Dự đoán: bảo vệ, bảo vệ internet của sự vật

Trong loạt các dự đoán quan trọng của chúng tôi cho năm 2014, chúng tôi đã xem xét các mục tiêu tấn công mới, sự gia tăng của Internet quốc gia, bảo mật di động và thanh toán trực tuyến. Khả năng những kẻ tấn công sẽ nhắm vào "Internet of Things" là dự đoán phổ biến thứ hai trong số các chuyên gia bảo mật, sau an ninh di động. Symantec thậm chí còn gọi "Internet của vạn vật" là "Internet của các lỗ hổng".

Internet of Things đề cập đến cách các thiết bị điện tử tiêu dùng hiện có địa chỉ IP và có thể được điều khiển từ xa. Tủ lạnh thông minh, hệ thống điều nhiệt gia đình, TV thông minh, thiết bị lưu trữ, thiết bị y tế, ô tô, cảm biến trên lưới điện, máy tập thể dục và thậm chí là dụng cụ mở cửa nhà để xe, chỉ là một mẫu nhỏ của Internet of Things.

Cuộc tấn công đang đến

Mặc dù vẫn còn trong giai đoạn đầu, ngay khi năm tới tủ lạnh thông minh, khóa và bộ điều nhiệt sẽ chuyển sang dòng chính, Andreas Baumhof, CTO tại ThreatMetrix nói. Internet of Things không khác mấy so với các loại hoạt động trực tuyến khác; Những kẻ tấn công mạng sẽ có thể chiếm quyền điều khiển mạng không dây hoặc khai thác lỗ hổng để tấn công mạng hoặc đánh cắp thông tin cá nhân, ông nói.

Chúng tôi đã thấy một số ví dụ về các cuộc tấn công tiềm năng trong các dự án bằng chứng khác nhau tại Black Hat và các hội nghị khác trên khắp đất nước. Một nhà nghiên cứu của Qualys đã trình diễn cách có thể khai thác các lỗ hổng trong giao diện người dùng cho các camera D-Link IP để chiếm quyền điều khiển các camera và nguồn cấp dữ liệu hình ảnh. Barnaby Jack quá cố đã trình diễn cách hack máy bơm insulin vài năm trước và đã được lên kế hoạch để thảo luận về những rủi ro đối với máy điều hòa nhịp tim tại Black Hat năm nay. Cựu phó chủ tịch Dick Cheney tiết lộ vào tháng 10 về cách các bác sĩ đã vô hiệu hóa kết nối không dây trên máy điều hòa nhịp tim của ông vì lo ngại rằng ai đó sẽ có thể hack vào thiết bị.

Tuy nhiên, các nhà cung cấp phần cứng hiếm khi nghĩ về bảo mật, liệu nó có sửa lỗi trong phần mềm nhúng hay giải quyết các vấn đề về phía phần cứng hay không khi đưa các thiết bị mới ra thị trường. Ngay cả khi các vấn đề được xác định, các nhà sản xuất vẫn thường xuyên kéo chân họ về việc vá các lỗ hổng, các nhà nghiên cứu từ Rapid7 cho biết. Năm 2013 là một năm lớn đối với sâu và các hình thức khai thác khác đối với Internet of Things, và khi tốc độ áp dụng cho các thiết bị này bùng nổ, chúng ta sẽ thấy nhiều kiểu tấn công hơn.

Chúng tôi có một số thời gian, mặc dù. Internet Identity cho biết các sự cố trong đó "tin tặc độc hại sẽ lợi dụng bằng cách đốt nhà từ xa và / hoặc tắt hệ thống bảo mật từ xa để cho phép kẻ trộm vào bên trong", không phải là điều chúng ta nên mong đợi trong năm 2014, nhưng vào năm 2015, IID cho biết.

Nghiên cứu, bằng chứng về khái niệm

"Mặc dù chúng tôi không mong đợi các cuộc tấn công chống lại 'Internet of Things' sẽ trở nên phổ biến vào năm 2014, nhưng chúng tôi dự đoán sự gia tăng các lỗ hổng được báo cáo và khai thác bằng chứng về khái niệm, " Gerhard Eschelbeck, CTO tại Sophos nói.

Các mối đe dọa bảo mật rất rộng và "có khả năng tàn phá" và các tổ chức phải đảm bảo rằng công nghệ cho cả người tiêu dùng và công ty tuân thủ các tiêu chuẩn cao về an toàn và bảo mật, Steve Durbin, phó chủ tịch Diễn đàn An ninh Internet cho biết. "Cần phải tùy thuộc vào chính các công ty để tiếp tục xây dựng bảo mật thông qua giao tiếp và khả năng tương tác, " Durbin nói.

Một nhóm nhỏ các chuyên gia bảo mật có ảnh hưởng đang kêu gọi các nhà nghiên cứu tập trung năng lượng của họ vào các thiết bị được kết nối và có khả năng bị tổn thương này như máy điều hòa nhịp tim, máy bơm insulin và các hệ thống nhúng khác. Nhóm "Chúng tôi là Kỵ binh" muốn giáo dục công chúng về các vấn đề nghiêm trọng hiện có trong các thiết bị này vì chúng không được xem xét nhiều về an ninh, Josh Corman, giám đốc tình báo an ninh tại Akamai và một trong các nhà lãnh đạo của nhóm, nói với những người tham dự tại hội nghị OWASP AppSec USA vào tháng 11.

"Đây là về nghiên cứu về những thứ quan trọng hơn là những thứ thẳng thắn không quan trọng", Nick Percoco, giám đốc của KPMG và một nhà lãnh đạo khác của nhóm, nói trong cùng một bài thuyết trình. Nếu ai đó có máy tạo nhịp tim chết, ai đó cần phải làm pháp y về máy tạo nhịp tim, ông nói. Nếu cộng đồng nghiên cứu không tập trung vào các thiết bị này và công khai các vấn đề, "làm thế nào chúng ta sẽ biết là một xã hội mà những điều này có sai sót?" anh ấy hỏi.

"Hãy đảm bảo an ninh là vấn đề quan trọng, không chỉ là công việc hàng ngày của chúng tôi. Thế giới bên ngoài là một phần của bộ giải pháp. Đây là bảo mật cho lợi ích công cộng", Corman nói.