IoT verschärft Sicherheitsbedenken beim 5G-Backbone

Da sich das IoT hin zur Nutzung einer expandierenden 5G-Infrastruktur verlagert, wird das schlecht gesicherte IoT Geräte stellen eine zunehmende Bedrohung für die Sicherheit von 5G-Netzwerken dar.

Vernetzung und Bequemlichkeit sind zwei Dinge, die viele heute für unverzichtbar im täglichen Leben halten. Während ein Großteil der Welt den Komfort des Internets der Dinge (IoT) erwartet, macht man sich im Allgemeinen wenig Gedanken über die Sicherheit der dem IoT zugrunde liegenden Übertragungsnetze. Aber mit 13,8 Milliarden aktiven IoT-Geräteverbindungen in diesem Jahr und exponentiell mehr in naher Zukunft erwartet, ist die IoT-Netzwerksicherheit von größter Bedeutung.

Mit über 25 Milliarden IoT-Geräten, die bis 2025 erwartet werden, sollten Unternehmen das Prinzip der geringsten Rechte auf ihr IT-Personal anwenden. (Quelle:freepik)

Laut der GSM Association (GSMA), einer Organisation, die Mobilfunknetzbetreiber weltweit vertritt, gelingt es den Herstellern von IoT-Geräten immer noch nicht, angemessen auf Sicherheit zu achten.

Schlimmer noch, GSMA weist darauf hin, dass die meisten Gerätehersteller nicht ausreichend wissen, wie sie ihre Geräte schützen können. Ungesicherte Geräte bieten Hackern einen einfachen Zugang zu Telekommunikationsnetzen, wodurch erhebliche Risiken für Cyberangriffe entstehen. Und da sich das IoT mit der Erweiterung dieses Netzwerks auf die Nutzung von 5G verlagert, bedrohen unsichere Geräte die Sicherheit des 5G-Netzwerks.

Mangelnde Sicherheit an den Rändern des IoT stellt erhebliche Sicherheitsbelastungen für Kommunikationsdienstanbieter (CSP) dar, darunter Telekommunikationsnetzanbieter, Kabeldienste und Cloud-Kommunikationsanbieter. Da immer mehr Akteure jenseits der traditionellen Telekommunikationsunternehmen am IoT teilnehmen und über das 5G-Netzwerk mit IoT-Geräten interagieren, erweitert sich die Angriffsfläche erheblich. Daher müssen CSPs zusätzliche Maßnahmen ergreifen, um die Sicherheit ihrer Systeme zu gewährleisten.

Neu auftretende Sicherheitsbedenken für CSPs

In ihrer jährlichen Überprüfung der Sicherheitslandschaft identifizierte die GSMA acht Hauptbedrohungs- und Schwachstellenbereiche für die Mobilfunkbranche:

• Gerät &IoT
• Cloud-Sicherheit
• 5G sichern
• Signalisierung und Verbindung
• Lieferkette
• Software &Virtualisierung
• Cyber- und Betriebssicherheit
• Mangel an Sicherheitsfachkräften

Die Geräte- und IoT-Sicherheit sind für GSMA anhaltende Bedenken, insbesondere da die Zahl der vernetzten Geräte die Weltbevölkerung weiterhin bei weitem übersteigt, wobei bis 2025 25 Milliarden verbundene IoT-Geräte erwartet werden. Die Komplexität der Technologie-Stacks für Geräte nimmt daraufhin zu.

GSMA identifiziert die Verbindungen zwischen Unternehmensnetzen und Telekommunikationsnetzen als einen bedeutenden potenziellen Angriffsvektor, insbesondere da Unternehmen den 5G-Rollout nutzen. Branchenexperten und Akademiker untersuchen seit mehreren Jahren die Sicherheitsrisiken von 5G, ebenso wie die US-Regierung. Es bleiben jedoch Bedenken hinsichtlich der Erweiterung der Angriffsfläche, da 5G immer häufiger wird. GSMA schlägt eine Reihe von Sicherheitsprotokollen vor, die 5G-CSPs implementieren sollten.

Zu den empfohlenen Maßnahmen zur Sicherung von CSPs gehört das Privileged Access Management. Richtig implementiertes PAM reduziert die Angriffsfläche, indem es die Anzahl der Privilegien und Berechtigungen begrenzt, die Hacker ausnutzen können. Und PAM hat nur minimale Auswirkungen auf den CSP-Betrieb, da die Absicht darin besteht, Berechtigungen und Rechte zu entfernen, die für Personen und Prozesse nicht erforderlich sind, um ihre Arbeit zu erledigen.

PAM vs. IAM

Viele Leser sind vielleicht mit IAM (Identity and Access Management) vertraut, aber weniger mit PAM. Und obwohl sie gemeinsame Ziele haben, unterscheiden sie sich in Umfang und Anwendung.

Stellen Sie sich eine Pyramide vor, bei der eine begrenzte Anzahl von administrativen Benutzern an der Spitze sitzt und allgemeine Benutzer die Basis bilden. In seinen verschiedenen Iterationen deckt IAM die gesamte Pyramide ab. Viele IAM-Anwendungen konzentrieren sich jedoch auf die Berechtigungen für die Benutzer an der Basis, die häufig auf das System zugreifen, aber nur wenige oder keine Administratorrechte haben. Auf der anderen Seite konzentriert sich PAM auf die Spitze, d. h. auf diejenigen, die aufgrund ihrer organisatorischen Rolle die wünschenswertesten Ziele darstellen.

Beachten Sie, dass es nicht dasselbe ist, wenn wir uns hier auf Benutzer beziehen, als wenn wir Menschen sagen. IAM- und PAM-Kontrollen gelten auch für nicht-menschliche Identitäten innerhalb eines Systems, z. B. Prozesse, die möglicherweise eine eigene Identifizierung haben.

Bereitstellungsberechtigungen und Zugriffsrechte

Bei der Zuweisung von Rechten und Berechtigungen an die Benutzer einer Organisation gibt es verschiedene Ansätze für das IT-Personal. Der erste und schlimmste ist der allgemeine, breite Zugriff auf Unternehmenssysteme und Datenspeicher – praktisch keine Kontrolle. Es versteht sich von selbst, dass dieser Ansatz ein hohes Risiko darstellt und eine erhebliche Gefährdung der Organisation darstellt. Viele Organisationen gewähren Benutzern jedoch weit mehr Zugriff, als sie benötigen, um eine unbeabsichtigte Unterbrechung der täglichen Aktivitäten zu vermeiden und die Angriffsfläche des Unternehmens zu erweitern.

Umsichtige Unternehmen wenden das Prinzip der geringsten Privilegien, den Need-to-Know-Zugriff oder eine Kombination aus beiden an. Die geringste Berechtigung befasst sich damit, wie Benutzer im System arbeiten; Need-to-know-Adressen, worauf sie im System zugreifen können.

Nach dem Prinzip der geringsten Rechte erhalten Benutzer nur die Rechte und Berechtigungen, die für ihre Arbeit erforderlich sind – nicht mehr und nicht weniger. Indem Unternehmen daran gehindert werden, Berechtigungen für Bereiche zu erhalten, die sie nie verwenden, beseitigen Unternehmen eine unnötige Sicherheitslücke, ohne die Leistung des Benutzers zu beeinträchtigen.

Need-to-know gilt für die Daten der Organisation, mit Beschränkungen, die den Zugriff auf die Daten beschränken, die sich direkt auf die Daten beziehen und die für die Erfüllung ihrer Aufgaben durch den Benutzer erforderlich sind.

Das Fehlen von Least Privilege oder Need-to-Know-Kontrollen sind nur einige der identitätsbezogenen Schwachstellen, die in vielen Organisationen üblich sind. Viele Organisationen haben immer noch gemeinsame Konten oder Kennwörter, was die Möglichkeit zur Überwachung von Aktivitäten und zur Gewährleistung der Einhaltung der Sicherheitsrichtlinien des Unternehmens verringert. Unternehmen haben auch häufig alte, ungenutzte Konten mit oft erheblichen Privilegien, die idealerweise schon lange zuvor gelöscht worden wären. Und viele Unternehmen verlassen sich immer noch auf die manuelle oder dezentrale Bereitstellung und Pflege von Benutzeranmeldeinformationen.

Warum (und wie) CSPs PAM verwenden sollten

Jedes Privileg und jeder Zugriff, den ein Benutzer hat, bietet einem Cyberkriminellen eine einzigartige Gelegenheit, ihn auszunutzen. Daher ist es im besten Interesse jedes CSP, diese Privilegien und Zugriffsrechte einzuschränken. Dadurch werden potenzielle Angriffsvektoren eingeschränkt und mögliche Schäden minimiert, wenn sich ein Hacker die Identität eines bestimmten Benutzers erfolgreich aneignet. Je weniger Berechtigungen ein Benutzer hat, desto weniger muss ein erfolgreicher Angreifer damit arbeiten.

Das Einschränken von Berechtigungen kann auch die Arten von Angriffen einschränken, die die Systeme eines Unternehmens beschädigen können. Einige Arten von Malware benötigen beispielsweise höhere Berechtigungen, um effektiv installiert und ausgeführt zu werden. Wenn ein Hacker versucht, über ein nicht privilegiertes Benutzerkonto Malware einzuschleusen, läuft er gegen eine Wand.

Hier sind einige der Best Practices, die CSPs befolgen sollten.

1. Implementieren Sie eine Berechtigungsverwaltungsrichtlinie:Da es keinen einheitlichen, universell anwendbaren IoT-Sicherheitsstandard gibt, benötigt CSPS streng definierte und überwachte Richtlinien, die die Einhaltung sicherstellen, indem jede Abweichungsmöglichkeit ausgeschlossen wird. Richtlinien sollten definieren, wer die Bereitstellung und Verwaltung von Berechtigungen und Rechten kontrolliert, wie die Bereitstellung erfolgt und Zeitpläne für die erneute Bereitstellung oder Aufhebung der Bereitstellung nach Bedarf festlegen. Darüber hinaus sollten Richtlinien die Passwortsicherheit berücksichtigen, einschließlich der Passwortstärke, der Verwendung der Multi-Faktor-Authentifizierung und des Ablaufs von Passwörtern.

2. PAM und IAM zentralisieren:CSPs sollten über ein zentralisiertes System für die Bereitstellung, Wartung und Aufhebung der Bereitstellung von Berechtigungen und Zugriffsrechten verfügen. Das Erstellen eines Inventars von Konten mit hohen Berechtigungen verhindert, dass Unternehmen ungenutzte Konten durch das Netz gehen.

3. Stellen Sie sicher, dass die geringste Berechtigung auch die geringste Berechtigung bedeutet:Während Benutzer frustriert sein können, wenn sie den Helpdesk kontaktieren müssen, um bestimmte Aufgaben auszuführen, ist dies kein Grund, ihnen mehr Berechtigungen zu erteilen, als sie benötigen. Die meisten Edge- oder Endpunktbenutzer des Unternehmens benötigen weder Administratorrechte noch Zugriff auf Stammverzeichnisse. Auch privilegierte Benutzer benötigen keine breit angelegten Zugriffsrechte. Beschränken Sie den Zugriff auf das, was für die Ausführung des Jobs unbedingt erforderlich ist.

4. Erhöhen Sie die Sicherheit durch Segmentierung:Die Segmentierung von Systemen und Netzwerken verhindert, dass Hacker seitliche Angriffe durchführen, wenn sie erfolgreich in ein Unternehmensnetzwerk eindringen. Verstärken Sie die Segmentierung nach Möglichkeit mit Zero-Trust-Richtlinien zwischen den Segmenten.

5. Erzwingen Sie Best Practices für die Passwortsicherheit:Mangelnde Passworthygiene bleibt für viele Unternehmen eine bedeutende Schwachstelle. Bauen Sie eine Sicherheitskultur auf, indem Sie Ihre Mitarbeiter schulen, um zu verstehen, dass die geringfügigen Unannehmlichkeiten von starken Passwörtern, Multi-Faktor-Authentifizierung und Passwortablauf das Unternehmen vor den potenziell verheerenden Folgen einer Sicherheitsverletzung schützen.

Sichere CSPs sind das Rückgrat eines sicheren IoT

Ohne sichere CSP-Netzwerke ist das IoT eine Spielwiese für Cyberkriminelle. Bevor sich CSP-Sicherheitsexperten um Millionen von Edge-Geräten kümmern, sollten sie nach innen schauen und ihre internen Systeme so gut wie möglich absichern. Die Anwendung von Least-Privilege-Prinzipien und Privileged-Access-Management-Systemen ist ein nützlicher erster Schritt.