Die Vernetzung von Gebäuden und Wohnhäusern durch IoT-Automatisierungsplattformen führt zu neuen physischen und datenbezogenen Bedrohungen. Trend Micro veröffentlicht aktuelle Forschungsergebnisse dazu. [...]
Der neue Trend-Micro-Bericht „Cybersecurity Risks in Complex IoT Environments: Threats to Smart Homes, Buildings and Other Structures“ warnt davor, dass Automatisierungsplattformen beim Vernetzen mehrere Geräte, um benutzerfreundliche intelligente Anwendungen zu erstellen versehentlich neu und unvorhersehbare Angriffsflächen schaffen.
„IoT-Geräte, ihre Anwendungen und die Umgebungen, in denen sie eingesetzt werden, sind alle sehr schnell komplexer geworden, doch Sicherheit ist immer noch nicht in diese Geräte integriert“, sagt Udo Schneider, Security Evangelist bei Trend Micro. „Personen- und Unternehmensdaten können heute innerhalb des Arbeitsalltags viele Router, eine IoT-Steuerung, verschiedene IoT-Protokolle und mehr durchlaufen. Dies schafft ideale Voraussetzungen für Kriminelle: Warum ein starkes Unternehmen angreifen, wenn das Smart Home eines Mitarbeiters außerhalb des Unternehmensgebäudes äußerst anfällig ist?“
Unabhängig davon, ob ein Smart Building speziell für den Einsatz von IoT gebaut wurde oder nicht, gibt es drei Haupttypen von Automatisierungssystemen, die im Bericht beschrieben werden: Lokale eigenständige Server, Cloud-basierte Server und virtuelle assistentenbasierte Server. Die erste Kategorie ist die am weitesten verbreitete. Aus diesem Grund richtete Trend Micro Research entsprechend zwei Typen, FHEM- und Home Assistant-Server, ein, um 100 angeschlossene Testgeräte über zwei Standorte zu steuern.
Auf dem Weg zur totalen Vernetzung
Ein Bericht von Gartner („How to Secure the Enterprise Against the Internet of Things Onslaught“von Jon Amato und Mark Judd, Dezember 2018) geht davon aus, dass es bis 2021 25,1 Milliarden mit dem Internet verbundene Geräte geben wird. Das entspräche einem Wachstum von 32 Prozent pro Jahr. In diesem Bericht wird auch darauf hingewiesen, dass die rasante Verbreitung von vernetzten Lösungen sich wie folgt zusammenfassen lässt: Alles, was mit dem Internet verbunden werden kann, wird es eines Tages auch sein.
Die Forscher fanden heraus, dass das größte Problem bei Automatisierungsregeln darin besteht, dass sie immer komplexer werden, je mehr Geräte und Funktionen hinzugefügt werden. Sie sind anfällig für Logikfehler und es wird immer schwieriger, Funktionen zu verwalten, zu verfolgen und zu debuggen – insbesondere wenn es funktionale Überschneidungen zwischen Regeln gibt.
Die Forschung zeigt eine Vielzahl neuer Bedrohungen, die speziell für komplexe IoT-Umgebungen relevant sind. Dazu gehört das Klonen der Stimme eines Anwenders, um Befehle über einen Sprachassistenten zu erteilen, das Hinzufügen einer Phantomvorrichtung, um die Anwesenheitserkennung zum Entriegeln der Türen zu überlisten und das Einfügen von Logikfehlern, um intelligente Alarme und mehr auszuschalten.
Der Bericht warnt auch davor, dass viele IoT-Automatisierungsserver im öffentlichen Internet zugänglich sind, darunter 6.200 Home-Assistant-Server, die über eine einfache Shodan-Suche gefunden wurden. Angreifer könnten diese Sicherheitsaufsicht nutzen, um in Smart Buildings einzudringen oder Automatisierungsregeln neu zu programmieren, hartcodierte sensible Daten einschließlich Router-Logins zu stehlen, neue Geräte hinzuzufügen, Geräte mit Malware zu infizieren oder Geräte in Botnets einzubinden.
Tipps für einen besseren Schutz
Trend Micro empfiehlt daher folgende Liste an Vorsichtsmaßnahmen, um die neuen Bedrohungen von komplexen IoT-Umgebungen zu minimieren:
- Passwortschutz aktivieren
- Standardeinstellungen ändern
- Keine Jailbreaks von Geräten oder Installationen von Anwendungen nicht verifizierter Marktplätze Dritter
- Geräte-Firmware aktualisieren
- Verschlüsselung sowohl in Festplatten als auch in Kommunikationsplattformen aktivieren
- Regelmäßige Backups der Konfigurations- und Automatisierungsregeldateien des IoT-Automatisierungsservers erstellen
Interessierte können den vollständigen (englischsprachigen) Bericht hier herunterladen.
Be the first to comment