GReAT
Sofern Ihr Netzwerk lediglich aus Servern und Workstations besteht, können Cybersicherheits-Lösungen für ihren Schutz sorgen. Beim Internet der Dinge (IoT) sieht dies allerdings völlig anders aus. Zunächst fehlt es der Branche im Allgemeinen an Standardisierung, weshalb Entwickler das Thema Sicherheit schlichtweg ignorieren können. Daher weisen viele IoT-Geräte häufig Sicherheitslücken oder Schwachstellen auf; viele von ihnen sind darüber hinaus oftmals falsch konfiguriert oder vom Internet aus zugänglich. Aber nicht nur um die Sicherheit von Büro- oder Heim-IoT-Geräten steht es schlecht – auch das industrielle Internet der Dinge lässt in Sachen Sicherheit einiges zu wünschen übrig.
Fallbeispiele
Beispiele gibt es wie Sand am Meer; auf Securelist können Sie in unserem Beitrag „Gas is too expensive? Let’s make it cheap!“ mehr über eine kürzliche Entdeckung unserer Forscher erfahren. Ido Naor, Senior Security Researcher unseres Global Research and Analysis Teams (GReAT), veröffentlichte gemeinsam mit seinem Kollegen Amihai Neiderman von Azimuth Security eine Untersuchung zu einer Schwachstelle in dem Automatisierungsgerät einer Tankstelle. Das Gerät war direkt mit dem Internet verbunden und für die Verwaltung aller Komponenten der Tankstelle zuständig, darunter auch Zapfsäulen und Zahlungsterminals.
Die Tatsache, dass mit Standardzugangsdaten auf die Web-Schnittstelle des Geräts zugegriffen werden konnte, war jedoch noch alarmierender. Die Forscher untersuchten den Software-Code des Geräts genauer und fanden Möglichkeiten, die gesamte Tankungsanlage zu schließen, Treibstofflecks zu verursachen, den Treibstoffpreis zu ändern, das Zahlungsterminal zu umgehen (um Geld zu stehlen), Autokennzeichen und Fahreridentitäten zu entwenden, Code auf der Controllereinheit auszuführen und sich sogar frei innerhalb des Netzwerkes der Tankstelle zu bewegen.
Wir erklären Ihnen, weshalb die #IoT-Sicherheit gestärkt werden muss und wie wir bei Kaspersky Lab zur Lösung des Problems beitragen.
Tweet
Die Forscher meldeten die entdeckten Sicherheitslücken sowohl dem Gerätehersteller als auch der Organisation MITRE Corporation, um einen CVE-Eintrag vorzumerken. Es gibt keinerlei Beweise dafür, dass Kriminelle versucht haben, die aufgedeckten Schwachstellen in irgendeiner Art und Weise auszunutzen, bevor sie von den White Hats entdeckt worden sind. Wenn man jedoch Statistiken zu den Vorfällen mit den größten finanziellen Auswirkungen betrachtet, kann festgestellt werden, dass sich die Vorfälle vernetzter Geräte, bei denen es sich nicht um Computer handelt, in den Top 3 befinden und mit einem durchschnittlichen Schaden von 114.000 US-Dollar einhergehen.
Die Lösung des Problems
Die Notwendigkeit von IoT-Cybersicherheitsstandards steht außer Frage. Normungsgremien müssen IoT-Sicherheitsprobleme klassifizieren, potenzielle Bedrohungen untersuchen und festlegen, wie Cybersicherheitsmaßnahmen die sichere Ausführung von IoT-Systemaufgaben unterstützen können. Die von der 20. Studiengruppe der ITU-T (Internationale Fernmeldeunion – Telekommunikationsektor) entwickelte Empfehlung ITU-T Y.4806 („Sicherheitsfunktionen zur Unterstützung der Sicherheit des Internets der Dinge“), ist eine mögliche Antwort auf das Problem.
Kaspersky Lab war als Mitglied der 20. ITU-T-Studiengruppe einer der Hauptverantwortlichen für die Entwicklung der Empfehlung ITU-T Y.4806. Unsere Experten von Kaspersky Lab ICS CERT teilten ihr Fachwissen und erstellten eine Auflistung wichtiger Punkte, die dazu beitragen können, ein zuverlässiges Schutzniveau in der Praxis zu etablieren. Sie finden diese sowie weitere Empfehlungen in der Empfehlung ITU-T Y.4806.
Die Empfehlung ITU-T Y.4806 ist vor allem auf sicherheitskritische IoT-Systeme wie Industrieautomatisierung, Automobilsysteme, Transportmittel, Smart Cities sowie tragbare und unabhängige medizinische Geräte anwendbar.
Tipps