Het internet of things (iot) speelt een grote rol in onze altijd geïntegreerde en onderling verbonden wereld. Dat klinkt mooi, maar er zijn ook een aantal uitdagingen. Bijvoorbeeld om dit reusachtige netwerk van verbonden apparaten en technologieën te beschermen en bewaken.
Van een pacemaker in de borstkas van een mens of een scherm dat via een netwerk toegankelijk is, tot een auto met sensoren die informatie verzamelen over de motortemperatuur of het vloeistofpeil; iot-apparaten bestaan in allerlei verschillende vormen. Iot heeft een groot aantal voordelen voor bedrijven opgeleverd, omdat het bedrijven in staat stelt om hun systemen actief te observeren en gegevens, inzichten en prestatiecijfers te verzamelen zonder menselijke tussenkomst.
Niet alleen verzamelen, bewaren en delen deze apparaten voortdurend gegevens via internet, ook varieert de manier waarop ze zijn gebouwd enorm, afhankelijk van de functionaliteit van het apparaat, de leverancier en de prijs. Zozeer zelfs dat de FBI onlangs een waarschuwing heeft afgegeven over cybercriminelen die zich richten op apparaten die met internet verbonden zijn. Wat is de oplossing?
Laks
Iot-beveiliging is voor organisaties een nog grotere zorg geworden gezien de recente verschuiving naar werken op afstand als gevolg van de pandemie. Nu mensen voor werk zowel op hun thuisnetwerk als op persoonlijke apparaten vertrouwen, profiteren veel digitale tegenstanders van lakse beveiligingsmaatregelen om aanvallen uit te voeren.
Iot-apparaten zijn niet altijd op dezelfde manier ontwikkeld. Door de behoeften van de leverancier, het apparaat en het gebrek aan internationale regelgeving rond iot zijn apparaten te ontwikkelen met weinig of zelfs geen ingebouwde beveiligingseisen. Bovendien zijn de mogelijkheden om iot-apparaten bij te werken of te patchen tegen kwetsbaarheden opnieuw afhankelijk van de fabrikant en variëren ze enorm. Dit maakt het nog ingewikkelder voor organisaties die hun iot-apparaten veilig en up-to-date willen houden.
Bedreigingsoppervlak
Ondanks dit verhoogde risico en een groter bedreigingsoppervlak, is iot-cybersecurity vaak nog minimaal of wordt het zelfs volledig over het hoofd gezien. Een ontoereikend beveiligingsbeleid vormt een groot risico voor organisaties, aangezien elk apparaat als toegangspoort tot het bredere netwerk kan dienen. Zodra kwaadwillenden toegang krijgen via een apparaat kunnen zij zich zijdelings door de organisatie bewegen, toegang krijgen tot waardevolle bedrijfsmiddelen of kwaadaardige activiteiten uitvoeren, zoals het stelen van gegevens, IP of gevoelige informatie.
Uit onderzoek blijkt dat een derde van de bedrijven die iot gebruiken cybersecurity-problemen in verband met het gebrek aan geschoold personeel als meest kritieke zorg voor hun iot-ecosysteem beschouwen. Dit gebrek aan vaardigheden en kennis resulteert in meerdere veelvoorkomende misstanden op het gebied van cybersecurity, en hier maken cybercriminelen maar al te graag gebruik van.
Daarnaast passen cybercriminelen hun aanvalsmethoden voortdurend aan. Een veelgebruikte aanvalsroute staat bekend als ‘on-path attacks’. Deze zijn afhankelijk van de aard van iot-apparaten die hun gegevens vaak niet standaard versleutelen. De aanvaller kan zich dan tussen twee apparaten verplaatsen die elkaar vertrouwen en alle gegevens die tussen hen worden uitgewisseld ongeoorloofd overzetten op eigen apparaten. Een andere veelvoorkomende kwetsbaarheid is het stelen of ontcijferen van eenvoudige inloggegevens. Deze worden vervolgens gebruikt om langzaamaan toegang te krijgen tot het netwerk en vervolgens beheerderstaken uit te voeren. Denial of service (dos)-aanvallen zijn ook een veelgebruikte techniek. Hierbij krijgen cybercriminelen de controle over een iot-apparaat en sturen ze massaal nepverkeer naar een website. Hierdoor worden servers overspoeld en kunnen legitieme gebruikers hun dagelijkse activiteiten niet meer uitvoeren.
Updaten en patchen
Iot-beveiliging zou deel moeten uitmaken van de algemene cybersecurity-strategie van elke organisatie. Dit omvat het uitvoeren van best practices op het gebied van iot-beveiliging, zoals het updaten en patchen van apparaten, het gebruik van sterke wachtwoorden en multi-factorauthenticatie, het inventariseren van alle aangesloten apparaten en ervoor zorgen dat voor elk apparaat de juiste toegang is ingeschakeld.
Organisaties moeten een alomvattende cybersecurity-strategie ontwikkelen die bescherming biedt tegen een breed scala aan cyberaanvallen op alle apparaten, op zowel endpoint- als netwerkniveau. De iot-beveiligingsmarkt is al aanzienlijk gegroeid in de afgelopen jaren, en dit zal alleen maar toenemen. Bedrijven die waakzaam blijven met hun iot-beveiliging hebben de komende jaren meer kans om het hoofd boven water te houden.
(Auteur Zeki Turedi is cto EMEA bij CrowdStrike.)
