En uppkopplad men osäker industri

I början av år 2018 undersökte säkerhetsforskarna Alexander Bolshev från IOActive och Ivan Yushkevich från Embedi mobila appar som används för att styra industrianläggningar och processer. Deras studie fann hela 147 svaga punkter i 32 av totalt 34 undersökta appar. Förutom appar med säkerhetsbrister använder fortfarande många industriella kontrollsystem de gamla och osäkra operativsystemen Windows XP och Windows 2000. 

– Som det ser ut nu är många verksamheter väldigt tacksamma mål för cyberkriminella. Med allt fler uppkopplade enheter som fordon, fabriksrobotar, kylsystem, kassaskåp och övervakningskameror ökar målområdet väsentligt. Ett konkret exempel på hur attacker kan göra stor skada är botnätet Mirai som år 2016 kapade en halv miljon IoT-enheter världen över för att använda dem vid DDoS-attacker, säger Peter Gustafsson, ansvarig för IT-säkerhetsföretaget Barracuda Networks verksamhet i Norden.

Säkerhetsutmaningarna ökar med IoT
Fler och fler kritiska system utsätts i dag för cyberattacker. Det kan handla om industriella styrsystem (ICS), värme- och luftkonditioneringssystem, kylsystem, vatten- och avloppsrening eller kollektivtrafik som är ansluten till internet. Här kan en enda attack orsaka stor ekonomisk skada och i värsta fall riskera människoliv. Vid den omfattande WannaCry-attacken drabbades exempelvis British National Health Service liksom energileverantörer som försörjer hundratusentals hushåll och industriella kylsystem med el.

– De flesta tekniska säkerhetsproblem som berör IoT liknar dem hos traditionella servrar, arbetsstationer och smarta mobiler. Det betyder bland annat att varje sak behöver en brandvägg för att skyddas. Utan en brandvägg är uppkopplade enheter enkla mål för cyberkriminella som vill genomföra en DDoS-attack eller infiltrera nätverk av andra skäl, fortsätter Peter Gustafsson.

Windows XP och Windows 2000 öppnar dörren
Att använda gamla operativsystem som Windows XP eller Windows 2000 är generellt sett vanskligt. Industrimiljöer blir alltmer intressanta för angripare eftersom de föråldrade operativsystemen inte längre uppdateras men ändå fortsätter att användas.

Windows 2000 används vanligtvis inte i industrianläggningar för de mest säkerhetskrävande uppgifterna, utan snarare för drift- och övervakningsfunktioner. Ändå är risken stor att brottslingar med hjälp av de gamla systemen kan spionera på eller manipulera känsliga uppgifter. En anledning till att situationen ser ut som den gör är att operativsystem i industrianläggningar inte ersätts lika enkelt som i kontorsmiljöer. För system med industrispecifika krav måste de komplicerade certifieringsprocesserna upprepas om operativsystemet ska bytas ut.

Funktionalitet tillåts gå före säkerhet
Vid implementering av IoT-enheter fokuserar företagen ofta mer på funktionalitet än på säkerhet. De vanligaste orsakerna till att IoT-säkerheten brister är otillräcklig kryptering och svaga autentiseringssystem. Dessutom är IoT-enheter ofta svåra att hantera eller uppdatera på distans. En enkel centraliserad fjärradministration är därför extremt viktig för säkerheten.

– I dag finns det ingen enkel universallösning för att höja IoT-säkerheten, i stället måste den skräddarsys för respektive tillämpning, både när det gäller ekonomiska aspekter och specifika säkerhetskonfigurationer. Tyvärr har det resulterat i att många företag antingen inte säkrar sitt IoT-nätverk alls eller nöjer sig med otillräckliga åtgärder, kommenterar Barracudas Peter Gustafsson.

Om ett företags IoT-nätverk består av hundratals eller till och med tusentals enheter kan arbetet med att förse varje enskild enhet med en effektiv säkerhetslösning lätt utvecklas till ett komplext logistiskt projekt. Det är därför viktigt att i förväg ställa följande tre frågor: Hur används utrustningen? Hur ska livscykeln hanteras? Och hur är säkerhetsreglerna uppsatta? Att ha god koll på dessa nyckelfrågor och svar underlättar införandet av en säker IoT-infrastruktur avsevärt.

Pris, prestanda och enkelhet är viktiga faktorer
Många av dagens säkerhetslösningar som inte är specifikt utformade för IoT-miljöer är ofta för dyra. Ett införande blir inte ekonomiskt försvarbart. I takt med att antalet IoT-implementeringar ökar blir därför behovet av lösningar specifikt anpassade och prissatta för detta ändamål allt större.

En effektiv IoT-säkerhetslösning ska möjliggöra krypterad kommunikation, stödja säkerhetspolicyer, erbjuda applikationskontroll, URL-filtrering, virusskanning och avancerat hotskydd. Säkerhetslösningar speciellt utvecklade för IoT behöver också göra det möjligt att analysera olika industriella protokoll. En IoT-säkerhetslösning bör dessutom erbjuda enkel implementering och en smidig administrativ hantering. Den måste också vara skalbar, lätt att konfigurera och kunna hanteras centralt via ett modernt användargränssnitt.

– Med tanke på utvecklingen och det växande cyberhotet bör betydligt fler organisationer införa IoT-specifika verktyg som bidrar till att säkra hela infrastrukturen, avslutar Peter Gustafsson.