Sicherheit im Internet of Things Sicherheitsregeln für IoT-Geräte im Unternehmen

Seit vor kurzem das Botnetz Mirai durch einen Angriff in kürzester Zeit große Teile des Internets lahmlegte, rückt die Sicherheit des Internets der Dinge wieder in den Fokus der Aufmerksamkeit.

Anbieter zum Thema

ICP Deutschland GmbH

Lenovo Global Technology Germany GmbH

Paessler AG

SolarWinds EMEA Headquarters

Der Mirai-Vorfall hat vor allem gezeigt, dass für die meisten IoT-Anbieter die Sicherheit noch immer zweitrangig ist und eindeutig zugunsten einer schnellen Markteinführung vernachlässigt wird. Unausgereifte und schlecht entwickelte IoT-Geräte bieten zwar eine Menge Stoff für Humoristen wie @InternetofShit, doch ihre Auswirkungen gehen weit über die Satire hinaus.

Es liegt an den IT-Experten, den Wahrern der Sicherheit (wenn nicht gar des gesunden Menschenverstands) in Unternehmen, noch häufiger und expliziter darauf aufmerksam zu machen, dass für eine sichere IoT-Implementierung sowohl strategische als auch taktische Maßnahmen erforderlich sind.

Strategische Maßnahmen, weil jetzt sofort Richtlinien und Verfahren erarbeitet werden müssen, wenn Unternehmen auch nur ansatzweise darüber nachdenken, IoT-Technologien einzusetzen – und das, bevor auch nur ein einziges Gerät ins Gebäude gelassen wird. (Nein, die neue Fitnessuhr des CEO zählt nicht dazu.) Taktische Maßnahmen, weil es sehr wahrscheinlich ist, dass sich das erste IoT-Gerät bereits im Unternehmen befindet und man es bloß noch nicht erfahren (oder zufällig entdeckt) hat. Genau deshalb müssen IT-Experten jetzt handeln, um diese Geräte zu finden und zu verwalten.

Strategische Maßnahmen

Die strategischen Maßnahmen sind die schwierigere Aufgabe. Strategie braucht Zeit. Strategie verlangt von Ihnen, die Firmenpolitik zu lenken, die Zustimmung des Managements zu erlangen und eine ganze Menge Fragen zu beantworten. Doch diese Strategie wird am Ende auch die Unternehmen retten, denn mit deren Hilfe kann eine massive Sicherheitslücke verhindert werden.

Unternehmensrichtlinien für die Anschaffung und den Einsatz von IoT-Geräten (definiert als alles, das mit Netzwerken verbunden wird – egal ob mit dem Internet, Bluetooth, unternehmenseigenen, persönlichen oder anderen Netzwerken – und das über Smartphones, Tablets, Laptops und Uhren hinausgeht) sollten auf den folgenden Grundlagen basieren.

Um für den Unternehmenseinsatz in Betracht zu kommen, müssen Anbieter sich zu Folgendem verpflichten:

• 1. Die Sicherheit ihres Gerätes zertifizieren.

• 2. Bei jeder neuen Version des Geräte-„Betriebssystems“ Änderungen im Voraus veröffentlichen.

• 3. Die Kunden informieren, wenn für zukünftige Produktionsläufe des Gerätes andere Hardwarekomponenten und Subkomponenten gewählt werden als zuvor.

• 4. Einen manuellen/internen Aktualisierungsprozess als Alternative zu einer internetweiten Verteilung anbieten.

Gleichzeitig müssen die Anwender im Unternehmen – die für das Projekt verantwortlichen Abteilungen oder das Management – zustimmen, das Budget und das Personal bereitzustellen, um Folgendes zu ermöglichen:

• 1. Sicherheitsüberprüfungen und -tests, einschließlich Penetrationstests, als Bestandteil des Übernahmezyklus.

• 2. Laufende Überprüfungen und Tests der Hardware- und Softwareaktualisierungen des Anbieters vor der Einführung in der Produktion.

Natürlich ist diese vorgeschlagene Vorgehensweise sehr mühselig und wird die Gesamtbetriebskosten von IoT-Geräten enorm in die Höhe treiben. Außerdem wird sie zu Spannungen und Frustration führen – sowohl im Management, das die Vorteile nutzen möchte, als auch bei IT-Experten, die sich nicht mit dem zusätzlichen Aufwand herumschlagen möchten. Dennoch ist dieser Vorschlag der einzige logische Weg nach vorn. Zu glauben, andere Vorgehensweisen könnten zu etwas Anderem führen als zu Ärger und zu riesigen Problemen, grenzt schon an grobe Fahrlässigkeit.

Taktische Maßnahmen

Die Frage ist nun, was genau jetzt umgesetzt werden kann. Ein wichtiges Tool um das herauszufinden, den jeder IT-Admin hoffentlich in seinem Werkzeugkoffer hat, ist der NetFlow Analyzer. Den Kern des NetFlow-Protokolls bildet die Möglichkeit, „Konversationen“ darzustellen: den Transfer von Daten zwischen zwei bestimmten Endpunkten in einem Unternehmen über denselben Port und dasselbe Protokoll. NetFlow wird meistens eingesetzt, um zu ermitteln, an welchen Stellen eine hohe Bandbreitennutzung erfolgt, doch es kann genauso dazu dienen, die mehreren hundert oder tausend kleinen Konversationen zu überwachen. Auf diese Weise kann man eines der Tools nutzen, die man wahrscheinlich bereits besitzt, um IoT-ähnliches Verhalten in der Umgebung zu identifizieren und um zu überwachen, welche externen Websites Verbindungen von innerhalb der Umgebung empfangen.

Ein weiteres Tool, das IT-Experten besitzen sollten und das viele Unternehmen noch nicht haben, ist ein IP-Adressverwaltungstool (IPAM). Auch unabhängig von der IoT-Frage ist ein solches Tool für Unternehmen jeglicher Größe unverzichtbar, doch das Internet der Dinge gibt einen Grund mehr, dieses IPAM-Tool zu lieben oder eine Neuanschaffung zu rechtfertigen, falls man das Pech hat, noch keines zu besitzen. Warum? Weil IoT-Geräte IP-Adressen beanspruchen, und zwar eine ganze Menge davon. Außerdem haben IoT-Geräte MAC-Adressen, die in die Gruppierung eines einzigen Anbieters fallen. Mithilfe des IPAM-Tools können IoT-Geräte während des normalen Geschäftsbetriebs automatisch identifiziert und in Berichte aufgenommen werden.

Das letzte Tool, das zu einer taktischen Ausrüstung gehören sollte, ist fast noch ein Newcomer im Überwachungsbereich: Deep Packet Inspection (DPI). DPI ist NetFlow insofern ähnlich, als dass ebenfalls eine Schnittstelle inmitten des IoT-Datenverkehrs eingesetzt wird, um Pakete aufzunehmen und sie auf Quell- und Ziel-IP, Port und Protokoll zu untersuchen. Mithilfe dieser Informationen wird das Paket nach seiner Nutzung kategorisiert, z.B als Geschäftsanwendung, Streaming-Medium, potenziell bösartig oder dergleichen. Diese Vorgehensweise ist dafür gedacht, festzustellen, ob es an einem Netzwerkproblem oder einem Problem auf der Anwendungsebene liegt, wenn Pakete langsam übertragen werden, doch die Anwendbarkeit im IoT-Bereich sollte auf der Hand liegen.

Leon Adato

Warum ist das so wichtig?

All diese Aspekte sind vor allem deshalb von enormer Bedeutung, weil es hier nicht um das Hacken von Massagegeräten geht – oder zumindest nicht nur darum. Allein in den letzten 12 Monaten wurden erschreckende Sicherheitslücken in Kinderspielzeug, Babyphonen, unternehmenseigenen Klimaanlagen, Autos, Herzschrittmachern und Insulinpumpen aufgedeckt. Kurz gesagt: Wir reden hier von enormen Risiken für die Sicherheit von Privatpersonen und Unternehmen. Und dann soll noch mal jemand sagen, dass das Ganze zu viele Umstände bereitet.

Über den Autor

Leon Adato ist Head Geek bei SolarWinds.

(ID:44430959)