Mitigación y gestión de riesgos en IoT. Buen artículo para considerar su lectura.
http://threatbrief.com/mitigating-increasing-risks-insecure-internet-things-2/
Traducción Google:
La aparición y proliferación de Internet de las Cosas (IOT) dispositivos en la industria, la empresa y las redes domésticas trae consigo riesgos sin precedentes. La posible magnitud de este riesgo se concretó en octubre de 2016, cuando las cámaras inseguras conectados a Internet lanzaron una denegación de servicio distribuido (DDoS) ataque a Dyn , un proveedor de servicio de DNS para muchos proveedores de servicios en línea de gran tamaño (por ejemplo, Twitter, Reddit) . A pesar de este incidente causó alteraciones en gran escala, es de destacar que el ataque involucró sólo unos pocos cientos de miles de puntos finales y una tasa de tráfico de alrededor de 1,2 terabits por segundo. Con las predicciones de más de mil millones de dispositivos IO dentro de los próximos cinco a diez años , el riesgo de similares, pero mucho más grandes ataques, es inminente.
Los riesgos creciente de dispositivos IO inseguros
Uno de los mayores contribuyentes al riesgo de ataque futuro es el hecho de que muchos dispositivos IO tienen desde hace mucho tiempo, las vulnerabilidades de software ampliamente conocido que los hacen vulnerables a la explotación y el control por atacantes remotos. Peor aún, los vendedores de estos dispositivos IO a menudo tienen procedencia establecidos en la industria del hardware, pero pueden carecer de experiencia o recursos en el desarrollo de software y sistemas de seguridad. Como resultado, los fabricantes de dispositivos IO pueden enviar los dispositivos que son extremadamente difícil, por no decir prácticamente imposible, asegurar . El gran número de dispositivos IO inseguros conectados a Internet plantea riesgos sin precedentes a la privacidad de los consumidores, así como las amenazas a la infraestructura física subyacente y la Internet global en general:
- Corre el riesgo de privacidad de los datos. Dispositivos conectados a Internet cada vez recogen datos sobre el mundo físico, incluyendo información sobre el funcionamiento de la infraestructura, como los sistemas de redes eléctricas y de transporte, así como los datos personales o privados sobre los consumidores individuales. En la actualidad, muchos dispositivos IO o bien no cifrar sus comunicaciones o utilizar un medio de transporte cifrada que es vulnerable a los ataques. Muchos de estos dispositivos también almacenan los datos que recojan en los servicios alojados en la nube, que pueden ser el blanco de las violaciones de datos u otro ataque.
- Los riesgos para la disponibilidad de la infraestructura crítica y de Internet en general. Como el ataque botnet Mirai de octubre, el año 2016 demostró, servicios de Internet a menudo comparten dependencias subyacentes en la infraestructura subyacente: paralizando a muchos sitios web en línea no requería ataques directos a estos servicios, sino más bien un ataque dirigido a la infraestructura subyacente en el que muchos de estos servicios dependen (es decir, el Sistema de Nombres de dominio). En términos más generales, se podría esperar futuros ataques que tienen como objetivo no sólo la infraestructura de Internet, sino también la infraestructura física que está cada vez más conectados a Internet (por ejemplo, el poder y los sistemas de agua). Las dependencias que son inherentes a la arquitectura actual de Internet crean amenazas inmediatas a la resiliencia.
- La gran magnitud y el alcance amplio de estos riesgos de que deben buscar soluciones que mejoren la capacidad de recuperación de infraestructura en la cara de los dispositivos conectados a Internet que son extremadamente difíciles de obtener. Una cuestión central en esta área del problema se refiere a la responsabilidad que cada uno de los interesados en este ecosistema debe soportar, y las funciones respectivas de la tecnología y la regulación (ya sea a través de la autorregulación del sector o de otro tipo) en la seguridad tanto de Internet y la infraestructura física asociada en contra de estos mayores riesgos .
Mitigación y Gestión de Riesgos
Una posible palanca para el gobierno o la autorregulación es los fabricantes de dispositivos IO. Una posibilidad, por ejemplo, podría ser un programa de certificación para los fabricantes de dispositivos que podrían dar fe de la adhesión a la práctica común que los mejores dispositivos y la seguridad del software. Una analogía bien conocida (y frecuentemente utilizado-) es el proceso de certificación de UL para los dispositivos y aparatos eléctricos.
A pesar de su atractivo conceptual, sin embargo, un enfoque de certificación plantea varios problemas prácticos. Uno de los retos está perfilando y la prescripción de las mejores prácticas comunes, en primer lugar, sobre todo debido a la velocidad a la que la tecnología (y los ataques) progreso. Cualquier conjunto específico de recetas corre el riesgo de caer fuera de fecha conforme avanza la tecnología; Del mismo modo, la certificación puede transferir fácilmente en una lista de atributos que los proveedores de satisfacer, sin adherirse necesariamente al proceso por el cual estos dispositivos están asegurados en el tiempo. Como desalentador como retos de la especificación de un programa de certificación que pueda parecer, la aplicación de la adhesión a un programa de certificación puede resultar aún más difícil. Específicamente, los consumidores pueden no apreciar el valor de certificación, en particular si el cumplimiento de los requisitos de certificación aumenta el costo de un dispositivo. Esta preocupación puede ser particularmente grave para los consumidores la IO,
donde los consumidores pueden no soportar los costes directos de la conexión de dispositivos inseguros de sus redes domésticas.
El consumidor es otra de las partes interesadas que podrían ser incentivado para mejorar la seguridad de los dispositivos que se conectan a sus redes (además de asegurar de manera más eficaz las redes a las que se conectan estos dispositivos). A medida que la entidad que compra y, finalmente, se conecta dispositivos IO a la red, el consumidor se presenta muy bien situado para garantizar la seguridad de los dispositivos IO en sus respectivas redes. Por desgracia, el panorama es un poco más matizada. En primer lugar, los consumidores suelen carecer ya sea la aptitud o interés (o ambos) para asegurar cualquiera de sus propias redes o los dispositivos que se conectan a ellas. Los usuarios de acceso a Internet de banda ancha en casa por lo general han demostrado ser buenos para la aplicación de actualizaciones de software en el momento oportuno , por ejemplo, y han sido igualmente delincuente en la obtención de sus redes domésticas . Incluso los administradores de red cualificados se enfrentan regularmente los errores de configuración de red, ataques y violaciones de datos. En segundo lugar, en muchos casos, los usuarios pueden carecer de los incentivos para asegurar que sus dispositivos son seguros. En el caso de la red de bots Mirai, por ejemplo, los consumidores no se enfrentan directamente con el peso del ataque; más bien, las víctimas finales del ataque eran los proveedores de servicios de DNS e, indirectamente, los proveedores de servicios en línea, tales como Twitter. Para la primera orden, los consumidores sufrieron poca consecuencia directa como resultado de los dispositivos inseguros en sus redes.
incentivos desalineados de los consumidores sugieren varios cursos de acción posibles. Un enfoque podría implicar la colocación de alguna responsabilidad en los consumidores de los dispositivos que se conectan a la red, de la misma manera que un ciudadano podría ser multado por otras transgresiones que tienen efectos externos (por ejemplo, multas por ruido o la contaminación del medio ambiente). Por otra parte, los proveedores de servicios de Internet (u otra entidad) pueden ofrecer a los usuarios un crédito para la compra y conectar sólo los dispositivos que pasar la certificación; Otra variación de este enfoque podría exigir a los usuarios a comprar un «seguro de Internet» de sus proveedores de servicios de Internet que podría ayudar a compensar el costo de futuros ataques. Los consumidores pueden recibir créditos o menores primas basadas en el riesgo asociado a su comportamiento (es decir, sus prácticas de actualización de software, los resultados de las auditorías de seguridad de los dispositivos que se conectan a la red).
Una tercera partes interesadas a considerar es el proveedor de servicios de Internet (ISP), que proporciona conectividad a Internet para el consumidor. El ISP tiene considerables incentivos para que los dispositivos que su cliente se conecta a la red son seguras: dispositivos inseguros aumentan la presencia de ataques al tráfico y en última instancia, pueden degradar el rendimiento de servicios de Internet o por el resto de los clientes de los ISPs. Desde una perspectiva técnica, el ISP también está en una posición única y efectiva para detectar y sofocar los ataques al tráfico procedente de dispositivos IO. Sin embargo, basándose en el ISP solo para proteger la red contra dispositivos IO inseguridad está plagado de complicaciones no técnicos. En concreto, mientras que el ISP podría técnicamente defenderse de un ataque por parte de desconectar o cortafuegos para dispositivos de consumo que están lanzando ataques, este enfoque sin duda dará lugar a un aumento de las quejas y llamadas de soporte técnico de clientes, que se conectan los dispositivos a la red y simplemente esperar que funcionen . En segundo lugar, muchas de las capacidades técnicas que un ISP podría tener a su disposición (por ejemplo, la capacidad de identificar los ataques al tráfico procedente de un dispositivo específico) introducir serias preocupaciones de privacidad. Por ejemplo, ser capaz de alertar a un cliente (por ejemplo) un monitor de bebé comprometida requiere el ISP para saber (y documento) que un consumidor tiene un dispositivo de este tipo en el primer lugar.
En última instancia, la gestión de los mayores riesgos asociados con los dispositivos IO inseguras puede requerir la intervención de los tres grupos de interés. Algunas de las preguntas más destacadas se referirá a cómo los riesgos pueden ser mejor equilibrada contra los mayores costos operativos que se asociarán con la mejora de la seguridad, así como que en última instancia asumir estas responsabilidades y costos.
Mejorar la resistencia de Infraestructura
Además de mejorar las defensas contra los dispositivos inseguros a sí mismos, sino que también es fundamental para determinar cómo construir una mejor capacidad de recuperación en la infraestructura de Internet subyacente para hacer frente a estos ataques. Si uno ve el ataque a través de la IO ocasional e inevitable en cierta medida, una preocupación importante es garantizar que la infraestructura de Internet (y la infraestructura asociada cyberphysical) sigue siendo a la vez seguro y disponible en la cara de ataque. En el caso del ataque de Mirai en Dyn, por ejemplo, la gravedad de la crisis se ve agravada por el hecho de que muchos servicios en línea dependían de la infraestructura que fue atacada. Los científicos informáticos e ingenieros de Internet deben estar pensando acerca de las tecnologías que pueden potencialmente tanto desvincular estas dependencias subyacentes y asegurar que la infraestructura en sí sigue siendo seguro incluso en el caso de que las palancas de regulación o jurídicas no bastan para evitar todos los ataques. Una posibilidad que estamos estudiando, por ejemplo, es el papel que un cortafuegos de red doméstica automatizado podría desempeñar en (1) ayudando a los usuarios ing se conservan mejor inventario de los dispositivos IO conectados; (2) proporcionar a los usuarios tanto en la visibilidad y el control sobre los flujos de tráfico que estos dispositivos envían.
Resumen
La mejora de la resistencia de Internet y la infraestructura cyberphysical en la cara de los dispositivos IO inseguros requerirá una combinación de mecanismos técnicos y regulatorios. Los ingenieros y los reguladores tendrán que trabajar juntos para mejorar la seguridad y la privacidad de la Internet de los objetos. Los ingenieros deben seguir avanzando en el estado del arte en tecnologías que van desde cifrado ligero para la detección de anomalías red estadística para ayudar a reducir el riesgo; Del mismo modo, los ingenieros deben diseñar la red para mejorar la resistencia frente al aumento del riesgo de ataque. Por otra parte, la realización de estos avances en la implementación requerirá la alineación adecuada de incentivos, de manera que las partes que introducen riesgos están más alineados con los que soportan los costos de los ataques resultantes.
Latest posts by Jose Miguel (see all)
- Curso básico de ciberseguridad: Módulo 6 - 8 marzo, 2025
- Curso básico de ciberseguridad: Módulo 5 - 1 marzo, 2025
- Curso básico de Ciberseguridad: Módulo 4 - 28 diciembre, 2024
- Curso Básico de Ciberseguridad. Módulo 3 - 21 diciembre, 2024
- Episodio 7: Qué es el ‘Scareware’ - 29 noviembre, 2024
