האינטרנט של הדברים (Internet of Things) זה לא רק התקן מגניב שלובשים או מפעילים בבית; זהו גם סט רחב של התקנים שקיימים כבר כיום, או תמצאו בקרוב, ברשת הארגונית שלכם. לכן, כדאי לכם להכיר את התחום הזה, להבין מה הסיכונים שלו ולהבין שצריך להיערך אליו.

ראשית, כדאי לנסות להבין מה זה IoT. כמו שסייבר הוא מונח חדש יחסית המתאר נישה אחת מתוך עולם אבטחת המידע, כך IoT אינו משהו ממש חדש. כבר שנים אנחנו רואים בבית ובארגון התקנים כאלה. אני מניח שההגדרה הפשטנית הבאה תכסה את רוב מקרי ה – IoT: התקן/מכשיר חשמלי עם ממשק ניהול שניתן לשליטה והפעלה מרחוק דרך האינטרנט הינו התקן IoT.

כמה דוגמאות להתקנים כאלה שאנחנו מכירים כבר הרבה זמן: מצלמות אינטרנט (בבתים, גני ילדים ובמשרדים), התקן Storage ביתי (אלה שמכילים טרה זיכרון), מדפסות רשת חכמות, ניטור טמפרטורת מזגנים בחדרי שרתים ועוד. כמה דוגמאות מגניבות שנתקלתי בהן בשנה האחרונה: רובה/מקלע להגנה על שטח לא מאויש שנשלט מרחוק, הדלקת דוד מים חמים בבית, התקן ניטור למנוע ברכב. אפילו התקנים רפואיים בחדרי ניתוח עשויים להיות מקושרים לאינטרנט (מפחיד). השבוע שמעתי שרכיבי Access Points חדשים של חברה ידועה נמכרים כאשר בברירת מחדל הם מוגדרים לתקשר עם ממשק ניהול שיושב בענן (לא בדקתי את זה). בקיצור, הכל הולך לשם. והכל, או הרבה מאוד, יגיע לרשתות הארגוניות.

לפני כעשר שנים ראינו מכשירי סלולר ראשונים המתחברים למיילים הארגוניים. היה קשה לראות אז איזה סיכונים טמונים בשימוש בהם, והיה עוד יותר קשה למצוא פתרונות אבטחה מספקים. שוק ה – IoT מתנהג כיום באופן דומה. הסלוגן החכם של הטלפון החכם אומץ עכשיו לבית חכם, משרד חכם ורשת חכמה. הכל חכם, רק לא מאובטח. מצד אחד דוחפים לנצל את היתרונות שלהם לטובת הרשת ומצד שני הם מכניסים סיכונים לרשת.

האיומים הנובעים מהם הם אותם איומים הנובעים ממערכות אחרות, אך במספר הבדלים:

• הרכיבים האלה עשויים להיות מחוברים ישירות לאינטרנט באופן העוקף את ה – Firewall
• לא בטוח ש – Firewall יודע לתת מענה אבטחתי לרכיבים אלה
• הרכיבים האלה נבנו ללא תשתית אבטחה מספקת

נציין כאן מספר איומים הנובעים מהתקני IoT:

• עקיפת רכיבי אבטחה היקפיים (Firewall, IPS וכדומה) וחדירה לרשת הפנימית ע"י פריצת ההתקן עצמו
• השבתת (DoS) ההתקן עצמו – תחשבו מה ההשלכה של השבתת המזגנים של חדר שרתים או מכונת דיאליזה בבית חולים
• גניבת נתונים רגישים השמורים בהתקן (למשל צילום של כל מסמך שהודפס במדפסת)

רוב התקני ה – IoT אינם מאובטחים כיום בצורה נאותה. נשאלת השאלה מדוע ההתקנים האלה אינם מאובטחים והתשובה היא שזה עניין של אבולוציה. פיתוח ההתקנים היה צריך להוכיח את עצמו ולתפוס בשוק. הדאגה הייתה פיתוח מהיר ומוצלח של המוצר. מספר גורמים להיעדר רמת אבטחה מספקת:

• שיקולי אבטחה לא שולבו בפיתוח המוצרים האלה.
• אין סטנדרטיזציה במנגנוני אבטחה בשוק הזה.
• מנגנוני הזדהות פשוטים (אם בכלל) הוטמעו במערכות האלה.
• רכיבי הצפנה – יוק. למה להגדיל את נפח ההתקן ולצרוך יותר אנרגיה?
• היעדר מנגנון לעדכוני אבטחה (Patches).
• גם אם במקרה יוצאים טלאי אבטחה להתקן, מי טורח לעדכן אותם?
• מערכת ניהול מרכזית חלשה או שיושבת בענן.

לא בטוח שניתן בטווח הנראה לעין להיות אופטימיים. אני מניח שייקח מספר שנים עד שנרגיש מספיק בטוחים שניתן לצמצם את הסיכונים ברמת סבירה. מספר המלצות מאוד ראשוניות שאני יכול לחשוב עליהן כרגע:

• להגדיר מדיניות הכנסת רכיבי IoT לארגון (שתאפשר כניסה מאוד מבוקרת ושתחסום כניסה של רוב ההתקנים האלה).
• בדיקה קפדנית של רמת האבטחה של כל התקן חדש (או דגם חדש של מוצר שכבר קיים ברשת).
• התקנת רכיבים כאלה מחוץ לרשת הארגונית, או בסגמנט רשת מבודד. למשל, מצלמות IP שממוקמות פיזית מחוץ למשרד ונגישות לקהל לא מבוקר, או מצלמות אלחוטיות.
• בדיקה שהיצרן משחרר טלאי אבטחה באופן מסודר. זה יעיד בין השאר על שימוש ברכיבים רגישים פנימיים בתוך המוצר, כגון רכיב הצפנה ושרת Web, המבוססים על סטנדרטים בשוק.
• הגדרות ACL קפדניות לממשק הניהול של התקנים אלה. להגביל את כתובות ה – IP היכולות לתקשר עם ההתקנים ואת השירותים (פורטים) הפתוחים.
• במידה וניתן, להגביל גישה של התקנים אלה עם מערכת NAC מתקדמת (לא על בסיס כתובת MAC).
• לבדוק אילו הגדרות פנימיות בהתקן ניתן להפעיל במטרה לצמצם את הסיכון.