En betydande mängd nätverkstrafik från IoT-enheter (Internet of Things) på företagsnätverk överförs i klartext och utan grundläggande säkerhetsåtgärder, enligt en ny rapport från säkerhetsföretaget Zscaler.
Av den observerade IoT-trafiken gjordes 83 procent av överföringarna i klartext, medan endast 17 procent använde SSL för att säkra informationen.
Inga enheter tycktes sända endast över SSL eller bara i klartext; de använde alla en blandning av de två.
Rapporten kommer från Zscaler's ThreatLabZ med hjälp av data från Zscaler-molnet.
Som sådan representerar den inte hela all internettrafik, bara den som använder Zscaler-molnet, eller cirka 33 miljoner IoT-transaktioner per dag.
"Analysen visade att vissa enheter inte följer korrekt säkerhetspraxis, vilket gör dem sårbara för skapade attacker", enligt Zscaler, som skisserade fyra av de vanligaste säkerhetsproblemen som den observerade:
- HTTP-kommunikation med vanlig text till servrar för firmware- eller paketuppdateringar
- HTTP-autentisering i vanlig text
- Användning av föråldrade bibliotek
- Svag eller standardinformation
”Användningen av klartext är riskabelt, öppnar trafiken för sniffing (för lösenord och annan data), avlyssning och man-in-the-middle-attacker och andra utnyttjanden, varför det inte längre används för de allra flesta webb och applikationstrafik.
”
Noggranna läsare kommer att känna igen dessa frågor från många andra attacker.
Mirai botnet, till exempel, var extremt framgångsrikt genom att rikta in sig på specifika IoT-enheter med förinställda referenser.
Den goda nyheten är att den stora majoriteten av den trafik som Zscaler observerar är normal företagstrafik, såsom datainsamlingsterminaler, digitala skyltar mediaspelare, industriella styrenheter, medicinska enheter, nätverksenheter, betalterminaler och skrivare.
Zscaler hittade också en del obehörig IoT-trafik, till exempel digitala hemassistenter, TV-mottagare, IP-kameror, smarta hemapparater, smarta TV-apparater, smarta klockor och till och med multimediasystem för bilar.
”Linjerna mellan företagsutgivna och privatägda enheter har suddats ut mycket och medan man kan dra slutsatsen att ett multimediasystem för fordon inte är auktoriserat, är det svårare att avgöra om trafik som drivs av de många andra enheter som identifieras i denna rapport är godkänd eller inte ”, Säger Deepen Desai, VP för säkerhetsforskning på Zscaler.
"IT-team behöver bättre synlighet i sin infrastruktur så att de kan se vilka IoT-enheter som har åtkomst till deras nätverk och avgöra vilka som ska vara där och vilka inte."
Rekommenderas av våra redaktörer
Detta ökande hot speglades i Zscalers rapport.
Företaget blockerade 2000 bitar av IoT-skadlig kod i maj 2019 men blockerar nu 14 000 per månad.
För att säkra företagsnätverk rekommenderar Zscaler IT-avdelningar att ta hand om de obehöriga IoT-enheterna som går in på företagsnätverk.
Företaget rekommenderar också att man byter standardinformation för kända IoT-enheter - till exempel smarta TV-apparater som används för videomöten - genom att använda frekventa uppdateringar och begränsa åtkomsten till IoT-enheter i externa nätverk, till exempel en anställds hemkamera.
Zscaler rekommenderar också att IoT-enheter sätts i ett separat nätverk.
På det sättet, om en dålig kille kan komma in i en IoT-enhet, kommer de inte till kritiska system.
Medan IoT-enheter har tillåtit konsumenter att skrika på sina TV-apparater för att byta kanal och fråga Alexa hur många änglar som kan dansa på huvudet på en nål, har de också blivit ett mål för angripare.
IoT-skadlig kod är ibland svårare att upptäcka och fixa än PC-skadlig programvara, eftersom dessa enheter ibland inte har användargränssnitt och inte kan köra antivirusprogram.
