Gdy ekspres do kawy puka do serwera – jak nie dać się zhakować przez własny czujnik temperatury

Lubimy nowe gadżety. Trudno się dziwić — kto nie chciałby biura, które samo reguluje temperaturę, ekspresu przygotowującego kawę na komendę albo sali konferencyjnej, w której telewizor włącza się jednym gestem?

To już nie science fiction, tylko codzienność wielu firm. Internet Rzeczy, czyli IoT, pojawił się w biurach niemal niezauważenie. Obiecuje wygodę, automatyzację i oszczędności.

Jest jednak pewien problem: każde inteligentne urządzenie może stać się dla hakera wejściem do firmowej sieci.

I nie chodzi o scenariusz rodem z filmu szpiegowskiego. Najczęściej atak nie wymaga wyjątkowych umiejętności. Wystarczy źle zabezpieczona kamera, stary router albo czujnik z domyślnym hasłem.

Dlaczego inteligentne urządzenia bywają słabo chronione?

Problem często zaczyna się już na etapie projektowania. Producenci tanich kamer, czujników i urządzeń automatyki konkurują ceną oraz szybkością wprowadzania produktów na rynek. Bezpieczeństwo bywa traktowane jako dodatkowy koszt, a nie jeden z najważniejszych elementów produktu.

W efekcie w firmach pojawiają się urządzenia, które:

Przesyłają dane bez odpowiedniego zabezpieczenia

Część urządzeń IoT przesyła dane bez szyfrowania albo korzysta z przestarzałych metod ochrony. W praktyce przypomina to wysyłanie pocztówki z informacjami, które powinny pozostać poufne.

Jeśli ktoś uzyska dostęp do firmowej sieci Wi-Fi lub przechwyci komunikację, może zobaczyć, jakie dane przesyła urządzenie i z jakimi serwerami się łączy.

Nie otrzymują aktualizacji

Po zakupie urządzenie działa, więc łatwo o nim zapomnieć. Tymczasem producent może po kilku miesiącach lub latach przestać udostępniać poprawki bezpieczeństwa.

Wtedy nawet nowo wykryta luka pozostaje niezałatana. Sprzęt nadal działa, ale z czasem staje się coraz łatwiejszym celem.

Są trudne do monitorowania

Na komputerze można zainstalować program antywirusowy, sprawdzać logi i monitorować aktywność użytkownika. W przypadku kamery, drukarki czy czujnika temperatury możliwości są znacznie mniejsze.

Jeśli urządzenie zostanie przejęte, dział IT może długo nie zauważyć, że dzieje się z nim coś niepokojącego.

Jak wygląda typowy atak na urządzenie IoT?

Ataki na IoT zazwyczaj nie wymagają magii ani genialnego planu. Cyberprzestępcy korzystają z narzędzi, które automatycznie wyszukują urządzenia dostępne z internetu. Następnie sprawdzają, czy nadal używają fabrycznych loginów i haseł.

Przykładowy scenariusz może wyglądać tak:

1. Haker znajduje urządzenie

Kamera lub panel sterowania zostają udostępnione bezpośrednio z internetu, ponieważ ma to ułatwić zdalny dostęp. Urządzenie pojawia się w publicznym skanowaniu.

Jeśli nadal korzysta z loginu „admin” i hasła „admin” albo innego prostego hasła, cyberprzestępca może przejąć je w bardzo krótkim czasie.

2. Zaczyna szukać kolejnych celów

Sama kamera nie musi być dla hakera najważniejsza. Może posłużyć jako punkt wejścia do dalszej części sieci.

Jeżeli urządzenia IoT znajdują się w tej samej sieci co komputery pracowników, serwery i systemy firmowe, napastnik może próbować dotrzeć do kolejnych zasobów — na przykład systemu obiegu faktur, współdzielonych plików czy kontrolera domeny.

Z pozoru niegroźne urządzenie może stać się początkiem poważnego incydentu.

3. Urządzenie trafia do botnetu

Przejęty czujnik lub router może zostać włączony do botnetu, czyli sieci zainfekowanych urządzeń sterowanych przez cyberprzestępców.

Taki sprzęt może później uczestniczyć w atakach na strony internetowe, usługi chmurowe lub infrastrukturę innych firm. Właściciel urządzenia często nawet nie wie, że jego sprzęt został wykorzystany.

4. Atak może mieć skutki fizyczne

W biurze konsekwencją ataku może być utrata danych, problemy z dostępem do systemów albo niedziałająca kamera. W fabryce sytuacja może być znacznie poważniejsza.

Jeżeli czujniki sterują maszynami lub systemami produkcyjnymi, ich przejęcie może doprowadzić do zatrzymania linii, uszkodzenia sprzętu, a nawet zagrożenia dla pracowników.

Co można zrobić?

Nie trzeba od razu rezygnować z inteligentnych urządzeń. Najważniejsze jest świadome korzystanie z nich i traktowanie ich jako części firmowej infrastruktury, a nie zwykłych gadżetów.

1. Warto przygotować pełną inwentaryzację

Nie da się zabezpieczyć urządzeń, o których istnieniu nikt nie wie.

Warto przygotować listę wszystkich sprzętów podłączonych do sieci, w tym:

• kamer i rejestratorów,
• drukarek,
• czujników temperatury, ruchu i otwarcia drzwi,
• systemów kontroli dostępu,
• urządzeń klimatyzacyjnych,
• telewizorów i ekranów konferencyjnych,
• inteligentnego oświetlenia,
• routerów i punktów dostępowych.

Przy każdym urządzeniu dobrze zapisać model, adres sieciowy, właściciela, sposób dostępu oraz informację o ostatniej aktualizacji.

2. Warto oddzielić IoT od firmowej sieci

To jeden z najważniejszych kroków.

Urządzenia IoT powinny działać w osobnej, wydzielonej sieci, na przykład w osobnym VLAN-ie. Nie powinny znajdować się w tej samej strefie co komputery pracowników, serwery i najważniejsze systemy biznesowe.

Można potraktować to jak kwarantannę dla urządzeń, którym nie należy ufać bez ograniczeń. Nawet jeśli ktoś przejmie kamerę lub czujnik, jego droga do komputera księgowej będzie znacznie trudniejsza.

Sama segmentacja nie wystarczy, jeśli sieci mogą się ze sobą swobodnie komunikować. Należy również ograniczyć ruch między nimi i zezwolić wyłącznie na połączenia, które są rzeczywiście potrzebne.

3. Należy zmienić domyślne hasła

Hasło administracyjne należy zmienić przed podłączeniem urządzenia do sieci.

Nie powinno być krótkie, łatwe do odgadnięcia ani używane w innych systemach. W miarę możliwości warto korzystać z unikalnych haseł przechowywanych w menedżerze haseł.

Dobrze jest również wyłączyć wszystkie niepotrzebne funkcje, takie jak:

• zdalny dostęp z internetu,
• nieużywane konta,
• stare protokoły komunikacyjne,
• automatyczne przekierowania portów,
• zbędne usługi administracyjne.

Jeśli czujnik temperatury nie musi być dostępny spoza firmy, nie powinien być publicznie widoczny w internecie.

4. Nie należy ufać urządzeniom tylko dlatego, że są „wewnątrz”

To właśnie jedna z podstaw podejścia Zero Trust. Fakt, że urządzenie znajduje się w biurze lub serwerowni, nie oznacza jeszcze, że powinno mieć dostęp do wszystkiego.

Warto monitorować, z jakimi adresami urządzenia się łączą i jaki ruch generują. Jeśli klimatyzacja nagle zaczyna komunikować się z nieznanym serwerem w odległym kraju, powinno to wzbudzić zainteresowanie.

Nie każdy nietypowy ruch oznacza atak, ale każdy taki przypadek powinien zostać sprawdzony.

5. Warto sprawdzać aktualizacje i cykl życia urządzeń

Aktualizacje oprogramowania powinny być elementem regularnej administracji, a nie czymś, o czym przypomina się dopiero po incydencie.

Jeżeli producent nie udostępnia już poprawek bezpieczeństwa, urządzenie staje się coraz większym ryzykiem. W takiej sytuacji warto zaplanować jego wymianę, nawet jeśli nadal działa bez widocznych problemów.

Przy zakupie nowego sprzętu dobrze sprawdzić:

• jak długo producent zapewnia aktualizacje,
• czy publikuje informacje o lukach bezpieczeństwa,
• czy urządzenie obsługuje szyfrowanie,
• czy umożliwia wyłączenie niepotrzebnych usług,
• czy pozwala na integrację z systemami monitorowania.

Inteligentne biuro potrzebuje rozsądnych zasad

Internet Rzeczy może realnie ułatwić pracę i obniżyć koszty. Nie warto jednak zapominać, że inteligentne urządzenia są częścią firmowej infrastruktury — nawet jeśli wyglądają jak zwykła żarówka, ekspres do kawy albo czujnik temperatury.

Największe ryzyko często nie wynika z wyrafinowanego ataku, ale z prostych zaniedbań: domyślnego hasła, braku aktualizacji, niepotrzebnego dostępu z internetu albo połączenia wszystkich urządzeń w jednej sieci.

Dlatego warto zapamiętać prostą zasadę: im więcej wygody daje urządzenie, tym dokładniej należy sprawdzić, jak jest zabezpieczone.

Dobrze zarządzane IoT może sprawić, że biuro będzie naprawdę inteligentne. Źle zabezpieczone może natomiast otworzyć hakerowi drzwi do całej firmy.

Jeśli potrzebna jest pomoc w ocenie bezpieczeństwa sieci, urządzeń IoT lub całej infrastruktury IT, warto skontaktować się z firmą Support Online. Firma zapewnia pełną opiekę nad środowiskiem informatycznym — od audytu, przez helpdesk 24/7, po wdrażanie nowoczesnych i bezpiecznych rozwiązań technologicznych.

Warto zadbać o bezpieczeństwo IoT, zanim problem pojawi się naprawdę.

Autor: Adrian Styś
[ Treść sponsorowana ]