Большой флеш-накопитель BadUSB
В 2014 году на Black Hat USA 20141 Карстен Ноль и Джейкоб Лелл представили USB доказавшие свою эффективность. Вредоносные программы продемонстрировали, как старый USB сломан. Вредоносная программа заражает микропрограмму USB, а не просто помещает вредоносные приложения на запоминающее устройство. Большинство ЮСБ-контроллеров доверяют правильному поведению встроенного ПО USB, как определено в спецификациях USB-консорциума. Однако, пока встроенное ПО USB работает в рамках, определенных стандартом, вредоносное ПО может вызвать непреднамеренный доступ к встроенному ПО USB-контроллера с управляющего компьютера.
Это печально, поскольку недостаточное внимание, уделяемое безопасности, подразумевает возможность использования уязвимостей, включая регистрацию ключей, повышение привилегий, эксфильтрацию данных, неправильную идентификацию и перенаправление доступа, перехват сеансов и отказ в обслуживании. Karsten и Jacob не только опубликовали результаты своих исследований, но и опубликовали вредоносное ПО в открытом репозитории под названием GitHub.
Это означает, что практически каждый может создать собственное USB-устройство и даже усовершенствовать его оригинальный дизайн. Были даже публикации , которые помогают читателю пройти через весь процесс, облегчая создание атакующего устройства даже тем, у кого нет предварительных знаний об архитектуре и реализации USB-устройств. Впоследствии "сообщество создателей "поднялось на BadUSB, создав бизнес вокруг аппаратных платформ, которые BadUSB предварительно интегрированы под названием "MalDuino " - игра слов с участием популярной "производителя" платформы под названием Arduino.
Воздушный зазор
Некоторые из наиболее безопасных сетей полагаются на "воздушный зазор" безопасности как способ предотвращения распространения вредоносных программ через взаимосвязанные сети. Воздушный зазор - это технология изоляции, которая обеспечивает отсутствие проводного или беспроводного соединения между высокочувствительной сетью и сетью, общедоступной для всех, такой как Интернет. Принцип безопасности, лежащий в основе прослушивания воздуха, заключается в обеспечении физической изоляции таким образом, чтобы для перемещения информации между защищенной сетью и другими сетями, необходимо наличие механической системы, эвфемично называемой "кроссовками".
Идея заключается в том, что только заслуживающие доверия люди будут иметь физический доступ к воздушному пространству и будут следовать надлежащей практике и процедурам безопасности, которые гарантируют, что уязвимые сети не станут жертвами многочисленных сценариев атак, встречающихся в публичных сетях. Тем не менее, воздушные зазоры зависят от использования электронных носителей информации для "кроссовок-сети" к сетям с воздушной камерой и из них.
Это часто связано с использованием периферийных устройств, подключенных через USB. Предполагается, что устройство, не способное посылать или принимать электромагнитные излучения, безопасно для пересечения воздушного зазора. Ошибка этого предположения, конечно же, заключается в том, что они небезопасны, о чем свидетельствует BadUSB. Недостатком авиационной безопасности является то, что ее развертывание является дорогостоящим, не очень хорошо масштабируемым и не рассчитанным на перспективу.
Следующее поколение промышленных IoT ориентировано на другие механизмы сетевой безопасности, такие как VLAN, сегментные сети, изолирующие производственное оборудование за маршрутизаторами, статические/динамические белые списки и зонирование/карантин с использованием сетевых брандмауэров. Урок, извлеченный из опыта обеспечения безопасности в условиях нехватки воздуха, заключается в том, что нельзя игнорировать внимание к удобству использования. Механизмы обеспечения безопасности должны разрабатываться с учетом всех других системных требований, с тем чтобы найти механизмы обеспечения безопасности, обеспечивающие оптимальные компромиссы.
Проектирование безопасных и надежных киберфизических систем
Предыдущие сценарии атак указывают на необходимость пересмотреть прежние предположения о том, что электронное оборудование является "безопасным" из-за неправильной физической изоляции и изоляции воздушных зазоров. Наличие электронных "вещей" может быть достаточным для осуществления той или иной формы "сетевого взаимодействия", предполагающего обмен электронными вещами и, следовательно, обмен вредоносными программами, которые могут трансформироваться с целью использования преимуществ различных векторов атак.
Более информативным представлением о IoT может быть идея о том, что взаимодействие всех сетей, включая обмен физическими объектами, содержащими информацию, - это Интернет. Применяяя этот взгляд на Интернет, есть два дополнительных уровня к классам компьютеров , которые исторически можно разделить на три категории:
- облачные серверы, состоящие в основном из мэйнфреймов и суперкомпьютеров;
- миникомпьютеры, такие как рабочие станции и серверы департаментов или команд;
- микрокомпьютеры, такие как ПК, ноутбуки, планшеты и смартфоны.
IoT чаще всего относится к четвертому уровню, состоящему из смарт-карт, беспилотников, носимых компьютеров и широко распространенных вычислений. Однако пятый уровень состоит из всего остального, что есть электронное, включая USB флешки, камеры, MEMS, интеллектуальных строительных материалов и "Smartdust".
Многоуровневая структура технологий имеет много преимуществ, не связанных с безопасностью, но технологические уровни могут создавать новые проблемы в области безопасности. Взаимодействие между слоями часто не очень хорошо понимается или четко не определено. Это может привести к уязвимым местам в системе безопасности, которые можно использовать. Поэтому анализ безопасности и область проектирования должны быть расширены, чтобы охватить эти другие уровни. Другим аспектом анализа безопасности является определение "поверхности атаки " - среды или суммы всех точек, где неавторизованный пользователь может попытаться извлечь информацию или ввести контроль, не предусмотренный разработчиками системы.
Основной задачей арендатора системы безопасности является удержание малой площади атаки для ограничения возможности непредвиденных взаимодействий. Пирамида IoT также иллюстрирует важность глубокоэшелонированной защиты, поскольку узлы на противоположных концах пирамиды, как правило, разделены маршрутизаторами, шлюзами и другим сетевым оборудованием, которое может быть использовано для обеспечения безопасности. Сегментация сети снижает эффективность поверхности атаки за счет искусственной изоляции узлов IoT.
В 2015 году, по оценкам, насчитывалось 2,6В смартфонов , а к 2020 году прогнозировалось, что их количество составит 6,1В. В 2014 году было около 2B ПК и ноутбуков . По простым подсчетам, на третьем уровне будет 3,6B объектов - выключенных в 1,5 или 2 раза, но все еще находящихся на приблизительном этапе. Даже при консервативных оценках они составляют лишь 10B из 200B, которые прогнозируются. Если на четвертый уровень приходится 15B объектов, то на четвертый уровень 175B объектов не учитываются. Эти оценки свидетельствуют о том, что пятый уровень представляет собой самую большую поверхность атаки. Это говорит о том, что в будущем будет гораздо больше сценариев атак типа "Stuxnet". Также предполагается, что для противодействия этим атакам будут применены дополнительные средства защиты объектов 4-го и 5-го уровней.
