Beveiligingsissues van het IoT: het probleem met DDoS

Het ‘Internet of Things’ (IoT) is één van die recente technologieën die steeds belangrijker worden. Het aantal IoT verbonden objecten neemt exponentieel toe. Gartner voorspelde eind 2015 dat het aantal in gebruik zijnde ‘Things’ in 2016 met 22 procent zou groeien ten opzichte van het jaar ervoor. Het IT-onderzoeksbedrijf gaat er inmiddels vanuit dat in 2020 wereldwijd 20,8 miljard verbonden apparaten in gebruik zijn. Veel bedrijven en consumenten zijn enthousiast bij het zien van zóveel voordelen, en ze voorspellen de technologie een schitterende toekomst. Iedereen gebruikt (straks) IoT – maar is het veilig tegen cybercrime? Recente gebeurtenissen beantwoordden deze vraag met een verontrustend ‘waarschijnlijk niet’. En met het oog op onze security-voorspellingen voor 2017, waarin we verwachten dat het Internet of Things (IoT) en ook het Industrial Internet of Things (IIoT) in 2017 een grotere rol zullen gaan spelen bij gerichte aanvallen, is dat een zorgwekkende ontwikkeling.

IoT is een handig ding…

Toepassingen van IoT ontwikkelen zich doorlopend. Afgelopen jaar dachten consumenten wellicht aan een slimme thermostaat die ze op afstand met hun smartphone kunnen bedienen, of draagbare activiteiten-trackers als FitBit of Apple Watch. Nu zijn er echter veel meer IoT-gebruikers dan we ons hadden kunnen voorstellen – van met internet verbonden sapcentrifuges, barbie- en recent nog Cayla-poppen tot en met mascara die data verzameld en terugstuurt naar L’Oreal, volgens Forbes-blogger Blake Morgan.

Consumenten maken veelvuldig gebruik van IoT, net als bedrijven. Ondernemingen passen RFI (Radio-Frequency Identification) toe om producten in de supplychain te lokaliseren, wat data oplevert waarmee hun processen en concurrentiepositie kunnen worden versterkt.

Het is juist de omvangrijke schaal van IoT die het een aantrekkelijk doelwit maakt voor cybercriminelen. Ben Dickson, blogger bij TechCrunch, schreef eerder dat zwakke plekken van IoT links en rechts werden besmet met ‘exploits’. ‘Wearable devices’ kunnen worden gehackt, en het is aangetoond dat ook met internet verbonden auto’s op afstand kunnen worden benaderd en gecontroleerd, daarmee letterlijk de deuren openend voor potentieel gevaar.

“De gateways die IoT-apparaten verbinden met bedrijfs- en producentennetwerken moeten net zo goed als de devices zelf worden beveiligd”, waarschuwde Dickson. “IoT-apparatuur is altijd in verbinding en staat altijd aan. In tegenstelling tot devices die door mensen worden bediend gaan ze door een enkelvoudig authenticatieproces, waardoor ze in de ogen van kwaadwillenden de ideale toegangspoort tot bedrijfsnetwerken zijn. Daarom moet er meer beveiliging worden geïmplementeerd in deze gateways, zodat het veiligheidsniveau van het systeem als geheel wordt verbeterd.”

… tenzij er beveiliging-trubbels zijn

Onlangs is het overduidelijk geworden dat IoT effectiever moet worden beschermd. Begin oktober werd, volgens Infosecurity Magazine-schrijver Phil Muncaster, de broncode voor Mirai gereleased. Deze malware scant het web op IoT-devices die onvoldoende beveiligd zijn – bijvoorbeeld fabriekswachtwoorden die (te) lang hetzelfde blijven – om ze te besmetten. Erger nog is dat, eenmaal geïdentificeerd én geïnfecteerd, de apparaten worden misbruikt als onderdeel van een botnet dat voor de hacker ‘distributed-denial-of-service’- oftewel DDOS-aanvallen uitvoert.

Muncaster schreef dat security-onderzoekers, sinds de release van de Mirai-broncode op een populair hackersforum, bezorgd zijn voor een toename van het aantal DDOS-aanvallen over de gehele linie van onvoldoende beschermde apparaten. Dit kan leiden tot wijdverspreide brown-outs, die grote delen van het internet lamleggen. Een effectieve manier om dergelijke aanvallen af te slaan is zorgen voor unieke wachtwoorden per apparaat, maar in de praktijk is dat lastig te realiseren.

Naast de toegenomen kans op DDOS-aanvallen schetsten onze researchers tot in detail een aantal exploits die vorig jaar mogelijk werden gebruikt om een IoT-netwerk te infiltreren. Dit toont aan dat IoT-aanvallen meer dan geschikt zijn voor cyberafpersing. Bijvoorbeeld ‘man-in-the-middle attacks’ kunnen worden uitgevoerd door met een TCP/IP-protocol via een kwetsbare plek het netwerk binnen te dringen en verkeer naar en van IoT-apparaten te onderscheppen. Uiteindelijk verschaffen hackers zich toegang tot de aangetaste devices, wat tot nog grotere issues leidt dan de gehackte Jeep Cherokee waar Dickson het over had.

IoT: Internet van ‘Onpatchbare’ Things?

De kwetsbaarheid van wachtwoorden waarmee Mirai-malware slachtoffers maakt – de reden dat securityresearchers waarschuwen voor DDoS-aanvallen – zijn opnieuw in beeld gekomen. Volgens ZDNet-blogger Charlie Osborne is er een 12 jaar oude beveiligingsfout gevonden, die door hackers is aangevallen. Over het gat, dat zit in de defensie van OpenSSH, wordt door beveligingsexperts al gesproken in termen van ‘The Internet of Unpatchable Things’. Die ene fout was onlangs verantwoordelijk voor meerdere SSHowDowN Proxy-aanvallen.

Met andere woorden: de angst voor exploits in TCP/IP-netwerken die IoT-devices infiltreren is bewaarheid. Het probleem is dat producenten uniforme fabriekswachtwoorden gebruiken voor hun verbonden apparaten, plus het feit dat ze niet (tijdig) worden vervangen. Voor CCTV, satellietapparatuur, routers en externe-opslagproducten loert het gevaar dat ze ongemerkt deel gaan uitmaken van deze botnets.

Wat is de volgende stap?

Dat IoT-apparaten worden misbruikt zou leveranciers moeten aansporen unieke wachtwoorden te implementeren voor hun producten. Maar wat kunnen bedrijven en consumenten zelf doen om hun netwerkbeveiliging te verbeteren als ze worden aangevallen? Volgens MarketsandMarkets heeft IoT-security een marktwaarde van $36,95 miljard, en bedraagt het samengestelde groeipercentage 36,1 procent vanaf 2016 – andermaal een bewijs hoe groot het belang van het beschermen van IoT-netwerken is, zeker nu ze deel uitmaken het technologielandschap van alledag.

“Er is geen ‘silver bullet’ voor het compleet beveiligen van het enorme netwerk van verbonden apparaten. Maar voorzorgsmaatregelen als het implementeren van een security -audit tijdens het ontwerpen van IoT-software/-hardware, veilige gateways inzetten, meer ‘endpoint’-monitoring en gebruikmaken van realtime loginspectie kunnen helpen de risico’s te verminderen”, schreven onderzoekers van Trend Micro. Kortom, DDoS-aanvallen en cyberafpersing zijn concrete bedreigingen die opdoemen aan de normaal gesproken schitterende horizon van IoT. Zowel bedrijven als consumenten moeten stappen ondernemen om de veiligheid van hun netwerken te waarborgen, zodat de veelvuldig voorkomende IoT-exploits ze niet platleggen. Lees meer over actueel nieuws omtrent IoT-security in ons IoT information center.

Geef een reactie

Het e-mailadres wordt niet gepubliceerd. Vereiste velden zijn gemarkeerd met *

Deze website gebruikt Akismet om spam te verminderen. Bekijk hoe je reactie-gegevens worden verwerkt.