Wie IoT Geräte zum Magnet für Cyber-Angriffe werden
IoT Geräte sind häufig ungeschützt und tauschen Daten unverschlüsselt aus – ideale Voraussetzung für Cyberangreifer
Sergej Epp
Mit dem expandierenden Internet der Dinge wächst auch die Cyberangriffsfläche, wovor Sicherheitsexperten warnen. IoT-Geräte gelten als anfällig für Cyberangriffe. Wie es um die
Sicherheit der IoT-Landschaft steht, zeigt eine aktuelle Studie von Palo Alto Networks. Die hauseigene Forschungsabteilung Unit 42 hat Sicherheitsvorfälle in IoT-Umgebungen in den Jahren 2018 und 2019 analysiert. Die Ergebnisse sind alles andere als beruhigend. Die Angreifer setzen mittlerweile zum einen gezielt neue IoT-Malware ein und zum anderen gelingt es ihnen immer wieder, über seit Jahren bekannte, ältere Schwachstellen IoT-Geräte zu kompromittieren.
UNGESCHÜTZTE GERÄTE, UNVERSCHLÜSSELTER DATENVERKEHR UND ANFÄLLIGE
PROTOKOLLE
Der Studie zufolge sind 57 Prozent der IoT-Geräte anfällig für Cyberangriffe mittleren bis hohen Ausmaßes. Es fällt nicht schwer einzugestehen, dass das Internet der Dinge ein attraktives, weil einfaches Angriffsziel für Cyberkriminelle ist. Nahezu der gesamte IoT-Datenverkehr (98 Prozent) läuft ohne Verschlüsselung ab, wodurch mitunter sensible Betriebsdaten gefährdet sind. Die Angreifer müssen nicht einmal besonders kreativ sein, um sich Zugang zu verschaffen. Auch an die Firmeninternen IoT Geräte kommen die Angreifer leicht ran. Die erste Hürde überwinden sie meist durch Phishing-Angriffe.
Im Netzwerk angelangt, richten sie einen C2-Kanal (Command-and-Control) ein, um weitere Aktivitäten wie die seitliche Bewegung und Auskundschaftung zu steuern. Haben sie sich zu den kritischen Ressourcen vorgearbeitet, können sie Daten abfangen oder Betriebsprozesse stören. Den bösartigen Zugriff auf die Endgeräte erleichtert die Tatsache, dass die meisten IoT Geräte nicht gepatcht werden. Da sie oft überhaupt nicht verwaltet werden, entziehen sie sich der Kontrolle seitens der IT-Abteilung. Typische IoT-Exploits richten sich somit vor allem gegen veraltete Betriebssysteme, die herstellerseitig nicht mehr mit Patches versorgt werden, wie das zuletzt von Microsoft in Rente geschickte Windows 7. Der ohnehin niedrige Sicherheitsstandard wird zusätzlich untergraben durch die
dauerhafte Verwendung von Standard-Passwörtern, statt individuelle, sichere Passwörter pro Gerät zu vergeben. In industriellen Steuerungssystemen werden ältere Protokolle, die viele Sicherheitslücken aufweisen, zum gravierenden Sicherheitsproblem. Protokolle wie IPPC, Modbus, OPC oder Profinet waren lange Zeit nur für den isolierten OT-Betrieb (operative Technologien) vorgesehen. Im Zuge der zunehmenden Vernetzung und Anbindung an das Internet sind OT-Protokolle von gestern den Internetbedrohungen von heute ausgesetzt.
ANGREIFER SETZEN AUF SCHWACHE PASSWÖRTER, BOTNETS, BACKDOOORS UND PEER-TO-PEER-C2
Mirai scannt über das Internet erreichbare Geräte, die keinen Passwortschutz, schwache Passwörter oder Standardpasswörter nutzen. Seit 2019 nimmt eine neue Mirai-Familie
verstärkt IoT-Geräte in Unternehmen ins Visier, wie etwa drahtlose Präsentationssysteme, Videokameras, Netzwerkkomponenten und WirelessController. Einige IoT-Umgebungen waren bereits vor Jahren Ziel von Cyberangriffen. Botnets spielen ebenfalls eine große Rolle bei den typischen IoT-Bedrohungsszenarien. Die Mirai-Schadsoftware kapert IoTGeräte, um sie für Netzwerkangriffe im großen Stil kurzerhand in Remote-Bots umzufunktionieren. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) warnt vor Mirai als IoT-Malware, die Geräte wie Router, Kameras und Smart-TVs infiziert, um sie als Mitglieder eines Botnets fernzusteuern. Ziel der Cyberkriminellen ist es meist, DDoS-Angriffe (Distributed Denialof-Service) auszuführen und weitere Systeme zu infizieren. Übriggeblieben sind versteckte Backdoors, die eigentlich längst entfernt sein sollten. Problematisch sind ebenfalls Sicherheitslücken in IoT-Hardware mit Cloud-Anbindung, wie PTZ-Kameras mit RemoteFunktion. Eine weitere Taktik ist dezentrale C2-Kommunikation nach dem Peer-to-Peer-Prinzip. Die Angreifer steuern über einen Server die netzwerkinterne Kommunikation
mehrerer kompromittierter IoT-Geräte untereinander. Hierzu reichen minimale Eingriffe von außen.
EINFALLSTOR FÜR DDOS-ANGRIFFE
DDoS-Angriffe werden größer, sie halten länger an und könnten zu einer noch kritischeren Bedrohung werden angesichts der wachsenden Zahl unsicherer IoT-Geräte. Unternehmen müssen immer mehr IoT-Geräte verwalten, von IP-Telefonen über Drucker, Kameras, IoT-Gateways bis hin zu Wearables in der Logistik. Die Geräte, die unter allen IoT-Geräten in Unternehmensumgebungen die meisten Sicherheitsprobleme mit sich bringen, sind Kameras, wie Unit 42 untersucht hat. Was die IoT-Sicherheit erschwert, ist, dass die verschiedenen Arten von IoT-Geräten ein sehr unterschiedliches normales Verhalten haben können. Aus diesem Grund ist es sehr wichtig, all diese Geräte, die sich unterschiedlich verhalten, intelligenter zu überwachen. So können zum Beispiel IoT-Kameras ein anderes normales Verhalten aufweisen als IoT-Thermostate. Erst wenn bekannt ist, wie das
normale Verhalten eines Geräts aussieht, wird deutlich, dass sich etwas Ungewöhnliches tut. Können diese verdächtigen Aktivitäten erkannt und einem bestimmten Gerät zugewiesen werden, kann das Sicherheitsteam gezielt eingreifen.
Oft ist nicht einmal bekannt, welche Arten von vernetzten Geräten sich bereits in einer gewöhnlichen Büroumgebung befinden und was das bedeutet. Bei einem Netzwerkdrucker wird nicht bedacht, dass er Cyberangreifern als Brückenkopf für die seitliche Bewegung zu anderen Rechnern im Netzwerk dienen oder bei einem DDoS-Angriff verwendet werden könnte. Daher gilt es die Denkweise in den Unternehmen, aber auch bei den Herstellern von IoT-Hardware zu ändern. IoT-Sicherheit muss zur obersten Priorität werden, die im B2B Konsens dringend angegangen werden muss.
OHNE SCHUTZMASSNAHMEN WERDEN IOT-SICHERHEITSPROBLEME ZUNEHMEN
Die Betriebssicherheit ist aufgrund der besonderen Eigenschaften der IoT-Geräte sehr wichtig. Dies gilt nicht nur, weil im Ernstfall kritische Prozessdaten und die Privatsphäre beeinträchtigt werden, sondern auch, weil die Geräte mit vielen anderen Netzwerken verbunden sind. Hacker können IoT-Komponenten als einfache Ziele angreifen, um sich zu kritischeren, sensiblen Informationen in der Unternehmensumgebung Zugang zu verschaffen. Immer mehr Unternehmen schenken der IoT-Sicherheit bereits Aufmerksamkeit. Von staatlicher Regulierungsseite sind auch Schritte zu erwarten, bevor es zu gravierenden Sicherheitsvorfällen bei kritischen Infrastrukturen oder in Industrieanlagen
kommt.
IoT-Geräte kontrollieren Fertigungs- und Versorgungsprozesse, daher gilt es unbedingt deren reibungslose Funktion aufrechtzuerhalten und Sicherheitsrisiken einzudämmen. Angesichts der riesigen Menge an IoT-Geräten ist es jedoch unmöglich, jedes einzelne manuell zu verwalten. Daher sind geeignete Mechanismen und Werkzeuge erforderlich, um diese Geräte zu identifizieren, zu schützen und sinnvoll segmentieren zu können. Effektives IoT-Sicherheitsmanagement beginnt mit Sichtbarkeit. Wenn nicht bekannt ist, welche IoT-Geräte im Netzwerk aktiv sind und welche Funktion sie ausüben, gibt es keine Möglichkeit, sie zu schützen. Deswegen sind alle IoT-Geräte während ihres gesamten Lebenszyklus zu verwalten. Solange Patches verfügbar sind, müssen diese aufgespielt werden, bis zur endgültigen Außerbetriebnahme. Während der gesamten Betriebsdauer muss stets maximale Sicherheit gewährleistet sein.
IDENTIFIZIERUNG ALLER IOT-GERÄTE UND CLOUD-BASIERTE ÜBERWACHUNG
Herkömmliche Endpunkt- und Netzwerksicherheitslösungen sind für computerbasierte Hardware vorgesehen, die sogenannte Agenten ausführen kann. IoT-Geräte mit spezifischen und/oder veralteten Betriebssysteme unterstützt oft keine Agenten, sodass
IoT-Geräte als unbekannte Endpunkte identifiziert werden und nicht effektiv geschützt werden können. Hierzu müsste der Gerätetyp, das reguläre Verhalten und das mögliche Risikoprofil bekannt sein.
Abhilfe schafft eine netzwerkbasierte Überwachung mit intelligenter verhaltensbasierter Analyse. Hierbei kommen KI- und ML-basierte (Künstliche Intelligenz; Machine Learning)
Erkennungsmethoden zum Einsatz, um Bedrohungen zu identifizieren. Unverzichtbar ist die vollständige Erfassung der gesamten IoT-Umgebung als mögliche Angriffsfläche und die
kontextbezogene Überwachung des kompletten IoT-Geräteparks. Dieser zeitgemäße Ansatz ist vielversprechend, um auch künftig zu erwartenden Bedrohungsszenarien entgegenzuwirken.
