Que signifie la nouvelle publication IoT du NIST (NISTIR 8228) pour vos appareils

Récemment, le National Institute of Standards and Technology (NIST) a publié un projet de publication, NIST Internal Report (NISTIR) 8228, Considerations for Managing Internet of Things (IoT) Cybersecurity and Privacy Risks. Il est destiné à servir de base à une série de publications sur la façon de gérer les risques de cybersécurité et de confidentialité associés aux appareils IoT.

Le NISTIR 8228 s'adresse à la fois aux agences fédérales et aux organisations privées, et identifie trois graves vulnérabilités de sécurité des appareils IoT. Le NISTIR 8228 définit également trois objectifs pour l'atténuation des risques.

NISTIR 8228―Détail des vulnérabilités de sécurité des appareils IoT

Les appareils IoT interagissent avec le monde physique d'une manière différente des appareils informatiques traditionnels. Contrairement aux ordinateurs, tablettes ou smartphones, les appareils IoT ne fonctionnent pas sur les systèmes d'exploitation Windows ou Mac OS. Pourtant, bon nombre de ces appareils sont connectés à Internet, ce qui permet d'accéder à des réseaux informatiques par ailleurs sécurisés.

Les appareils IoT fonctionnent généralement sur des systèmes d'exploitation propriétaires personnalisés qui sont difficiles ou impossibles à surveiller et à corriger pour le personnel informatique. parties sensibles du réseau. Si des pirates accèdent à un appareil IoT sur le réseau, généralement parce qu'ils ont localisé une vulnérabilité dans le système d'exploitation conçu et installé par le fabricant de l'appareil, ils peuvent lancer une attaque sur n'importe quel ordinateur connecté à ce réseau. Le type d'attaque le plus courant est une simple attaque par force brute par mot de passe SSH, qui utilise généralement uniquement les informations d'identification par défaut.

En outre, les appareils IoT peuvent être recrutés en tant que botnets à utiliser dans des attaques par déni de service distribué (DDoS). En octobre 2016, le service de domaine Internet Dyn a subi la plus grande attaque DDoS de l'histoire. Les attaquants ont recruté des millions d'appareils IoT non sécurisés dans une armée de botnets pour diriger un trafic massif vers les sites Dyn, ce qui ralentit le trafic et finit par faire planter les sites. Les pirates ont eu accès aux appareils IoT en exploitant les vulnérabilités du logiciel propriétaire du système d'exploitation des appareils.

Les risques ne s'arrêtent pas là. Certains appareils IoT ont la capacité d'apporter des modifications aux systèmes physiques tels que le CVC, les ascenseurs, les systèmes de gicleurs et d'autres qui, s'ils sont réquisitionnés, pourraient entraîner des dommages physiques ou des risques pour la sécurité.

Vous cherchez un moyen sécurisé de mettre en œuvre un système de suivi IoT pour votre entreprise ? Inscrivez-vous pour une démo gratuite de LinkLabs.

Recommandations du cadre NIST IoT

Pour faire face aux risques de cybersécurité et de confidentialité, le cadre NIST IoT recommande des actions que les organisations peuvent prendre tout au long du cycle de vie des appareils IoT. Ceux-ci incluent :

• Comprendre les défis liés aux risques.
• Ajuster les politiques et les processus organisationnels pour relever ces défis.
• Mettre en œuvre des pratiques d'atténuation des risques mises à jour pour les appareils IoT.

Selon le NIST, l'établissement de bases de référence en matière de sécurité et de confidentialité pour aider à atténuer les risques a suscité un grand intérêt. Une grande partie de l'accent a été mis sur les fabricants qui intègrent des capacités de sécurité et de confidentialité à leurs appareils. Bien que cela puisse être la solution à l'avenir, il existe actuellement des millions d'appareils IoT en cours d'utilisation qui ne disposent pas de ces capacités. Il faudra du temps aux fabricants pour améliorer la sécurité et la capacité de confidentialité avant la commercialisation et l'intégrer dans leurs appareils ; il y aura également des défis supplémentaires autour de l'ajout de ces capacités sans rendre les appareils IoT trop coûteux.

Il existe d'autres considérations décrites dans le cadre NIST IoT concernant le type et le niveau de sécurité requis par les différents appareils IoT. Pour certains, seul l'appareil lui-même peut avoir besoin d'une protection. D'autres appareils peuvent avoir besoin de la sécurité des données en plus de la sécurité des appareils, et certains peuvent avoir besoin d'une protection de la confidentialité ainsi que de la sécurité des appareils et des données. À ce jour, ces exigences discrètes n'ont pas été différenciées, laissant les organisations décider lesquelles s'appliquent à un appareil IoT particulier et à son utilisation.

Le cadre NIST IoT fournit un point de départ utile pour traiter les risques associés aux appareils IoT non sécurisés, mais ce n'est que la première étape. Les défis de la conception et de la construction d'appareils sécurisés rentables et de la gestion des risques posés par les millions d'appareils IoT déjà utilisés restent à venir.

Deux ans se sont écoulés depuis que l'attaque Dyn a démontré les vulnérabilités de nombreux appareils IoT actuellement utilisés, et il est probable que plusieurs autres s'écouleront avant que les fabricants de ces appareils trouvent des solutions précommerciales pour les risques de sécurité. Comment les entreprises peuvent-elles atténuer les risques posés par les appareils IoT qu'elles utilisent pour le suivi et la surveillance automatisés des actifs et des matériaux dans l'intervalle ?

Une approche simple qui peut considérablement augmenter la sécurité des appareils IoT standard consiste simplement à modifier les mots de passe par défaut programmés dans les appareils par les fabricants. Il s'agit d'une solution simple pour les consommateurs, qui peuvent n'avoir que quelques appareils IoT. Mais pour les entreprises qui utilisent des centaines d'appareils ou plus pour le suivi et la surveillance des actifs, ce n'est pas satisfaisant, en raison du temps et de la main-d'œuvre nécessaires pour reprogrammer des centaines d'étiquettes.

Si votre entreprise recherche un moyen sécurisé de mettre en œuvre la technologie IoT, contactez Link Labs. Notre système AirFinder isole les appareils IoT sur des réseaux dédiés séparés des réseaux informatiques de l'entreprise et n'utilise pas de protocoles IP standard, ce qui les rend difficiles à compromettre. Pour les réseaux étendus, notre système Symphony Link intègre une infrastructure à clé publique (PKI), considérée comme sécurisée par les normes de la NSA, un micrologiciel sans fil pour corriger rapidement et facilement les vulnérabilités sans accès physique aux appareils, la norme de cryptage avancée en temps réel ( échange de clés AES) et sécurité de niveau de transport (TLS) de niveau bancaire pour le trafic réseau. Pour des systèmes de suivi sécurisés qui sont faciles à déployer et évitent les risques de sécurité IoT courants décrits dans NISTIR 8228, contactez Link Labs dès aujourd'hui.