Die versteckten Gefahren von IoT-Geräten - und warum die IT-Abteilung vielleicht nicht weiß, dass es sie gibt

Unter Teil eins dieser Serie, In diesem Artikel haben wir untersucht, wie sich IoT- und OT-Geräte unbemerkt in unserem Zuhause und an unseren Arbeitsplätzen etabliert haben. Jetzt wollen wir über die echten Risiken sprechen, die diese vernetzten Geräte darstellen - und warum IT- und Sicherheitsteams sie oft nicht einmal kommen sehen.

Es ist nicht nur eine intelligente Glühbirne

Auf den ersten Blick erscheint ein IoT-Gerät harmlos. Eine intelligente Glühbirne. Eine Konferenzraumkamera. Ein Wi-Fi-fähiger Thermostat. Welche Bedrohung könnte von ihm ausgehen?

Die Antwort lautet: eine bedeutende.

Die meisten IoT-Geräte werden von Allzweck-Betriebssystemen wie Linux oder BSD betrieben. Das bedeutet, dass sie unter der Haube ähnlich wie jedes andere angeschlossene System funktionieren. Viele werden mit unnötiger Software ausgeliefert, haben ungeschützte Ports und enthalten fest kodierte Anmeldedaten oder offene APIs - perfekte Einstiegspunkte für Angreifer. Noch schlimmer ist, dass die Benutzer kaum einen Überblick darüber haben, was auf diesen Geräten läuft, wie sie kommunizieren oder ob sie kompromittiert wurden.

Die Identitätskrise des IoT: Verbraucher oder Unternehmen?

Der eigentliche Knackpunkt ist, dass diese Geräte nicht immer speziell für den Einsatz in Unternehmen entwickelt wurden.

Ein Unternehmen kauft vielleicht einen Smart-TV für die Lobby oder eine Sicherheitskamera für das Lager in einem örtlichen Elektronikgeschäft - oft das gleiche Modell, das auch an Verbraucher verkauft wird. Aber diese Geräte sind jetzt mit Unternehmensnetzwerken verbunden. Sie kommunizieren möglicherweise mit Cloud-Diensten im Ausland, sind nicht verschlüsselt oder verwenden veraltete Firmware. Und im Gegensatz zu IT-Geräten in Unternehmen wurden sie in der Regel nicht mit Blick auf eine zentrale Verwaltung oder Patching entwickelt.

Dadurch entsteht eine seltsame Grauzone, in der das IoT für Verbraucher zur Unternehmensinfrastruktur wird, jedoch ohne Aufsicht auf Unternehmensebene.

Whitebox-Probleme: Wenn Branding zu blinden Flecken führt

Erschwerend kommt hinzu, dass es sich bei vielen IoT-Geräten um Rebranding-Versionen der gleichen Hardware handelt. Ein Hersteller in Asien könnte eine intelligente Türklingel in Weiß herstellen und sie an 10 verschiedene Unternehmen verkaufen, von denen jedes sein eigenes Logo aufklebt.

Wenn also eine Sicherheitslücke in einer Türklingel der Marke A entdeckt wird, ist wahrscheinlich auch Marke B betroffen. Das heißt, wenn Sie den genauen Chipsatz und die Softwareversion nicht kennen, wissen Sie vielleicht nicht einmal, dass Ihre Geräte anfällig sind - weil die CVE (Common Vulnerabilities and Exposures) unter einem anderen Namen veröffentlicht wurde.

Dieses zersplitterte Ökosystem macht die Erkennung von Bedrohungen und die Verwaltung von Schwachstellen unglaublich schwierig. Es ist das Äquivalent einer Nadel in einem Heuhaufen von identischen Heuhaufen.

Die Update-Täuschung: Man kann nicht flicken, was nicht da ist

Selbst wenn Schwachstellen erkannt werden, ist der Weg zur Behebung oft eine Sackgasse. Viele IoT-Anbieter:

• Geben Sie überhaupt keine Software-Updates heraus.
• Manuelles Patchen von Gerät zu Gerät erforderlich.
• Sperren Sie ihre Firmware, um benutzerinduzierte Änderungen zu verhindern.
• Geben Sie Ihr Unternehmen auf - oder ändern Sie still und leise Ihren Namen - bevor Sie eine Korrektur vornehmen.

Noch frustrierender ist, dass manche Geräte zwar scheinbar “aktualisiert” werden, aber nichts Wesentliches tun, sondern lediglich eine Versionsnummer ändern oder nur kosmetische Funktionen aktualisieren. Dies vermittelt den Unternehmen ein falsches Gefühl der Sicherheit.

Und wenn ein IoT-Anbieter den Betrieb einstellt oder den Support für ein Produkt einstellt, funktioniert das Gerät nicht, sondern läuft weiter, ohne Überwachung und ungeschützt.

Aus den Augen, aus dem Sinn: Die Herausforderung für die Sichtbarkeit der IT

Das Erschreckende daran ist, dass Ihr IT-Team möglicherweise keine Ahnung hat, dass diese Geräte überhaupt im Netzwerk vorhanden sind.

IoT und OT fallen oft in den Zuständigkeitsbereich anderer Abteilungen - Einrichtungen, Betrieb, Sicherheit oder sogar Marketing. Diese Teams beschaffen und installieren Geräte, ohne die IT-Abteilung zu informieren. Manchmal denken sie nicht einmal daran. Für sie ist es nur eine Kamera oder ein Sensor und keine potenzielle Angriffsfläche.

Und zu Hause ist die Lage noch undurchsichtiger. Mitarbeiter, die aus der Ferne arbeiten, haben möglicherweise einen Smart-TV, ein Alexa-Gerät und eine Spielkonsole, die alle dasselbe Wi-Fi-Netzwerk nutzen wie ihr Arbeits-Laptop. Eine Kompromittierung eines dieser Systeme könnte die Tür für eine Seitwärtsbewegung - oder eine Datenexfiltration - öffnen.

Einbrüche in der realen Welt finden bereits statt

Das ist keine Theorie. Angreifer nutzen bereits die blinden Flecken aus, die durch IoT und OT entstehen.

• In einem bekannt gewordenen Fall wurde das Netzwerk eines Kasinos über ein intelligentes Fischthermometer kompromittiert.
• In einem anderen Fall verschafften sich Hacker Zugang zu einer Unternehmensdatenbank, indem sie sich durch eine angeschlossene Kaffeemaschine bewegten.
• In kritischen Infrastrukturumgebungen wurden kompromittierte ICS- und SCADA-Systeme genutzt, um die Wasseraufbereitung, die Energieerzeugung und sogar den Verkehrsfluss zu stören.

Das sind keine Einzelfälle - es sind Warnungen.

Was Sicherheitsverantwortliche als nächstes tun sollten

Wie können wir uns also gegen eine Angriffsfläche verteidigen, die wir oft nicht kontrollieren können?

Beginnen Sie damit, Ihre Einstellung zu überdenken:

• Die Entdeckung von Vermögenswerten ist nicht verhandelbar. Wenn Sie nicht wissen, was sich in Ihrem Netzwerk befindet, können Sie es nicht sichern. Investieren Sie in Tools, die über die Erkennung von Endpunkten hinausgehen und IoT- und OT-Geräte anhand von Verhaltens- und Verkehrsmustern identifizieren können.
• Das Segment ist aggressiv. Lassen Sie IoT- und OT-Geräte niemals im selben Netzwerk wie Kernsysteme arbeiten. Verwenden Sie VLANs, Firewalls und Zero-Trust-Prinzipien, um die Gefährdung zu begrenzen.
• Auf die Politik drängen. Arbeiten Sie mit Einrichtungen, Betrieben und sogar der Personalabteilung zusammen, um sicherzustellen, dass es einen klaren Beschaffungsprozess für vernetzte Geräte gibt. Wenn es mit Ihrem Netzwerk verbunden ist, sollte es wie jedes andere Gerät genehmigt und verwaltet werden.
• Planen Sie für das Nicht-Patchbare. Wenn ein Gerät nicht aktualisiert werden kann, sollten Sie es ausmustern oder hinter strengen Zugangskontrollen isolieren.

Es ist nicht mehr nur das Problem der IT

Der Aufstieg von IoT und OT hat die Grenzen der Verantwortung für die Cybersicherheit verwischt. Es reicht nicht mehr aus, dass die IT-Abteilung Laptops und Server schützt. Die tatsächliche Angriffsfläche umfasst alles von Verkaufsautomaten bis hin zu Industriesensoren - und viele von ihnen befinden sich bereits innerhalb der Firewall.

Sicherheitsverantwortliche müssen ihr Bedrohungsmodell erweitern, die Beteiligten aufklären und die Schattentechnologie ins Licht rücken. Denn der nächste große Einbruch beginnt vielleicht nicht mit einer Phishing-E-Mail, sondern mit einer Türklingel.