Was die neue IoT-Publikation von NIST (NISTIR 8228) für Ihre Geräte bedeutet

Vor kurzem hat das National Institute of Standards and Technology (NIST) einen Veröffentlichungsentwurf veröffentlicht, den NIST Internal Report (NISTIR) 8228, Überlegungen zum Management von Internet of Things (IoT) Cybersecurity and Privacy Risks. Es soll als Grundlage für eine Reihe von Veröffentlichungen zum Umgang mit Cybersicherheits- und Datenschutzrisiken im Zusammenhang mit IoT-Geräten dienen.

NISTIR 8228 richtet sich sowohl an Bundesbehörden als auch an private Organisationen und identifiziert drei schwerwiegende Sicherheitslücken von IoT-Geräten. NISTIR 8228 definiert außerdem drei Ziele zur Risikominderung.

NISTIR 8228―Detaillierte Sicherheitslücken von IoT-Geräten

IoT-Geräte interagieren mit der physischen Welt auf eine Weise, die herkömmliche IT-Geräte nicht tun. Im Gegensatz zu Computern, Tablets oder Smartphones laufen IoT-Geräte nicht auf Windows- oder Mac OS-Betriebssystemen. Viele dieser Geräte sind jedoch mit dem Internet verbunden und ermöglichen so Zugangspunkte zu ansonsten sicheren Computernetzwerken.

IoT-Geräte laufen in der Regel auf angepassten, proprietären Betriebssystemen, die für das IT-Personal nur schwer oder gar nicht zu überwachen und zu patchen sind sensible Teile des Netzwerks. Wenn Hacker Zugriff auf ein IoT-Gerät im Netzwerk erhalten – normalerweise weil sie eine Schwachstelle in dem vom Gerätehersteller entwickelten und installierten Betriebssystem gefunden haben – können sie einen Angriff auf jeden Computer starten, der mit diesem Netzwerk verbunden ist. Die häufigste Angriffsart ist ein einfacher SSH-Passwort-Brute-Force-Angriff, der normalerweise nur Standard-Anmeldeinformationen verwendet.

Darüber hinaus können IoT-Geräte als Botnets rekrutiert werden, um sie bei Distributed-Denial-of-Service-Angriffen (DDoS) einzusetzen. Im Oktober 2016 erlitt der Internet-Domain-Dienst Dyn den größten DDoS-Angriff der Geschichte. Die Angreifer rekrutierten Millionen von ungesicherten IoT-Geräten in eine Botnet-Armee, um massiven Datenverkehr auf Dyn-Sites zu leiten, was dazu führte, dass der Datenverkehr zu einem Crawling verlangsamte und die Sites schließlich zum Absturz brachte. Hacker haben sich Zugang zu den IoT-Geräten verschafft, indem sie Schwachstellen in der proprietären Betriebssystemsoftware der Geräte ausnutzten.

Die Risiken enden hier nicht. Einige IoT-Geräte können Änderungen an physischen Systemen wie HLK, Aufzügen, Sprinklersystemen und anderen vornehmen, die bei einer Übernahme physische Schäden oder Sicherheitsrisiken darstellen könnten.

Suchen Sie nach einer sicheren Möglichkeit, ein IoT-Tracking-System für Ihr Unternehmen zu implementieren? Melden Sie sich für eine kostenlose Demo von LinkLabs an.

NIST IoT Framework-Empfehlungen

Um Cybersicherheits- und Datenschutzrisiken zu begegnen, empfiehlt das NIST-IoT-Framework Maßnahmen, die Unternehmen während des gesamten Lebenszyklus von IoT-Geräten ergreifen können. Dazu gehören:

• Die Risikoherausforderungen verstehen.
• Anpassung von Unternehmensrichtlinien und -prozessen, um diese Herausforderungen zu bewältigen.
• Implementierung aktualisierter Verfahren zur Risikominderung für IoT-Geräte.

Laut NIST besteht ein großes Interesse daran, Sicherheits- und Datenschutzgrundsätze festzulegen, um die Risikominderung zu unterstützen. Ein Großteil des Fokus lag darauf, dass Hersteller Sicherheits- und Datenschutzfunktionen in ihre Geräte einbauen. Auch wenn dies die Lösung für die Zukunft sein mag, sind derzeit Millionen von IoT-Geräten im Einsatz, denen diese Fähigkeiten fehlen. Es wird einige Zeit dauern, bis die Hersteller die Sicherheits- und Datenschutzkapazitäten vor der Markteinführung verbessern und in ihre Geräte einbauen. Es wird auch zusätzliche Herausforderungen geben, diese Funktionen hinzuzufügen, ohne IoT-Geräte zu teuer zu machen.

Im NIST-IoT-Framework werden weitere Überlegungen zu Art und Grad der von verschiedenen IoT-Geräten benötigten Sicherheit angeführt. Für einige muss nur das Gerät selbst geschützt werden. Andere Geräte benötigen möglicherweise zusätzlich zur Gerätesicherheit Datensicherheit, und einige benötigen möglicherweise Datenschutz sowie Geräte- und Datensicherheit. Bis heute wurden diese einzelnen Anforderungen nicht differenziert, sodass Unternehmen entscheiden können, welche für ein bestimmtes IoT-Gerät und seine Verwendung gelten.

Das NIST-IoT-Framework bietet einen nützlichen Ausgangspunkt, um die mit ungesicherten IoT-Geräten verbundenen Risiken anzugehen, aber es ist nur der erste Schritt. Es stehen noch die Herausforderungen an, kosteneffiziente sichere Geräte zu entwerfen und zu bauen und die Risiken anzugehen, die sich aus Millionen von bereits verwendeten IoT-Geräten ergeben.

Zwei Jahre sind vergangen, seit der Dyn-Angriff die Schwachstellen vieler derzeit verwendeter IoT-Geräte aufgezeigt hat, und es werden wahrscheinlich noch einige weitere vergehen, bis Hersteller dieser Geräte marktreife Lösungen für Sicherheitsrisiken finden. Wie können Unternehmen die Risiken der IoT-Geräte mindern, die sie in der Zwischenzeit für die automatisierte Verfolgung und Überwachung von Vermögenswerten und Materialien verwenden?

Ein einfacher Ansatz, der die Sicherheit von Standard-IoT-Geräten erheblich erhöhen kann, besteht darin, einfach die von den Herstellern in die Geräte einprogrammierten Standardpasswörter zu ändern. Dies ist eine unkomplizierte Lösung für Verbraucher, die möglicherweise nur über wenige IoT-Geräte verfügen. Aber für Unternehmen, die Hunderte von Geräten (oder mehr) für die Verfolgung und Überwachung von Assets verwenden, ist dies aufgrund des Zeit- und Arbeitsaufwands, der für die Neuprogrammierung von Hunderten von Tags erforderlich ist, unbefriedigend.

Wenn Ihr Unternehmen nach einer sicheren Möglichkeit zur Implementierung der IoT-Technologie sucht, sprechen Sie mit Link Labs. Unser AirFinder-System isoliert IoT-Geräte in dedizierten Netzwerken, die von den Computernetzwerken des Unternehmens getrennt sind, und verwendet keine Standard-IP-Protokolle, was eine Kompromittierung erschwert. Für Weitverkehrsnetze umfasst unser Symphony Link-System eine Public-Key-Infrastruktur (PKI), die nach NSA-Standards als sicher gilt, Firmware-over-the-Air zum schnellen und einfachen Patchen von Schwachstellen ohne physischen Zugriff auf Geräte, Echtzeit-Advanced Encryption Standard ( AES) Schlüsselaustausch und Transport Level Security (TLS) auf Bankniveau für den Netzwerkverkehr. Wenden Sie sich noch heute an Link Labs, um sichere Tracking-Systeme zu erhalten, die einfach bereitzustellen sind und die in NISTIR 8228 beschriebenen allgemeinen IoT-Sicherheitsrisiken vermeiden.