Интернет угроз

В самом начале эпохи массовой информатизации предприятий немногие сотрудники всерьез задумывались о безопасности своих ПК — все их внимание было сфокусировано на функциональности вычислительных систем. Потребовалось немало времени, чтобы бизнес осознал многочисленные риски владения незащищенными информационными ресурсами, а защитные системы обрели достаточную надежность. Сейчас ИТ-индустрия выходит на новую эволюционную ступень — вокруг нас формируется среда Интернета вещей (Internet of Things, IoT). Но предприятия интересует главным образом немедленная польза от подключения многочисленных новых устройств, их функционал. А безопасности зачастую уделяется второстепенное внимание. Так же, как много лет назад.

Новые риски

Юрий Наместников, эксперт по антивирусам из «Лаборатории Касперского», убежден: устройства, входящие в экосистему Интернета вещей, представляют собой отличную лазейку для хакеров, намеревающихся получить доступ к корпоративным сетям. Например, «умные» здания и офисы, которые уже оборудованы или в ближайшее время будут оборудованы подключенными к Интернету устройствами учета электроэнергии, средствами управления освещением, кондиционированием и очисткой воздуха, находятся в постоянной опасности. Все они могут стать целью и средством для атак.

«В 2015 году обязательно подвергнутся нападению и сетевые принтеры, и другие подключенные устройства, злоумышленники будут использовать их в качестве плацдарма для дальнейших атак на корпоративную сеть», — прогнозирует Наместников.

«Сегодня концепция IoT очень популярна, но эту аббревиатуру с точки зрения информационной безопасности можно расшифровать и как Internet of Threats (Интернет угроз)», — считает Павел Эйгес, региональный директор McAfee в России и СНГ (подразделение Intel Security).

Он замечает, что с развитием Интернета вещей количество подключенных устройств станет поистине огромным. Это приведет к радикальному изменению сетевой архитектуры, в том числе и в плане информационной безопасности. Одновременно с ростом числа устройств увеличивается количество угроз, а методы нападения совершенствуются. Так формируется «идеальный шторм», от которого невозможно будет укрыться, если не адаптировать к новой реальности стратегию защиты информационных ресурсов.

Эксперт Cisco по информационной безопасности Алексей Лукацкий считает, что для выработки верной стратегии защиты Интернета вещей в корпоративной среде его экосистему следует условно поделить на два смежных сегмента. Первый включает в себя широкий спектр потребительских устройств, имеющих IP-адрес и являющихся частью корпоративной ИТ-инфраструктуры. Второй охватывает индустриальные устройства (например, промышленные контроллеры) и другие элементы (допустим, медицинские устройства в клиниках), также подключаемые к корпоративной ИТ-системе. Для каждого сегмента характерны свои риски.

В первом сегменте появляются новые векторы атак и каналы проникновения в ИТ-систему предприятия: умные очки, умные часы, кофеварки, стельки-навигаторы, кардиостимуляторы, инсулиновые помпы и т. п.

«Такие мобильные, динамически меняющие свое местоположение устройства, даже не выходя в Интернет через корпоративный защитный периметр, представляют собой одну большую дыру в оборонительной системе. В этом случае, чтобы исключить риск возникновения инцидентов, нужно либо отказаться от использования таких устройств, либо изменить подход к защите сети, распространяя ее не только на периметр, но и на внутреннюю сеть и отдельные “умные” устройства», — говорит Лукацкий.

По его мнению, ситуация усугубляется тем, что у производителей таких устройств еще нет единого понимания, как их защищать, нет единого стандарта по безопасности, нет желания тратить ресурсы на повышение их защищенности.

Что касается индустриальной составляющей Интернета вещей, то тут ситуация неоднозначная. С одной стороны, для данного сегмента рынка уже разработаны стандарты защиты и средства их реализующие, даже имеется успешный опыт в этой области. Вместе с тем ущерб от атаки на недостаточно защищенные элементы Интернета вещей в индустриальном сегменте может оказаться огромным, в отличие от вреда, нанесенного какой-нибудь офисной Wi-Fi-кофеваркой.

«Достаточно вспомнить атаки на ядерные объекты в Иране, взлом металлургического завода в Германии, вывод из строя системы управления транспортом в Восточной Европе и многие другие инциденты, повлекшие за собой как минимум серьезный финансовый и репутационный ущерб», — напоминает эксперт из Cisco.

Павел Ерошкин, начальник управления информационной безопасности компании «Техносерв», подчеркивает: «Несмотря на то что интернет-технологии активно заимствуются и применяются в решениях по автоматизации технологических процессов, нельзя говорить о том, что вместе с ними производители также задействуют и общепринятые технологии защиты. К сожалению, недостаток компетенции многих ведущих производителей в области автоматизации просто не позволяет им создавать надежно защищенные решения».

Действительно, любой производитель ИТ-решений для индустриального сектора нацелен прежде всего на реализацию их функциональных преимуществ. Вопросы безопасности в технологических сетях до сих пор являются второстепенными, и обязанность по защите таких сетей возлагается производителем на интеграторов и самих конечных пользователей.

«Стандартной ситуацией является отсутствие гарантий того, что оборудование будет сохранять заданные характеристики производительности, если ИТ-среда его функционирования отклонится от идеального состояния, заданного производителем. Невозможно даже предсказать, как поведет себя устройство при получении произвольно или намеренно неправильно сформированного пакета», — указывает Ерошкин.

Александр Гуляев, начальник отдела сетевых проектов компании «Инфосистемы Джет», замечает, что в эпоху Интернета вещей особого внимания с точки зрения безопасности заслуживают элементы промышленных систем и объектов, осуществляющих информационный обмен или передачу управляющих сигналов по сетям мобильной связи. Например, это могут быть датчики, контролирующие важные характеристики состояния гидротехнического узла, или интеллектуальные контроллеры системы регулирования транспортных потоков.

По сути, операторы связи уже создали технологическую коммуникационную среду для Интернета вещей на основе технологий LTE. И все крупные российские провайдеры предоставляют клиентам соответствующие услуги, зачислив их в разряд телематических. С их помощью предприятия и организации могут подключить к Сети различные элементы Интернета вещей: интеллектуальные устройства, датчики, системы мониторинга, видеокамеры и т. п. В принципе, все они могут быть атакованы злоумышленниками. И тогда возникают закономерные вопросы: где начинаются и где заканчиваются границы ответственности операторов за информационную безопасность корпоративных клиентов, активно формирующих среду Интернета вещей? И как предлагают обеспечивать их безопасность поставщики коммуникационных платформ, интеграторы, разработчики защитных решений? У каждого из участников рынка Интернета вещей особый взгляд на этот предмет.

Во имя безопасности

Руководитель департамента информационной безопасности компании «Билайн» Дмитрий Устюжанин отмечает, что в проектах, где оператор обеспечивает только связь с удаленными объектами, клиент сам выбирает компромисс между стоимостью решения и уровнем защиты.

Но при этом, считает он, важно подходить к процессу обеспечения безопасности комплексно, заботясь о всех составляющих любого мобильного решения для Интернета вещей. А их три: телематический блок, то есть удаленное устройство, передающее информацию; управляющий сервер, принимающий и обрабатывающий информацию от датчиков, контроллеров и др. (а также обеспечивающий управление всеми объектами); SIM-карта и канал передачи данных между удаленным устройством и сервером.

«В базовом варианте устройства отправляют всю информацию через публичную сеть Интернет на серверы, и зачастую злоумышленник может сделать с ней все что угодно. Например, бывали случаи DDoS-атак, когда с различных серверов отправлялись пакеты от фальшивых блоков по тому же протоколу, что отправляют настоящие устройства. И говорить об ответственности оператора тут очень сложно, поскольку заказчик приобрел лишь услугу доступа в Интернет. Вся ответственность в базовом варианте лежит именно на клиенте», — заключил Устюжанин.

Лукацкий замечает, что коммуникационная инфраструктура Интернета вещей характеризуется несколькими ключевыми отличиями от обычной корпоративной сети: большое количество устройств, их миниатюрность и автономность, отсутствие единого стандарта или протокола взаимодействия.

Это приводит к тому, что очень сложно бывает «взгромоздить» систему защиты на саму «интернет-вещь» — у нее для этого недостаточно ресурсов. Но есть и положительный момент. Какие бы устройства ни были подключены к Интернету, все они используют сеть для обмена данными или получения управляющих команд. А значит, этот трафик будет проходить через сетевую инфраструктуру: коммутаторы, маршрутизаторы, точки доступа, оснащенные средствами безопасности.

Эйгес считает, что в настоящий момент предприятия способны эффективно защищать и ЦОД, куда отправляются данные с подключенных устройств, и сами конечные устройства традиционными средствами безопасности. Но для нового поколения носимых устройств (умных часов, очков или медицинских мониторов) ситуация принципиально иная.

Во-первых, такие новые устройства всегда находятся в подключенном состоянии. Во-вторых, зачастую ни мощность процессора, ни его архитектура не подходят для существующей антивирусной защиты и устанавливаемого дополнительно ПО. Поэтому в новых устройствах нужно реализовать автономные механизмы обеспечения безопасности.

«Вариант, который пока видится мне логичным и возможным, — это переход от традиционной архитектуры систем безопасности к парадигме Security-on-Chip. Естественно, это не панацея, а скорее эволюционный шаг. Он не гарантирует абсолютной безопасности. Таких гарантий больше нет и, вероятно, уже никогда не будет, но я убежден, что одно только осознание и принятие этого факта может сделать современный мир менее уязвимым», — заявил эксперт из Intel Security.

Лукацкий же считает, что пока производители устройств для Интернета вещей не гарантируют их пользователям приемлемого уровня безопасности, функции защиты следует возложить на сеть. Именно сеть способна эффективно организовывать доступ одних устройств к другим, фильтровать трафик, аутентифицировать устройства, контролировать целостность и шифровать потоки данных, производить нормализацию трафика с целью поиска аномалий и обнаружения подозрительной активности.

«Главное — не пускать внедрение элементов Интернета вещей на самотек и не пытаться везде вводить запретительные меры», — в свою очередь замечает Наместников.

По его мнению, в целом ситуация сейчас напоминает ту, что сложилась несколько лет назад с мобильными устройствами. Поначалу компании вводили различные запреты на их использование в корпоративной среде. Эти ограничения в конечном итоге не возымели эффекта, ведь исключить мобильные устройства из бизнес-процессов уже было невозможно. Оценив ситуацию, компании переключились на регулирование использования мобильных устройств в корпоративных сетях, что вскоре дало ощутимый эффект. С устройствами из экосистемы Интернета вещей ситуация та же: компаниям необходимо внедрить правила их использования, организовать учет и разработать специальные политики безопасности, рекомендует Наместников.

Ответственный подход

Пожалуй, наиболее подготовленными к наступлению Интернета вещей оказались российские операторы связи.

Как заявил Устюжанин, услуги операторов связи для Интернета вещей уже давно перешагнули базовый уровень. Например, «Билайн» в рамках предоставляемых корпоративных сервисов предлагает заказчикам различные варианты обеспечения безопасности как физических SIM-карт, так и каналов передачи трафика. В частности, оператор может разрешить использование SIM-карты только одним устройством или лимитировать число сессий передачи данных для карты в сутки. Контролируя сеть передачи данных, провайдер может ограничить набор IP-адресов устройств, к которым передается информация, или создать VPN-соединение, по которому трафик с подключенных устройств идет напрямую к клиенту по выделенному каналу, минуя публичный Интернет. Вопрос лишь в том, что именно нужно клиенту для безопасности и готов ли он приобретать дополнительные средства защиты.

Со своей стороны, сеть «Билайн» готова обеспечить информационную безопасность корпоративных клиентов. Например, решение «Центр управления М2М» представляет собой облачную платформу, которая сама предназначена для безопасности использования SIM-карт клиентом. И конечные облачные сервисы для потребителей всегда создаются компанией с максимальной степенью защиты.

«Самым важным для клиента при их использовании является то, что всю ответственность за сохранность данных и решение любых проблем полностью несет оператор. Этими услугами можно пользоваться, не думая о дополнительных расходах на безопасность», — утверждает Устюжанин.

Примерно та же картина наблюдается и в компании «МегаФон». Ее пресс-служба сообщила, что на текущий момент не было зафиксировано ни одного инцидента нарушения информационной безопасности в рамках использования абонентами «МегаФона» таких сервисов, как М2М-мониторинг или управление удаленными объектами.

«Специально для М2М-мониторинга нами был привлечен внешний подрядчик, он провел экспертную оценку на предмет уязвимостей в системе информационной безопасности. Все необходимые рекомендации были учтены в продукте, который теперь доступен абонентам», — подчеркнули в компании.

Когда речь идет о крупных проектах регионального или городского масштаба, в которых, по сути, тоже формируется среда Интернета вещей, операторы несут особую ответственность перед заказчиками и обществом. Так, компания «Ростелеком» участвует в создании региональных систем мониторинга зон потенциальной опасности при различных чрезвычайных ситуациях: паводках, наводнениях, лесных пожарах и др. При создании таких систем в зонах потенциальной опасности устанавливаются измерительные приборы (датчики уровня воды, газоанализаторы, системы мониторинга лесных пожаров), подключенные к единой сети оповещения о чрезвычайных ситуациях. Конечно, есть риск того, что подключенные в рамках этих проектов интеллектуальные устройства могут быть атакованы злоумышленниками. Поэтому, как заявили в пресс-службе «Ростелекома», вопросы защиты серверов и сети от несанкционированного доступа в подобных проектах всегда ставятся во главу угла. В частности, уже на этапе проектирования моделируются вероятные угрозы и поведение злоумышленников.

***

Несомненно, рынок технологий, связанных с Интернетом вещей, ожидает взрывной рост. Пока даже трудно представить, какие инновационные модели воплотятся на стыке облачных корпоративных ИТ, технологий Больших Данных, мобильных решений и Интернета вещей. Но потенциальные преимущества от реализации подобных моделей могут быть нивелированы новым масштабом рисков не только технического, но и организационного и даже социального плана. Чтобы не попасть в Сеть угроз, необходимо с самого начала предусмотреть эти риски и выработать надежную защитную стратегию для Интернета вещей.