De risico's van IoT-apparaten

Bedrijfsnetwerken binnendringen en gegevens lekken
Het grootste risico voor organisaties is dat ‘connected devices’ gebruikt kunnen worden om toegang te krijgen tot het bedrijfsnetwerk. De IoT-apparaten draaien meestal op een Linux-installatie met weinig RAM- of schijfruimte, waardoor het onmogelijk is om er antivirus- of endpoint-beveiligingsoplossingen op te installeren. De organisatie loopt hierdoor dus al gevaar.

Een bijkomend probleem is dat veel bestaande tools voor netwerkbeheer en -beveiliging IoT-apparaten niet (snel) herkennen. Dit betekent dat gecompromitteerde apparaten langdurig in het netwerk kunnen en gegevens door kunnen sturen naar een externe partij. Door gebrek aan zichtbaarheid kon een cybercrimineel bijvoorbeeld bijna een jaar lang onopgemerkt op het interne netwerk van NASA's Jet Propulsion Lab via een Raspberry PI. Als dit een organisatie zoals NASA kan overkomen, dan kan het iedereen overkomen.

Doelwit van ransomware
Uit een recent rapport van Forrester kwam naar voren dat IoT-apparaten ook slachtoffer kunnen worden van ransomware. Hierbij wordt het slachtoffer gevraagd losgeld te betalen om de controle over de apparaten weer terug te krijgen. Als het om een slim aquarium gaat dan is er niet zoveel aan de hand, het is alleen onhandig. Maar een airco die overgenomen is door een hacker kan de productiviteit van de werknemers aanzienlijk verlagen en er ontstaat een gevaarlijke situatie als de organisatie geen controle meer heeft over de lift.

Onderdeel van een botnet
ok IoT-apparaten die verbonden zijn met een netwerk én opgenomen zijn in een botnet hebben invloed op zowel de prestaties en bruikbaarheid van het IoT-apparaat als op de gehele netwerkprestaties van de organisatie. En als deze apparaten door nalatigheid worden gebruikt voor een DDoS-aanval, kan de organisatie zelfs wettelijk aansprakelijk worden gesteld.

Datalekken faciliteren
IoT-apparaten vormen naast een beveiligingsrisico ook een privacyrisico. IoT-apparaten kunnen persoonlijke gegevens namelijk opslaan en delen met derden, denk aan apparaat-ID, persoonlijk identificeerbare informatie, sensorgegevens zoals audio- en video-opnamen, en interactiegegevens zoals wanneer, waar en hoe het apparaat geactiveerd is. Deze ‘datalekken’ ontstaan niet per definitie door een cybercrimineel. Vaak geeft de gebruiker zelf (onbewust) toestemming voor het delen van de gegevens door een standaardconfiguratie te accepteren. Naast goede beveiliging van IoT-apparaten is het dus van belang om werknemers te trainen en hen hier bewust van te maken.

Tips voor bescherming
Het is belangrijk dat organisaties zich bewust zijn van de risico's die IoT-apparaten met zich meebrengen en dat ze beleid ontwikkelen voor de aanschaf, controle en verwijdering van deze apparaten. Hieronder volgen enkele tips om uw organisatie te beschermen tegen de beveiligingsrisico’s van IoT-apparaten

• Let op bij de aanschaf van IoT-apparaten en kies een fabrikant uit die de beveiliging serieus neemt. Zorg ervoor dat het apparaat niet automatisch contact maakt met andere systemen.
• Wijzig standaardwachtwoorden bij de aanschaf van een IoT-apparaat zodat het niet gevoelig is voor eenvoudige brute force-aanvallen.
• Onderzoek het meldingsbeleid van firmware-updates van de fabrikant of leverancier. Als uw organisatie dit weet, kunt u ervoor zorgen dat dit wordt opgenomen in uw eigen processen en er zo snel mogelijk wordt gepatched zodra u een updatemelding ontvangt.
• Denk na over opties voor fysieke beveiliging van het apparaat om manipulatie en ongeautoriseerde toegang te voorkomen.
• Omdat IoT-apparaten gevoelige gegevens over uw netwerk of organisatie kunnen bevatten, moet gebruikte en verouderde apparatuur worden verwijderd. Controleer of de fabrikant een mogelijkheid biedt om het apparaat te resetten naar de fabrieksinstellingen of op een andere manier opgeslagen gegevens volledig wist.

IoT wordt op steeds meer plekken in organisaties toegepast en slimme apparaten zijn ook niet meer weg te denken uit de zakelijke IT-omgeving. Daarom moeten organisaties een bijpassende IoT-beveiligingsoplossing implementeren. Zo maakt SentinelOne Ranger gebruik van bestaande infrastructuur en IT-architectuur om inzicht te bieden in alle IoT-apparaten in het netwerk, zodat organisaties IoT-apparaten kunnen bewaken en beheren voordat ze een beveiligingsrisico vormen. Want uiteindelijk is voorkomen beter dan genezen.