Wie können IoT-Sicherheitsprobleme in Unternehmen verhindert werden? Die ultimative Checkliste

Reduzieren Sie Risiken und schützen Sie Ihre Industrieanlagen, Kunden und Anlagen

Industrieunternehmen (z. B. Fabriken und Anlagen) müssen sich der verschiedenen IoT-Sicherheitsbedrohungen bewusst sein und eine mehrschichtige Cybersicherheitsstrategie implementieren, um ihr Geschäft und ihren Betrieb zu schützen. In diesem Artikel werden die Risiken verbundener Geräte detailliert beschrieben und die wichtigsten Lösungen beschrieben, die Ihre IoT-Sicherheitsherausforderungen lösen – heute und in Zukunft.

[[Holen Sie sich Ihre IoT-Sicherheitscheckliste]]

Was ist IoT-Sicherheit?

IoT-Sicherheit betrifft die Sicherheit verbundener Geräte und ihrer Netzwerke im Internet der Dinge (IoT) und deren Schutz vor möglichen Sicherheitsbedrohungen. Industrial IoT beinhaltet das Hinzufügen von Internet-Konnektivität zu Systemen, Computergeräten sowie mechanischen und digitalen Maschinen. Täglich werden neue Hacks und Sicherheitslücken entdeckt, wodurch die Sicherheit Ihrer Geräte zu einem kontinuierlichen Prozess wird. Das bedeutet, dass Ihre gewählte IoT-Sicherheitslösung robust sein muss und Funktionen enthalten muss, die die Sicherheit der verbundenen Systeme kontinuierlich gewährleisten.

Die Risiken verbundener industrieller IoT-Geräte

Das Fehlen eines Sicherheits- und Datenschutzprogramms für IoT-Produkte kann große Auswirkungen haben. Ein Mangel an ausreichender Überwachung von IoT-Geräten/-Systemen, um Sicherheitslücken zu erkennen, schafft ein leichteres Ziel für Hacker. Das Risiko besteht darin, dass kritische Software, die einst in ihrer eigenen sicheren Umgebung lief, nun mit einem breiteren Netzwerk verbunden ist. Ein IIoT-Netzwerk war früher ein separates Netzwerk für die Betriebstechnik, aber jetzt verbindet ein Gerät dieses private Netzwerk mit dem Rest des IT-Netzwerks des Unternehmens – was ernsthaften Schaden anrichten kann, da vertrauliche, geschäftskritische Daten in Reichweite sind.

Hacker haben bereits Malware in Industrienetzwerken eingesetzt, indem sie mit dem Internet verbundene Sensoren ausnutzen und sich Zugang zu physischen Netzwerken verschaffen. Daher sollten potenzielle IIoT-Cyberangriffe im Vordergrund stehen, wenn Sie beginnen, IoT-Geräte mit dem Internet zu verbinden.

Wir haben diese Checkliste erstellt, um sicherzustellen, dass Sie über alle Aspekte der IoT-Sicherheit nachdenken und alles in der Hand haben, um diese Art von Problemen zu vermeiden.

Industrielle IoT-Sicherheit

Eine Checkliste für die industrielle IoT-Sicherheit, um Probleme und Verstöße zu verhindern

Maschinenbauer und ihre Kunden sollten gemeinsam die Risiken des IoT diskutieren, um potenzielle Angriffe zu verhindern und Maßnahmen zu ergreifen, um die kontinuierliche Sicherheit ihrer Systeme zu gewährleisten. Diese Checkliste listet die verschiedenen Sicherheitsbereiche auf, die Sie abdecken sollten, hilft dabei, Sicherheitsbedrohungen für das IoT zu minimieren und bietet mögliche Lösungen und Maßnahmen zur Aufrechterhaltung einer sicheren Anlage oder eines sicheren Betriebs.

Firewalls – Begrenzen Sie Ihre Oberfläche

Das meiste, was Cybersicherheitsspezialisten tun, besteht darin, das Risiko zu minimieren, dass etwas mit dem System passiert. Der einfachste Weg, dies zu tun, besteht darin, die Anzahl der Dinge und Orte zu begrenzen, die ein Hacker potenziell ausnutzen kann. Stellen Sie sich Ihre IoT-Umgebung wie einen Banktresor vor, in dem Sie Ihre wertvollste Währung aufbewahren – in diesem Fall geistiges Eigentum, Maschinen- und Kundendaten usw. Es ist viel einfacher, Ihren Tresor zu sichern und zu überwachen, wenn er nur über eine einziger bewachter Eingang.

Hier kommen Firewalls ins Spiel. Firewalls sind einfache Anwendungen, die den Internetverkehr basierend auf Quell-IP (woher kommt er?), Zielport (wohin geht er?) oder Paketinhalt (was wird gesendet?) filtern. Wenn Sie etwas mehr Zeit damit verbringen, dies zu konfigurieren, können Sie sich später eine Menge Ärger ersparen. Idealerweise möchten Sie nur die wesentlichen Anwendungen (also Ports) nur den zu erwartenden Quellen mit zu erwartendem Verkehr aussetzen.

Stellen Sie sich also die Frage, welche Ports für das große schlechte Internet geöffnet werden sollen und wer diese erreichen kann. Auf einen Port, auf dem SSH ausgeführt wird, kann möglicherweise nur von Ihrer Unternehmenszentrale aus zugegriffen werden, oder auf einen Port, auf dem eine Datenbank ausgeführt wird, kann nur vom Server selbst (d. h. „localhost“) zugegriffen werden.

Lesen Sie mehr darüber, warum Sie sich um eingehende Verbindungen zu Ihrer Fabrik kümmern sollten.

Verschlüsselung – ƐnℂrŶpŤ

Verschlüsselung ist der mathematische Prozess, bei dem eine lesbare Nachricht mithilfe eines Paars wirklich langer Zahlen in (scheinbar) zufälliges Kauderwelsch umgewandelt wird. Sein Zweck besteht darin, alle Informationen vor neugierigen Blicken zu verbergen, und es wird verwendet, um sich vor sogenannten Man-in-the-Middle-Angriffen mit TLS zu schützen. Einmal verschlüsselt, können Sie sicher sein, dass Ihre vertrauliche Nachricht nur von Ihnen und dem vorgesehenen Empfänger gelesen werden kann.

Allerdings ist nicht jede Verschlüsselung gleich. Es gibt viele Möglichkeiten (auch bekannt als Algorithmen), um eine Nachricht zu verschlüsseln, und einige davon weisen bekannte Schwachstellen auf und sind daher unsicher. Überprüfen Sie immer seriöse Quellen wie SSL Labs oder das Mozilla-Wiki, um den neuesten Industriestandard in Bezug auf die TLS-Konfiguration zu ermitteln.

Datenverlust – Backups

Erstens brauchen Sie Backups!

Das Fehlen von Backups stellt nur sicher, dass Sie im Ernstfall schief gehen, falls etwas schief geht.

Aber nur Backups zu haben, reicht nicht aus. Sie benötigen „richtige“ Backups. Korrekt ist ein subjektiver Begriff, was bedeutet, dass verschiedene Menschen unterschiedliche Definitionen des Wortes haben. Was macht also ein „richtiges“ Backup aus? In jedem Fall müssen Sie sich die folgenden Fragen stellen und mit der Antwort zufrieden sein:

• Welche Daten muss ich speichern, um unsere gesamte IoT-Umgebung neu zu erstellen?
• Wie oft muss ich ein Backup erstellen? (d.h. wie lange eine Datenlücke finde ich akzeptabel?)
• Wie lange bewahre ich Backups auf, bevor ich sie verwerfe?
• Wie teste ich, ob die Daten in den Backups korrekt sind?
• Wie bewahre ich meine Backups sicher auf?

Überprüfen Sie diese Fragen regelmäßig und überlegen Sie, ob Sie mit den Antworten immer noch zufrieden sind. Wenn nicht, nehmen Sie die erforderlichen Änderungen vor.

Lesen Sie mehr über die Verhinderung von Datenverlust.

Software-Schwachstellen – Update, Update, Update

Meistens sind Sicherheitslücken in Betriebssystemen (OS) und Softwareanwendungen den Entwicklern bekannt, bevor sie der Öffentlichkeit bekannt sind, und da ihre PR auf dem Spiel steht, werden sie so schnell wie möglich Patches versenden. Wenn Sie nur eine Stunde im Monat damit verbringen, sich die Updates aller von Ihnen verwendeten Software anzusehen, ist dies gut investierte Zeit, da Sie immer die neuesten Sicherheitspatches ausführen können. Ebenso verfügen die meisten großen Betriebssysteme über Mechanismen, um sicherzustellen, dass sicherheitsrelevante Updates automatisch installiert werden, sobald sie verfügbar sind.

Menschen – Informieren Sie sie

Wie die meisten Studien und Umfragen zeigen, sind Menschen (also Mitarbeiter, Kollegen) oft noch immer das schwache Glied in der Cybersicherheitskette. Die Aufrechterhaltung der Sicherheit ist eine Gruppenanstrengung und jede Person, die nicht ihr Gewicht trägt, kann dazu führen, dass das Ganze zusammenbricht. Daher ist es von entscheidender Bedeutung, dass jede Person in Ihrer Organisation davon weiß.

• wie ein „starkes“ Passwort aussieht,
• wie man eine Phishing-E-Mail erkennt
• warum die Zwei-Faktor-Authentifizierung besser ist
• usw.

Dabei übersieht man leicht die IT-versierten Leute, weil man davon ausgeht, dass sie es besser wissen. Aber ein Fehler ist leicht zu begehen und man weiß nie, was eine Person nicht weiß.

Stellen Sie speziell für die IT sicher, dass sie das Prinzip der geringsten Rechte anwenden (um Ihre „Oberfläche“ zu reduzieren), ohne einen einzelnen Fehlerpunkt zu riskieren. Die Cybergötter genießen Karma und sorgen immer dafür, dass Dinge kaputt gehen, gerade wenn der eine Verantwortliche nicht erreichbar ist.

Lesen Sie mehr über die Leistungsfähigkeit starker Passwörter und Cybersicherheit.

Das Prinzip der geringsten Rechte bedeutet, dass Benutzern nur eingeschränkten Zugriff auf die Rechte gewährt wird, die sie für ihre Arbeit haben müssen

Dylan Eikelenboom Sicherheitsbeauftragter bei IXON

Überwachung – Big Brother schaut zu

In der Cloud zu sein bedeutet, dass alles immer verfügbar und für jeden verfügbar ist. Dies ist aus Sicht der Cybersicherheit offensichtlich das Worst-Case-Szenario. Der einzige Weg, dem entgegenzuwirken, besteht darin, sicherzustellen, dass Sie so gut wie möglich wissen, was in und auf Ihren Servern passiert. Dies bedeutet Überwachung von Prozessen, Netzwerkverkehr, ausgeführten Befehlen und mehr.

Die Tücke dabei ist, dass die Überwachung von Dingen ohne fundierte Grundlage (also einen guten Grund) nur dazu führt, dass Daten auf dem metaphorischen Datenberg abgeladen werden. Sie müssen sicherstellen, dass alles, was Sie überwachen, eine Rolle bei der Feststellung spielt, wie gesund Ihre Systeme sind.

Schwachstellentest – Kennen Sie Ihre Schwächen

Die Aufrechterhaltung der Cybersicherheit ist ein aktives Verb, was bedeutet, dass es ein kontinuierliches Engagement erfordert. Sie können kein technisch einwandfreies System aufbauen und es für einige Jahre einfach ignorieren und davon ausgehen, dass es sicher bleibt. Daher ist es wichtig zu wissen, wann, wo und wie Ihre Systeme anfällig für Ausbeutung sind.

Am häufigsten werden Penetrationstests empfohlen, bei denen einer Gruppe von White-Hat-Hackern die Freiheit gegeben wird, Ihr System (ethisch) auszunutzen und die Ergebnisse zu melden. Dies ist perfekt, um nicht nur Ihre Fehler zu entdecken, sondern auch um zu beurteilen, wie „ausgereift“ Ihr System aus Sicht der Cybersicherheit ist. Der große Nachteil ist jedoch, dass dies ziemlich teuer sein kann.

Glücklicherweise gibt es für diejenigen unter Ihnen, die es sich nicht leisten können, mehrere Tausend {Währung einfügen} für einen vollwertigen Pentest auszugeben, Alternativen, die einige der Vorteile zu einem Bruchteil der Kosten bieten. Automatisierte interne und externe Schwachstellentests werden von einer Vielzahl von Anbietern angeboten, wobei die Preise von kostenlos bis zu einigen Dollar pro Server und Monat reichen. Diese Dienste führen eine ganze Reihe von Tests durch, um festzustellen, ob ein Server für allgemeine Schwachstellen anfällig ist, und sammeln alles in einem leicht lesbaren Bericht. Sie können die Tests sogar nach dem Beheben der Schwachstellen oder nach der Bereitstellung einer größeren Architekturänderung wiederholen, um zu sehen, ob Ihr System noch sicher ist.

Lesen Sie mehr über die Sicherung Ihrer IoT-Geräte.

Zugriffsrechte – Wählen Sie mit Bedacht

So wie Karen in der Buchhaltung das Ganze mit einem Klick auf diesen skizzenhaften E-Mail-Anhang herunterfahren kann, müssen Sie auch wachsam sein, wem Sie Ihre Daten geben. Das Hosten einer modernen IoT-Plattform bedeutet, Dienste von vielen verschiedenen Anbietern anzufordern. Hosting-Anbieter, E-Mail-Server, Überwachungstools, Programmierbibliotheken usw. 

Sie können die beste Cybersecurity-Suite haben, die der Menschheit bekannt ist, mit perfekter Echtzeitüberwachung, eisernen Firewalls und Mitarbeitern, die alle Bücher von Bruce Schneier (bekannter Sicherheitstechnologe) im Schlaf zitieren können – aber schließlich kommt ein Cybersicherheitsfehler in IHREM System zurück verfolgen dich . Sie sollten immer angemessene Cybersicherheitspraktiken für jeden von Ihnen eingesetzten Dienstanbieter fordern.

Redundanz – Verfügbarkeit sicherstellen

Hinweis:Die meisten der obigen Vorschläge beziehen sich in erster Linie auf die Vertraulichkeit und Integrität der Daten in Ihren Systemen. Wenn die Verfügbarkeit (oder „Verfügbarkeit“ der IoT-Umgebung) besonders wichtig ist, sollten Sie auch erwägen, Ihre Systeme mit Hochverfügbarkeit oder automatischem Failover redundant zu machen.

Holen Sie sich Ihre kostenlose IoT-Sicherheitscheckliste

Um Sie bei der Absicherung Ihrer Unternehmens- und IoT-Anwendungen zu unterstützen, haben wir alle Themen in dieser Checkliste aufgelistet. Laden Sie es hier herunter!

[[IoT-Sicherheitscheckliste herunterladen]]

Zusätzliche Ressourcen

• Entdecken Sie in unserem Security-Whitepaper, wie IXON industrielle Netzwerke, Geräte und Maschinendaten schützt.
• Infografik:9 Sicherheitsbereiche zur Minimierung der Bedrohungen des IoT
• Verwandte Cybersicherheitsthemen
• Kontaktieren Sie einen unserer Sicherheitsspezialisten für weitere Fragen