Qué significa la nueva publicación de IoT de NIST (NISTIR 8228) para sus dispositivos

Recientemente, el Instituto Nacional de Estándares y Tecnología (NIST) publicó un borrador de publicación, Informe interno del NIST (NISTIR) 8228, Consideraciones para administrar los riesgos de privacidad y seguridad cibernética de Internet de las cosas (IoT). Tiene la intención de servir como base para una serie de publicaciones sobre cómo administrar los riesgos de privacidad y ciberseguridad asociados con los dispositivos de IoT.

NISTIR 8228 está dirigido tanto a agencias federales como a organizaciones privadas e identifica tres vulnerabilidades de seguridad graves de los dispositivos de IoT. NISTIR 8228 también define tres objetivos para la mitigación de riesgos.

NISTIR 8228:Detallar las vulnerabilidades de seguridad de los dispositivos de IoT

Los dispositivos de IoT interactúan con el mundo físico de formas en las que los dispositivos de TI tradicionales no lo hacen. A diferencia de las computadoras, tabletas o teléfonos inteligentes, los dispositivos de IoT no se ejecutan en los sistemas operativos Windows o Mac OS. Sin embargo, muchos de estos dispositivos están conectados a Internet, lo que permite puntos de entrada a redes informáticas que de otro modo serían seguras.

Los dispositivos de IoT generalmente operan en sistemas operativos personalizados y propietarios que son difíciles o imposibles de monitorear y parchear para el personal de TI, por lo que la única forma de mitigar el riesgo es colocarlos en la red de la empresa detrás de firewalls VLAN, para evitar que los dispositivos accedan a más partes sensibles de la red. Si los piratas informáticos obtienen acceso a un dispositivo de IoT en la red, generalmente porque han localizado una vulnerabilidad en el sistema operativo diseñado e instalado por el fabricante del dispositivo, pueden lanzar un ataque en cualquier computadora conectada a esa red. El tipo de ataque más común es un simple ataque de fuerza bruta con contraseña SSH, que generalmente solo usa credenciales predeterminadas.

Además, los dispositivos de IoT pueden reclutarse como botnets para usar en ataques distribuidos de denegación de servicio (DDoS). En octubre de 2016, el servicio de dominio de Internet Dyn sufrió el mayor ataque DDoS de la historia. Los atacantes reclutaron millones de dispositivos de IoT no seguros en un ejército de botnets para dirigir un tráfico masivo a los sitios de Dyn, lo que provocó que el tráfico se ralentizara y finalmente colapsara los sitios. Los piratas informáticos obtuvieron acceso a los dispositivos de IoT aprovechando las vulnerabilidades en el software del sistema operativo propietario de los dispositivos.

Los riesgos no terminan ahí. Algunos dispositivos de IoT tienen la capacidad de realizar cambios en sistemas físicos como HVAC, ascensores, sistemas de rociadores y otros que, si son incautados, podrían presentar daños físicos o riesgos de seguridad.

¿Busca una forma segura de implementar un sistema de seguimiento de IoT para su empresa? Regístrese para una demostración gratuita de LinkLabs.

Recomendaciones del marco de trabajo de NIST IoT

Para abordar los riesgos de ciberseguridad y privacidad, el marco de NIST IoT recomienda acciones que las organizaciones pueden tomar a lo largo del ciclo de vida del dispositivo IoT. Estos incluyen:

• Comprender los desafíos de riesgo.
• Ajustar las políticas y los procesos de la organización para abordar esos desafíos.
• Implementar prácticas actualizadas de mitigación de riesgos para dispositivos de IoT.

Según NIST, ha habido un gran interés en establecer líneas de base de seguridad y privacidad para ayudar a mitigar los riesgos. Gran parte de la atención se ha centrado en que los fabricantes creen capacidades de seguridad y privacidad en sus dispositivos. Si bien esa puede ser la solución en el futuro, actualmente hay millones de dispositivos de IoT en uso que carecen de estas capacidades. Los fabricantes necesitarán tiempo para mejorar la seguridad previa a la comercialización y la capacidad de privacidad e incorporarla en sus dispositivos; También habrá desafíos adicionales en torno a agregar estas capacidades sin hacer que los dispositivos de IoT sean demasiado costosos.

Hay otras consideraciones descritas en el marco de NIST IoT con respecto al tipo y nivel de seguridad que necesitan los diferentes dispositivos de IoT. Para algunos, solo el dispositivo en sí puede necesitar protección. Otros dispositivos pueden necesitar seguridad de datos además de seguridad de dispositivo, y algunos pueden necesitar protección de privacidad, así como seguridad de dispositivo y datos. Hasta la fecha, esos requisitos discretos no se han diferenciado, lo que deja a las organizaciones decidir cuáles se aplican a cualquier dispositivo y uso de IoT en particular.

El marco de NIST IoT proporciona un punto de partida útil para abordar los riesgos asociados con los dispositivos IoT no seguros, pero es solo el primer paso. Aún están por venir los desafíos de diseñar y construir dispositivos seguros rentables y abordar los riesgos planteados por los millones de dispositivos de IoT que ya están en uso.

Han pasado dos años desde que el ataque Dyn demostró las vulnerabilidades de muchos dispositivos de IoT actualmente en uso, y es probable que pasen varios más antes de que los fabricantes de estos dispositivos encuentren soluciones previas al mercado para los riesgos de seguridad. ¿Cómo pueden las empresas mitigar los riesgos que plantean los dispositivos de IoT que utilizan para el seguimiento y la supervisión automatizados de activos y materiales mientras tanto?

Un enfoque simple que puede aumentar en gran medida la seguridad de los dispositivos IoT listos para usar es simplemente cambiar las contraseñas predeterminadas programadas en los dispositivos por los fabricantes. Esta es una solución sencilla para los consumidores, que pueden tener solo unos pocos dispositivos de IoT. Pero para las empresas que tienen cientos de dispositivos, o más, en uso para el seguimiento y monitoreo de activos, es insatisfactorio debido al tiempo y la mano de obra necesarios para reprogramar cientos de etiquetas.

Si su empresa está buscando una forma segura de implementar la tecnología IoT, hable con Link Labs. Nuestro sistema AirFinder aísla los dispositivos IoT en redes dedicadas separadas de las redes informáticas de la empresa y no utiliza protocolos IP estándar, lo que dificulta su compromiso. Para redes de área amplia, nuestro sistema Symphony Link incorpora infraestructura de clave pública (PKI), considerada segura según los estándares de la NSA, firmware por aire para parchear vulnerabilidades de manera rápida y sencilla sin acceso físico a dispositivos, estándar de cifrado avanzado en tiempo real ( Intercambio de claves AES) y seguridad de nivel de transporte (TLS) de nivel bancario para el tráfico de red. Para obtener sistemas de seguimiento seguros que sean fáciles de implementar y eviten los riesgos de seguridad comunes de IoT descritos en NISTIR 8228, comuníquese con Link Labs hoy mismo.