IoT absichern: Leben schützen, bevor Hacker zuschlagen

Robert Haim von ACG Research erklärt, warum das Internet der Dinge (IoT) gestärkt werden muss, bevor böswillige Akteure Schaden anrichten können.

Ex-US-Vizepräsident Dick Cheney deaktivierte drahtlosen Zugang zu seinem Schrittmacher, um einen terroristischen Herzinfarkt zu vermeiden. Im Film „Stirb langsam 4.0“ kaperten Kriminelle Washingtons Verkehrsampeln, schalteten alle auf Grün und schufen Chaos. Diese realen und fiktiven Vorfälle illustrieren das tödliche Potenzial kompromittierter IoT-Systeme.

Mit Milliarden weltweit verbundener Sensoren und Aktuatoren ist schwache Security nur eine Frage der Zeit, bis Angreifer Kontrolle erlangen, gefährliches Verhalten triggern oder menschliche Operatoren zu Fehlentscheidungen manipulieren.

Wie stoppen wir das, bevor eine Tragödie passiert? Die Antwort liegt in robusten Sicherheitspraktiken, die auf IoTs einzigartige Constraints zugeschnitten sind.

Attacke erkennen. Attacke stoppen

Die Herausforderung, ein „sicheres“ IoT-Netzwerk zu erreichen, liegt darin, dass Security ein inhärent negatives Ziel ist – man muss Adversaries fernhalten, ohne deren genaue Fähigkeiten zu kennen. Viele IoT-Endpoints fehlt der Speicher für sophistizierte Security-Stacks, was uns zwingt, Schutzstrategien neu zu denken.

„Wir müssen das Gerät selbst schützen und planen, was passiert, wenn es kompromittiert wird“, merkt Haim an. Schockierend: 55 % der Unternehmen können die Quelle ihrer Bedrohungen nicht identifizieren.

Auf Aktionen schauen, nicht nur Identität

Mark McGovern von CA Technologies betont, dass Nutzerverhalten Credentials überwiegt. „Ob Finanzinstitut mit 100 Millionen Nutzern oder Kabelanbieter – die eigentliche Frage ist, was ein authentifizierter Akteur tut, nicht wer er vorgibt zu sein“, sagt er.

CAs Analytics monitoren Patterns und flaggen Anomalien, die von historischem Verhalten abweichen, verstärken Machine-Learning-Modelle und stärken Vertrauen.

Mit Threat Modeling beginnen

John Michelsen von Zimperium hebt die Notwendigkeit von Device-Level Threat Modeling hervor. „Bevor ein IoT-Produkt den Markt erreicht, identifiziere jeden möglichen Exploitationsvektor auf Device-, Network- und Application-Level“, rät er.

Auf der Black Hat 2017 wurden 13 von 15 automatisierten Türklinken innerhalb weniger Stunden kompromittiert, was unterstreicht, dass mindestens 70 % der Consumer-IoT-Geräte hackbar bleiben.

Alle müssen nach außen schauen

Roark Pollock von Ziften argumentiert, dass internes Testing allein unzureichend ist. „Externe Audits, Partner-Zertifizierungen und Open-Source-Community-Reviews sind essenziell, um Security Controls zu validieren“, sagt er.

„Verlass dich nicht allein auf deine Ingenieure“, warnt Pollock. Externe Experten und Community-Scrutiny können versteckte Vulnerabilities aufdecken.

Künstliche Intelligenz zur Identitäts-Polizei nutzen

Hank Skorny von Neustar erklärt, dass Identität probabilistisch ist. „Man muss Identitätsbehauptungen kontinuierlich herausfordern und verfeinern mittels Machine Learning, jede Interaktion in Echtzeit monitorend“, stellt er fest.

KI-gesteuerte Modelle detektieren bösartige Patterns schneller als menschliche Analysten, ermöglichen sofortiges Eingreifen.

Vertrauen über mehrere Domänen beweisen

Datenschutzgesetze wie HIPAA oder nationale Sicherheitsstatuten verlangen strikte Safeguards. Zebra Sports, Anbieter von Athleten-Telemetrie, exemplifiziert, wie Sportteams dieselben rigorosen Sicherheitsprinzipien anwenden wie in militärischen und industriellen Kontexten.

John Pollard von Zebra Sports merkt an, dass das Erfassen beispielloser Performancedaten für NFL-Teams identischen Schutz verlangt wie jede sensible Telemetrie – von Raketenführung bis Krankenhausausrüstung.

Trust Zones schaffen – und durchsetzen

Nicht jeder Nutzer braucht gleichen Zugriff. Krankenhaus-IT-Mitarbeiter müssen Dialysepumpendaten verifizieren können, ohne sie einzusehen, während Feldtechniker begrenzten, rollenbasierten Zugriff benötigen. Sanjeev Datla von Lantronix betont, dass Trust Zones durch Verantwortlichkeiten definiert werden sollten, nicht nur Credentials.

Behavioral Analytics helfen, Outlier zu identifizieren – Aktionen, die vom normalen Nutzerpattern abweichen – und triggern Alerts sowie Erfordernis höherer Freigabe.

Nie vergessen: Alles ist vernetzt

Pollock beobachtet, dass moderne IoT-Geräte im Grunde vollwertige PCs sind,却 oft als „dumme“ Sensoren behandelt werden. „Alle vernetzten Geräte müssen auf State und Hygiene überwacht werden. Hardening, Behavioral Monitoring und externe Verifikation sind non-negotiable“, behauptet er.

Wenn IoT-Geräte oder Applikationen verwundbar sind, können Leben auf dem Spiel stehen.

Autor: Robert Haim, Principal Analyst – Business Analysis & IoT, ACG Research