Uygulama Programı Arayüzü (API) güvenliği, Genel Anahtar Altyapısı (PKI) kimlik doğrulaması ve ağ güvenliği, BT yöneticilerinin, savunmasız IoT cihazlarından kaynaklanan büyüyen siber suç ve siber terörizm tehdidiyle mücadele etmek için kullanabileceği yöntemlerden yalnızca birkaçıdır.
IoT güvenliği neden bu kadar önemli?
Şu anda, suçluların IoT güvenlik açıklarını arayıp bu cihazlara saldırıp hacklemeyi başardığı, IoT cihazlarının hacklendiği birçok vaka yaşandı. Hatta bazı işletmelerin endüstriyel robotları ve onlara bağlı ekipmanlar hacklendi. Bunun nedeni, bilgisayar korsanlarının kontrol döngüsünün parametrelerini değiştirebilmesi, üretim mantığını değiştirebilmesi, robotun durumunu değiştirebilmesi ve çok daha fazlasını yapabilmesidir.
Bir grup araştırmacı, saldırıya uğramış bir botun gerçekte ne kadar zarar verebileceğini göstermeye karar verdi. Robot kol sistemindeki açıkları buldular ve robotu, ürettiği ürünlere milyonlarca dolar değerinde zarar verecek şekilde programlayabildiler. IoT güvenliğini bu kadar önemli kılan en önemli nedenlerden biri de budur.
Siber suçlular, tıbbi ekipmanı hacklemek dahil, hiçbir şeyden vazgeçmiyorlar. Bunun bir örneği, 2017 yılında NHS’ye yapılan, sözleşmeden etkilenen bir hastanenin bilgisayarlarını, MRI tarayıcılarını ve ekipmanlarını tehlikeye atan ve birçok hayatı riske atan WannaCry fidye yazılımı saldırısıydı.
Nesnelerin İnterneti’nin güvenlik zorlukları
Cihazları birbirine bağlamak için ne kadar çok yol varsa, tehdit aktörleri de o kadar çok cihazı ele geçirebilir. HTTP (Köprü Metni Aktarım Protokolü) ve API gibi protokoller, IoT cihazlarının güvendiği ve bilgisayar korsanları tarafından ele geçirilebileceği kanallardan yalnızca birkaçıdır.
Nesnelerin İnterneti şemsiyesi kesinlikle yalnızca İnternet tabanlı cihazları içerir. Bluetooth teknolojisini kullanan cihazlar da IoT cihazları olarak kabul edilir ve bu nedenle IoT güvenliği gerektirir. Bu tür gözetimler, IoT ile ilgili veri ihlallerinde son zamanlarda yaşanan artışa katkıda bulundu. Aşağıda bireylerin ve kuruluşların finansal güvenliğini tehdit etmeye devam eden IoT güvenlik zorluklarından bazıları yer almaktadır .
IoT’nin internet güvenliği zorluklarına uzaktan erişim
Diğer teknolojilerden farklı olarak IoT cihazları, İnternet özellikli bağlantılarından dolayı geniş bir saldırı yüzeyine sahiptir. Bu erişim değerli olsa da bilgisayar korsanlarına cihazlarla uzaktan etkileşim kurma fırsatı verir. Kimlik avı gibi bilgisayar korsanlığı kampanyalarının bu kadar etkili olmasının nedeni budur. Bulut güvenliği gibi IoT güvenliğinin de varlıkları korumak için çok sayıda giriş noktasını dikkate alması gerekir.
Sektörde öngörü eksikliği
Şirketler işlerini dijital olarak dönüştürmeye devam ettikçe endüstrileri ve ürünleri de değişiyor. Otomotiv ve sağlık gibi sektörler yakın zamanda daha üretken ve uygun maliyetli hale gelmek için IoT cihaz seçimlerini genişletti. Ancak bu dijital devrim, eskisinden daha fazla teknolojik bağımlılığa yol açtı ve bir IoT güvenlik stratejisinin uygulanmasını gerektiriyor .
Bir güvenlik stratejisi olmadan teknolojiye güvenmek, başarılı bir veri ihlalinin sonuçlarını daha da kötüleştirebilir. Bunu endişe verici kılan şey, bu endüstrilerin artık IoT cihazları adı verilen ve doğası gereği daha savunmasız olan bir teknolojiye dayanıyor olmasıdır. Pek çok sağlık ve otomotiv şirketi, bu cihazları güvence altına almak için gereken miktarda para ve kaynak yatırımı yapmaya hazır değildi.
Bu endüstri öngörüsü eksikliği, birçok kuruluşu ve üreticiyi gereksiz yere Nesnelerin İnterneti’ndeki siber güvenlik tehditlerine maruz bıraktı.
Kaynak sınırlamaları
Yeni dijitalleşen sektörlerin karşılaştığı tek IoT güvenlik sorunu öngörü eksikliği değil. Nesnelerin İnterneti’nin güvenliğiyle ilgili bir diğer önemli endişe de bu tür kaynakların çoğunun sınırlı olmasıdır.
Tüm IoT cihazları, gelişmiş güvenlik duvarlarını veya antivirüs yazılımlarını entegre edecek bilgi işlem gücüne sahip değildir. Bazılarının diğer cihazlara bağlanma yeteneği neredeyse yok. Örneğin, Bluetooth teknolojisini kullanan IoT cihazları son zamanlarda veri ihlallerine maruz kaldı. Otomotiv sektörü bir kez daha krizden en çok etkilenen pazarlardan biri oldu.
2020’de bir siber güvenlik uzmanı, büyük bir Bluetooth güvenlik açığını kullanarak Tesla Model X’i 90 saniyeden kısa bir sürede hackledi. Arabalarının kilidini açmak ve çalıştırmak için FOB (kablosuz) anahtarlara güvenen diğer araçlar da benzer nedenlerle saldırılara maruz kaldı. Tehdit aktörleri, ilgili araçları alarm tetiklemeden çalmak için bu FOB tarzı anahtarların arayüzünü tarayıp kopyalamanın bir yolunu buldu.
Tesla gibi gelişmiş makineler IoT verilerine izinsiz girişe karşı savunmasızsa, diğer akıllı cihazlar da öyle. Bu anlamda Nesnelerin İnternetinin güvenliği küçük büyük her kuruluş için oldukça önemlidir.
Nesnelerin İnterneti sistemleri nasıl korunur?
Şirketlerin veri koruma protokollerini geliştirmek için kullanabileceği birkaç IoT güvenlik önlemi aşağıda verilmiştir. Bu önlemler IoT güvenliği açısından önemlidir ve bunların uygulanması, IoT’ye güvenen kuruluşların güvenliğine büyük katkı sağlayacaktır. Öncelikle aşağıdaki görselde Nesnelerin İnterneti’nin güvenlik mimarisine dikkat edin.
Tasarım aşamasında IoT internet güvenliği
Tartışılan IoT güvenlik sorunlarının çoğu, özellikle herhangi bir tüketici, kuruluş veya endüstriyel IoT cihazının geliştirilmesinin başlangıcındaki Ar-Ge süreci sırasında daha iyi bir hazırlıkla aşılabilir. Güvenliği varsayılan olarak etkinleştirmek, en son işletim sistemlerini sağlamak ve güvenli donanım kullanmak önemlidir.
Ancak IoT geliştiricilerinin sadece tasarım aşamasında değil, geliştirmenin her aşamasında siber güvenlik açıklarının farkında olması gerekiyor. Örneğin, saldırının herhangi bir aşamasında FOB’un metal bir kutuya yerleştirilmesiyle bir araba anahtarının hacklenmesi yapılabilir.
PKI ve dijital sertifikalar
PKI, birden fazla ağ cihazı arasındaki istemci-sunucu bağlantılarını güvence altına almanın mükemmel bir yoludur. İki anahtarlı asimetrik şifreleme sistemi kullanan PKI, dijital sertifikalar kullanarak özel mesajların ve etkileşimlerin şifrelenmesini ve şifresinin çözülmesini kolaylaştırabilir. Bu sistemler, kullanıcıların web sitelerinde özel işlemleri tamamlamak için kullandıkları açık metin bilgilerini korur. E-ticaret, PKI güvenliği olmadan çalışamaz ve şu anda Nesnelerin İnterneti’nin belirsiz bir parçası olarak değerlendirilmektedir.
Nesnelerin İnterneti’nde ağ güvenliği
Ağlar, tehdit aktörlerinin diğer kişilerin IoT cihazlarını uzaktan kontrol etmeleri için büyük bir fırsat sağlar. Ağlar hem dijital hem de fiziksel bileşenler içerdiğinden, iç mekan IoT güvenliğinin her iki erişim noktası türünü de ele alması gerekir.
IoT ağ koruması, bağlantı noktası güvenliğinin sağlanmasını, bağlantı noktası iletmeyi devre dışı bırakmayı ve ihtiyaç duyulmadığında bağlantı noktalarını asla açmayı içerir. kötü amaçlı yazılımdan koruma, güvenlik duvarları ve izinsiz giriş tespit sistemleri ile izinsiz giriş önleme sistemlerinin kullanımı; Yetkisiz IP adreslerini (İnternet Protokolü) engelleyin; Sistemlerin güncel ve güncel olmasını sağlamak da Nesnelerin İnterneti’nde ağ güvenliğinin en önemli parçası olarak değerlendiriliyor.
API güvenliği
API’ler çoğu karmaşık web sitesinin omurgasıdır. Örneğin seyahat acentelerinin birden fazla havayolu şirketinden gelen uçuş bilgilerini tek bir yerde toplamasına olanak tanır. Ne yazık ki bilgisayar korsanları bu iletişim kanallarını tehlikeye atabilir, bu da IoT cihazlarından arka uç sistemlere gönderilen verilerin bütünlüğünü korumak ve yalnızca yetkili cihazların, geliştiricilerin ve uygulamaların API’lerle iletişim kurmasını sağlamak için API güvenliğini hayati hale getirebilir.
2018’deki T-Mobile veri ihlali, zayıf API güvenliğinin sonuçlarına mükemmel bir örnekti. Bir “API sızıntısı” nedeniyle mobil dev, diğer verilerin yanı sıra fatura posta kodları, telefon numaraları ve hesap numaraları da dahil olmak üzere 2 milyondan fazla müşterinin kişisel bilgilerini açığa çıkardı.
Nesnelerin İnterneti’nin ek güvenlik yöntemleri
Nesnelerin İnterneti’nde güvenliği uygulamanın diğer yolları şunlardır:
NAC ağ erişim kontrolü:
Ağ erişim kontrolü, ağa bağlı IoT cihazlarının tanımlanmasına ve envanterinin çıkarılmasına yardımcı olabilir. IoT güvenliğine büyük ölçüde katkıda bulunabilecek cihazların izlenmesi ve izlenmesi için bir temel sağlar.
Cihazların bölünmesi:
Doğrudan internete bağlanması gereken IoT cihazlarının kendi ağlarına bölünmesi ve kurumsal ağa sınırlı erişime sahip olması gerekir. Ağ bölümleri, bir sorun tespit edilirse önlem alınabilecek olağandışı faaliyetler açısından izlenmelidir. Bu strateji aynı zamanda Nesnelerin İnternetinin güvenliğinde de işe yaradı.
Güvenlik kapıları:
IoT cihazları ile ağ arasında aracı görevi gören güvenlik ağ geçitleri, IoT cihazlarının kendisinden daha fazla işlem gücüne, belleğe ve yeteneğe sahip olup, bilgisayar korsanlarının IoT cihazlarına erişememesini sağlamak için güvenlik duvarları gibi özellikleri uygulamalarına olanak tanır. erişim Al.
Yönetim ve sürekli yazılım güncellemesi:
Cihazları ve yazılımı ağ bağlantıları veya otomasyon yoluyla güncellemek için bir araç sağlamak önemlidir. Güvenlik açıklarının koordineli bir şekilde açıklanması, IoT güvenliğinde cihazların mümkün olduğunca hızlı güncellenmesi için de önemlidir. Ayrıca kullanım ömrü sonu stratejilerini de göz önünde bulundurun ve IoT güvenliğinde yazılım ömrü için bir zaman çerçevesi ekleyin.
Nesnelerin İnterneti güvenlik eğitimi:
IoT ve işletim sistemi güvenliği, mevcut güvenlik ekiplerinin çoğu için yenidir. Güvenlik personelinin yeni veya bilinmeyen sistemler konusunda güncel kalması, yeni mimarileri ve programlama dillerini öğrenmesi ve yeni güvenlik zorluklarına hazırlıklı olması kritik öneme sahiptir. Herhangi bir kuruluştaki giriş seviyesi ve siber güvenlik ekiplerinin, modern güvenlik tehditleri ve uygulamalarına ayak uydurabilmek için düzenli eğitim alması gerekir.
Eğitimle birlikte ekiplerin entegrasyonu:
Farklı ve organize ekipleri entegre etmek faydalı olabilir. Örneğin, güvenlik uzmanlarıyla birlikte çalışan yazılım geliştiricileri, geliştirme sırasında cihazlara uygun kontrollerin eklenmesini sağlamaya yardımcı olabilir.
Tüketici eğitimi:
Tüketiciler IoT sistemlerinin risklerinin farkında olmalı ve varsayılan kimlik bilgilerini güncelleme ve yazılım güncellemelerini uygulama gibi güvende kalmak için adımlar atmalıdır. Tüketiciler ayrıca cihaz üreticilerinin güvenli cihazlar üretmesini talep ederek ve yüksek güvenlik standartlarını karşılamayan cihazları kullanmayı reddederek IoT güvenliğinde bir rol oynayabilir.
Hangi sektörler IoT güvenlik tehditlerine karşı en savunmasız?
IoT güvenlik saldırıları, akıllı evden üretim tesisine ve bağlantılı arabaya kadar her yerde ve her sektörde gerçekleşebilir. Etkinin ciddiyeti büyük ölçüde bireysel sisteme, toplanan verilere veya içerdiği bilgilere bağlıdır.
Örneğin, bağlantılı bir arabanın frenlerini devre dışı bırakan veya bir hastaya aşırı ilaç vermek için insülin pompası gibi bağlı bir sağlık cihazını hackleyen bir saldırı, yaşamı tehdit edici olabilir. Benzer şekilde, IoT sistemi tarafından izlenen ilacı içeren bir soğutma sistemine yapılan saldırı, sıcaklığın dalgalanması durumunda ilacın kullanım ömrünü yok edebilir. Benzer şekilde, petrol kuyuları, enerji şebekeleri veya su kaynakları gibi kritik altyapılara yönelik bir saldırı da felaketle sonuçlanabilir.
Ancak diğer saldırılar da hafife alınamaz. Örneğin, akıllı kapı kilitlerine saldırmak potansiyel olarak bir hırsızın eve girmesine izin verebilir.
Şimdiye Kadar Gerçekleştirilen Önemli IoT Güvenlik İhlalleri ve IoT Hack’leri
Nesnelerin İnterneti kavramı ilk kez 1990’ların sonunda ortaya çıktığından beri, güvenlik uzmanları uzun süredir İnternet’e bağlı çok fazla güvensiz cihazın potansiyel tehlikesi konusunda uyarıda bulunuyorlardı. Buzdolapları ve televizyonların spam göndermek için kullanılmasından, bilgisayar korsanlarının bebek monitörlerine girip çocuklarla konuşmasına kadar bir dizi saldırı daha sonra manşetlere taşındı. Birçok IoT saldırısının cihazların kendisini hedeflemediğini, bunun yerine IoT cihazlarını daha büyük ağa giriş noktaları olarak kullandığını unutmamak önemlidir.
CrashOverride/Industroyer, Triton ve VPNFilter gibi kötü amaçlı yazılımlar, savunmasız operasyonel teknolojileri (OT) ve endüstriyel IoT (IIoT) sistemlerini hedef alıyor.
Nesnelerin İnternetine yönelik siber saldırılardan bazı örnekler
Nesnelerin İnternetine yönelik siber saldırının ilk örneği:
Örneğin, 2010 yılında araştırmacılar Stuxnet virüsünün İran’daki santrifüjlere fiziksel zarar vermek için kullanıldığını ortaya çıkardı; saldırılar 2006’da başladı, ancak ilk saldırı 2009’da gerçekleşti. Genellikle IoT saldırısının ilk örneklerinden biri olarak kabul edilen Stuxnet, hedefli gözetimi gerçekleştirdi. Endüstriyel kontrol sistemlerindeki (ICS) veri toplama sistemleri (SCADA), programlanabilir mantık denetleyicileri (PLC’ler) tarafından gönderilen talimatlara bulaşmak için kötü amaçlı yazılım kullanarak bunu yapar.
İkinci örnek:
Aralık 2013’te güvenlik firması Proofpoint Inc.’den bir araştırmacı. İlk botnet, Nesnelerin İnterneti’ni keşfetti. Bu araştırmacıya göre botnet’in %25’inden fazlası bilgisayar dışındaki akıllı TV’ler, bebek telsizleri ve ev aletleri gibi cihazlardan oluşuyor.
Üçüncü örnek:
2015 yılında güvenlik araştırmacıları Charlie Miller ve Chris Valasek, bir Jeep üzerinde kablosuz hackleme gerçekleştirerek arabanın medya merkezi radyo istasyonunu değiştirdi, ön cam sileceklerini ve klimayı açtı ve gaz pedalını devre dışı bıraktı. Ayrıca motoru kapatabileceklerini, frenleri devreye sokabileceklerini ve frenleri tamamen devre dışı bırakabileceklerini söylediler. Miller ve Valasek, Chrysler’in araç içi bağlantı sistemi Uconnect aracılığıyla otomobilin ağına girmeyi başardılar.
Dördüncü örnek:
Bugüne kadarki en büyük IoT botnet’lerinden biri olan Mirai, ilk olarak Eylül 2016’da gazeteci Brian Krebs ve Fransız web sunucusu OVH’nin web sitesine saldırdı. Saldırıların hızı sırasıyla saniyede 630 Gigabayt (Gbps) ve saniyede 1,1 Terabit (Tbps) oldu. Ertesi ay, alan adı sistemi (DNS) sağlayıcısı Dyn’in ağı hedef alındı ve aralarında Amazon, Netflix, Twitter ve The New York Times’ın da bulunduğu bir dizi web sitesi saatlerce devre dışı bırakıldı. Bu saldırılar, IP kameralar ve yönlendiriciler de dahil olmak üzere tüketici IoT cihazları aracılığıyla ağa sızdı.
Hajime, Hide ‘N Seek, Masuta, PureMasuta, Wicked botnet ve Okiru’nun da aralarında bulunduğu bir dizi Mirai çeşidi ortaya çıktı.
Beşinci örnek:
Ocak 2017 tarihli bir bildirimde FDA, St. Kalp pilleri, defibrilatörler ve yeniden senkronizasyon cihazları da dahil olmak üzere Jude Medical’in radyo frekansı cihazları, bilgisayar korsanlığı ve güvenlik saldırılarına karşı savunmasız olabilir. Bu saldırı, insan hayatını doğrudan tehdit edebilecek Nesnelerin İnterneti güvenliğindeki en önemli açıklardan biridir.
Altıncı örnek:
Temmuz 2020’de Trend Micro, çeşitli yeni kötü amaçlı yazılımlarla uyumlu bir IoT Mirai botnet indiricisi keşfetti ve bu, açığa çıkan Big-IP kutularına kötü amaçlı yüklerin gönderilmesine yardımcı oldu. Bulunan örnekler, yaygın IoT cihazları ve yazılımlarında yakın zamanda açıklanan veya yama yapılmayan güvenlik açıklarından yararlanma açısından da gözlemlendi.
Yedinci örnek:
Mart 2021’de, güvenlik kamerası girişimi Verkada’nın 150.000 canlı kamera yayını bir grup İsviçreli bilgisayar korsanı tarafından saldırıya uğradı. Bu kameralar okullar, hapishaneler, hastaneler ve Tesla gibi özel şirketlerin tesislerindeki faaliyetleri izliyordu.
Çözüm
IoT güvenlik uygulamaları, spesifik IoT uygulamanıza ve IoT ekosistemindeki yerinize bağlı olarak değişir. Örneğin, ürün üreticilerinden yarı iletken şirketlerine kadar IoT üreticileri, en başından itibaren IoT güvenliği oluşturmaya, donanım oluşturmaya, güvenli donanım oluşturmaya, güvenli yükseltmeler sağlamaya, güncellemeler sağlamaya, ürün yazılımı yamaları sağlamaya ve dinamik testler gerçekleştirmeye odaklanmalıdır.
Bir geliştiricinin akıllı bir nesne oluşturma konusundaki odak noktası, güvenli yazılım geliştirme ve güvenli entegrasyon olmalıdır. IoT sistemlerini kullananlar için donanım güvenliği ve kimlik doğrulama kritik önlemlerdir. Benzer şekilde operatörler için sistemleri güncel tutmak, kötü amaçlı yazılımları azaltmak, denetim, altyapı koruması ve kimlik bilgileri koruması IoT güvenliğindeki temel önlemlerdir. Bununla birlikte, IoT’nin devreye alınmasıyla birlikte, uygulamadan önce güvenlik maliyetinin risklere karşı tartılması önemlidir.
