A Internet das Coisas mais conhecida como IoT (Internet of Things), é uma rede de dispositivos inteligentes que se conectam entre si para trocar dados via internet sem qualquer intervenção humana.
A arquitetura dos sistemas IoT geralmente consiste em redes sem fio, bancos de dados em nuvem para comunicação, sensores, programas de processamento de dados e dispositivos inteligentes que interagem de perto uns com os outros. Os sistemas IoT usam os seguintes componentes para trocar e processar dados:
- Dispositivos inteligentes que coletam, armazenam e compartilham dados sobre o ambiente e outros dispositivos e componentes
- Sistemas embarcados usados por dispositivos inteligentes que podem incluir vários processadores, sensores e hardware de comunicação cujo objetivo é coletar, enviar e agir sobre os dados adquiridos dos ambientes
- Gateways IoT , hubs ou outros dispositivos de borda que roteiam dados entre dispositivos IoT e a nuvem
- Data centers na nuvem ou no local com servidores remotos que trocam dados por meio de conexões sem fio
As tecnologias IoT são usadas em vários setores: manufatura, automotivo, saúde, logística, energia, agricultura e muito mais. Os dispositivos inteligentes podem variar de sensores simples a hardware de análise de DNA, dependendo dos objetivos de um sistema de IoT específico.
Por que a segurança da IoT é importante?
Uma aplicação tão ampla de sistemas IoT exige que as organizações prestem uma atenção especial à segurança do sistema.
Qualquer vulnerabilidade pode levar a uma falha do sistema ou a um ataque de hackers, que, por sua vez, pode afetar centenas ou milhares de pessoas. Por exemplo, os semáforos podem parar de funcionar, causando acidentes rodoviários; ou um sistema de segurança residencial pode ser desligado por ladrões. Como alguns dispositivos IoT são usados para assistência médica ou proteção humana, sua segurança pode ser crucial para a vida das pessoas.
Outra razão importante para priorizar a segurança ao desenvolver sistemas IoT é manter seus dados seguros. Os dispositivos inteligentes coletam toneladas de dados confidenciais, incluindo informações de identificação pessoal, que devem ser protegidas por várias leis, padrões e regulamentos de segurança cibernética. O comprometimento dessas informações pode resultar em ações judiciais e multas. Também pode levar a danos à reputação e à perda da confiança do cliente.
5 desafios de segurança mais comuns da Internet das Coisas
De janeiro a junho de 2021, houve 1,51 bilhão de violações de dispositivos IoT, enquanto durante todo o ano de 2020 a Kaspersky relatou 639 milhões de violações. Subestimar a importância da segurança cibernética no desenvolvimento de sistemas IoT é inaceitável.
Para entender como proteger os sistemas IoT, é essencial explorar primeiro os possíveis riscos de segurança cibernética. Aqui está uma lista de desafios de segurança comuns com a Internet das Coisas:
1. Vulnerabilidades de software e firmware
Garantir a segurança dos sistemas IoT é complicado, principalmente porque muitos dispositivos inteligentes têm recursos limitados e poder de computação limitado. Assim, eles não podem executar funções de segurança poderosas e famintas por recursos e provavelmente terão mais vulnerabilidades do que dispositivos não IoT.
Muitos sistemas IoT têm vulnerabilidades de segurança pelos seguintes motivos:
- Falta de capacidade computacional para segurança integrada eficiente
- Controle de acesso deficiente em sistemas IoT
- Orçamento limitado para testar adequadamente e melhorar a segurança do firmware
- Falta de patches e atualizações regulares devido a orçamentos limitados e limitações técnicas de dispositivos IoT
- Os usuários podem não atualizar seus dispositivos, restringindo assim a correção de vulnerabilidades
- Com o tempo, as atualizações de software podem ficar indisponíveis para dispositivos mais antigos
- Proteção deficiente contra ataques físicos: um invasor pode se aproximar o suficiente para adicionar seu chip ou hackear o dispositivo usando ondas de rádio
Hackers mal-intencionados visam aproveitar as vulnerabilidades encontradas em um sistema de IoT de destino para comprometer suas comunicações, instalar malware e roubar dados valiosos. Por exemplo, o uso de credenciais vulneráveis, como senhas fracas ou padrão, permitiu que hackers invadissem câmeras inteligentes Ring . Eles até conseguiram se comunicar com as vítimas remotamente usando o microfone e os alto-falantes da câmera.
2. Comunicações inseguras
A maioria dos mecanismos de segurança existentes foram inicialmente projetados para computadores desktop e são difíceis de implementar em dispositivos IoT com recursos limitados. É por isso que as medidas de segurança tradicionais não são tão eficientes quando se trata de proteger a comunicação de dispositivos IoT.
Uma das ameaças mais perigosas causadas por comunicações inseguras é a possibilidade de um ataque man-in-the-middle (MitM) . Os hackers podem facilmente realizar ataques MitM para comprometer um procedimento de atualização e assumir o controle do seu dispositivo se ele não usar mecanismos seguros de criptografia e autenticação. Os invasores podem até instalar malware ou alterar a funcionalidade de um dispositivo. Mesmo que seu dispositivo não seja vítima de um ataque MitM, os dados que ele troca com outros dispositivos e sistemas ainda podem ser capturados por cibercriminosos se seu dispositivo os enviar em mensagens de texto simples.
Os dispositivos conectados são suscetíveis a ataques de outros dispositivos. Por exemplo, se os invasores obtiverem acesso a apenas um dispositivo em uma rede doméstica, eles poderão comprometer facilmente todos os outros dispositivos não isolados.
3. Vazamentos de dados de sistemas IoT
Já estabelecemos que, ao capturar mensagens não criptografadas do seu sistema IoT, os hackers podem ter acesso aos dados que ele processa. Isso pode incluir até mesmo dados confidenciais, como sua localização, detalhes da conta bancária e registros de saúde. No entanto, abusar de comunicações mal protegidas não é a única maneira de os invasores coletarem dados valiosos.
Todos os dados são transferidos e armazenados na nuvem, e os serviços hospedados na nuvem também podem sofrer ataques externos. Assim, são possíveis vazamentos de dados tanto dos próprios dispositivos quanto dos ambientes de nuvem aos quais estão conectados.
Os serviços de terceiros em seus sistemas IoT são outra fonte possível de vazamento de dados. Por exemplo, descobriu-se que as campainhas inteligentes Ring enviavam dados de clientes para empresas como Facebook e Google sem o devido consentimento do cliente. Este incidente ocorreu devido a serviços de rastreamento de terceiros ativados no aplicativo móvel Ring.
4. Riscos de malware
Um estudo recente da Zscaler descobriu que os dispositivos com maior risco de serem invadidos por um ataque de malware eram decodificadores, TVs inteligentes e relógios inteligentes.
Se os invasores encontrarem uma maneira de injetar malware em um sistema IoT, eles poderão alterar sua funcionalidade, coletar dados pessoais e iniciar outros ataques. Além disso, alguns dispositivos podem ser infectados com vírus imediatamente se os fabricantes não garantirem a segurança adequada do software.
Algumas organizações já encontraram maneiras de lidar com o malware mais famoso direcionado à IoT. Por exemplo, um agente do FBI compartilhou como a agência parou os ataques do botnet Mirai , e a Microsoft lançou um guia sobre como defender proativamente seus sistemas contra o botnet Mozi IoT .
No entanto, os hackers continuam inventando novas maneiras de abusar das redes e dispositivos IoT. Em 2021, pesquisadores descobriram que o BotenaGo , malware escrito em Golang, pode explorar mais de 30 vulnerabilidades diferentes em dispositivos inteligentes.
5. Ciberataques
Além dos ataques de malware e MITM discutidos acima, os sistemas IoT também podem ser suscetíveis a vários ataques cibernéticos. Aqui está uma lista dos tipos mais comuns de ataques em dispositivos IoT:
- Ataques de negação de serviço (DoS). Os dispositivos IoT têm poder de processamento limitado, o que os torna altamente vulneráveis a ataques de negação de serviço. Durante um ataque DoS, a capacidade de um dispositivo de responder a solicitações legítimas é comprometida devido a uma enxurrada de tráfego falso.
- Ataques de negação de sono – Denial-of-Sleep Attacks (DoSL). Os sensores conectados a uma rede sem fio devem monitorar continuamente o ambiente, portanto, geralmente são alimentados por baterias que não requerem carregamento frequente. A energia da bateria é preservada mantendo o dispositivo no modo de suspensão a maior parte do tempo. Os modos de suspensão e vigília são controlados de acordo com as necessidades de comunicação de diferentes protocolos, como controle de acesso ao meio (MAC). Os invasores podem explorar vulnerabilidades do protocolo MAC para realizar um ataque DoSL. Este tipo de ataque drena a energia da bateria e, portanto, desativa o sensor.
- Falsificação de dispositivo. Este ataque é possível quando um dispositivo implementou incorretamente assinaturas digitais e criptografia. Por exemplo, uma infraestrutura de chave pública (PKI) ruim pode ser explorada por hackers para “falsificar” um dispositivo de rede e interromper as implantações de IoT.
- Intrusão física. Embora a maioria dos ataques seja realizada remotamente, a invasão física de um dispositivo também é possível se for roubado. Os invasores podem adulterar os componentes do dispositivo para fazê-los operar de maneira não intencional.
- Ataques baseados em aplicativos. Esses tipos de ataques são possíveis quando há vulnerabilidades de segurança no firmware ou software do dispositivo usado em sistemas incorporados ou pontos fracos em servidores em nuvem ou aplicativos de back-end.
Com esses desafios em mente, vamos seguir para as práticas recomendadas de segurança da Internet das Coisas que podem ajudá-lo a proteger seu sistema IoT.
Práticas recomendadas para garantir a segurança dos sistemas IoT
As melhores práticas de segurança de IoT podem ajudá-lo a aumentar a proteção de três componentes principais dos sistemas de IoT: dispositivos, redes e dados. Vamos começar discutindo maneiras de proteger dispositivos inteligentes.
1. Dispositivos inteligentes seguros
- Garanta hardware resistente a adulterações. Os dispositivos IoT podem ser roubados por invasores para adulterá-los ou acessar dados confidenciais. Para proteger os dados do dispositivo, é necessário tornar seu produto à prova de adulteração. Você pode garantir a segurança física usando travas de porta ou tampas de câmera, bem como aplicando senhas fortes no nível de inicialização ou adotando outras abordagens que desativem o produto em caso de adulteração.
- Fornecer patches e atualizações. A manutenção contínua do dispositivo implica custos adicionais. No entanto, a segurança adequada do produto pode ser garantida apenas com atualizações e patches constantes. É melhor estabelecer atualizações de segurança automáticas e obrigatórias que não exigem ações dos usuários finais. Informe os consumidores sobre o período de tempo durante o qual você oferecerá suporte ao produto e diga aos usuários o que eles devem fazer após o término desse período. Depois que seu sistema for lançado, fique de olho nas vulnerabilidades futuras e desenvolva as atualizações de acordo.
- Execute testes completos. O teste de penetração é sua principal ferramenta para encontrar vulnerabilidades no firmware e software de IoT e reduzir ao máximo a superfície de ataque. Você pode usar a análise estática de código para encontrar as falhas mais óbvias e pode usar testes dinâmicos para descobrir vulnerabilidades bem ocultas.
- Implemente proteções de dados do dispositivo. Os dispositivos IoT devem garantir a segurança dos dados durante e após a exploração. Certifique-se de que as chaves criptográficas estejam armazenadas na memória não volátil do dispositivo. Além disso, você pode oferecer o descarte de produtos usados ou fornecer uma maneira de descartá-los sem expor dados confidenciais.
- Atenda aos requisitos de desempenho do componente. O hardware do dispositivo IoT precisa atender a determinados requisitos de desempenho para garantir a usabilidade adequada. Por exemplo, o hardware IoT deve usar pouca energia, mas oferecer alta capacidade de processamento. Além disso, os dispositivos devem garantir autorização robusta, criptografia de dados e conexões sem fio. Também é preferível que sua solução de IoT funcione mesmo que sua conexão com a Internet seja temporariamente interrompida.
2. Redes seguras
- Garanta uma autenticação forte. Isso pode ser feito usando credenciais exclusivas. Ao nomear ou endereçar seus produtos, use os protocolos mais recentes para garantir sua funcionalidade por um longo tempo. Se possível, forneça ao seu produto autenticação multifator.
- Habilite a criptografia e protocolos de comunicação seguros. A comunicação entre dispositivos também requer proteção de segurança. No entanto, os algoritmos criptográficos devem ser adaptados às capacidades limitadas dos dispositivos IoT. Para esses fins, você pode aplicar Transport Layer Security ou Lightweight Cryptography . Uma arquitetura IoT permite que você use tecnologias sem fio ou com fio, como RFID, Bluetooth, Celular, ZigBee, Z-Wave, Thread e Ethernet. Além disso, você pode garantir a segurança da rede com protocolos otimizados, como IPsec e Secure Sockets Layer .
- Minimize a largura de banda do dispositivo. Limite o tráfego de rede à quantidade necessária para o funcionamento do dispositivo IoT. Se possível, programe o dispositivo para limitar a largura de banda no nível do hardware e do kernel e revelar tráfego suspeito. Isso protegerá seu produto de possíveis ataques DoS. O produto também deve ser programado para reinicializar e limpar o código caso seja detectado malware, pois o malware pode ser usado para sequestrar o dispositivo e usá-lo como parte de uma botnet para realizar ataques DoS distribuídos.
- Divida as redes em segmentos. Implemente a segurança de firewall de próxima geração separando grandes redes em várias redes menores. Para isso, use intervalos de endereços IP ou VLANs. Para conexões de internet seguras, implemente uma VPN em seu sistema IoT.
3. Dados seguros
- Proteja informações confidenciais. Instale senhas exclusivas para cada produto ou exija atualizações imediatas de senha no primeiro uso de um dispositivo. Aplique uma autenticação robusta para garantir que apenas usuários válidos tenham acesso aos dados. Para ir além para uma melhor proteção de privacidade, você também pode implementar um mecanismo de redefinição para permitir a exclusão de dados confidenciais e a limpeza das configurações se o usuário decidir devolver ou revender o produto.
- Colete apenas os dados necessários. Certifique-se de que seu produto IoT colete apenas os dados necessários para sua operação. Isso reduzirá o risco de vazamento de dados, protegerá a privacidade dos consumidores e eliminará os riscos de não conformidade com vários regulamentos, padrões e leis de proteção de dados.
- Comunicações de rede seguras. Para maior segurança, restrinja a comunicação desnecessária do seu produto na rede IoT. Não confie inteiramente no firewall da rede e garanta uma comunicação segura tornando seu produto invisível por meio de conexões de entrada por padrão. Além disso, use métodos de criptografia otimizados para as necessidades dos sistemas IoT, como o Advanced Encryption Standard , Triple DES , RSA e Digital Signature Algorithm .
CYBER DICA!
Se você ficou interessado nesta área e quer começar do zero ou já trabalha com Tecnologia da Informação e quer migrar para Cibersegurança, recomendo fortemente o Curso Hacker Ético da Danki.Code. Clique aqui e saiba mais sobre o que você irá aprender e com isso se tornar um profissional de uma das áreas que esta com grande demanda no mercado de trabalho nos dias atuais.
