Společnost Freeman Health System má cca osm tisíc připojených zdravotnických přístrojů v desítkách svých nemocničních areálů rozmístěných v různých lokacích. Mnoho z těchto zařízení by mohlo ohrozit v nečekaném okamžiku něčí život
Jak spravujete více cloudů ve vaší firmě?
„To je scénář dne zkázy, kterého se všichni bojí,“ popisuje Skip Rollins, tamější ředitel zabezpečení informací a IT.
Rollins by rád skenoval zranitelnost těchto zařízení a instaloval do nich bezpečnostní software, aby nedošlo k jejich ovládnutí hackery. Jenže nemůže. „Dodavatelé z této oblasti jsou velmi neochotní ke spolupráci,“ prohlašuje.
„V podstatě všichni používají proprietární operační systémy či proprietární nástroje. A tak zařízení nedokážeme skenovat. Také pro tyto přístroje neumíme zajistit bezpečnostní software. Nevidíme nic z toho, co dělají. A výrobci je úmyslně dodávají tímto způsobem.“
„Tito dodavatelé tvrdí, že jsou jejich systémy z bezpečnostního hlediska neprolomitelné,“ popisuje. „Říkáme jim na to: ‚Pojďme to tedy dát do smlouvy.‘ Ale k tomu už ochotní nejsou.“
Pravděpodobným důvodem je, že tato zařízení mohou mít mnoho zranitelností. Podle jedné zprávy z této oblasti od kyberbezpečnostní společnosti Cynerio zaměřené na zdravotnictví má 53 % zdravotnických přístrojů minimálně jednu kritickou zranitelnost.
Zařízení například často mají výchozí hesla a nastavení, která útočníci mohou snadno najít na internetu, nebo používají staré, nepodporované verze Windows.
A útočníci nespí. Podle výsledků nedávného průzkumu společnosti Ponemon představovaly útoky na zařízení IoT a zdravotnické přístroje 21 % všech úspěšných napadení ve zdravotnictví, což je stejné procento, jaké mají phishingové útoky.
Stejně jako ostatní poskytovatelé zdravotní péče se i společnost Freeman Health Systems snaží přimět dodavatele, aby brali bezpečnost vážněji, ale zatím to nebylo úspěšné. „Naši partneři s námi spolupracovat na vyřešení problému nebudou,“ shrnuje Rollins. „Je to jejich proprietární obchodní model.“
Výsledkem je, že existují systémy v oblastech, které jsou dostupné pro veřejnost, některé mají přístupné USB porty, jsou připojené do sítí, a přitom neexistuje způsob, jak přímo řešit tyto bezpečnostní problémy.
S napjatými rozpočty nemohou nemocnice pohrozit dodavatelům, že by jejich stará zařízení zahodily a nahradily je novými, i kdyby existovaly novější a bezpečnější alternativy. Namísto toho tedy používá Freeman Health strategie ke zmírnění problému na základě síťových technologií a další řešení, která pomáhají snížit rizika.
„Monitorujeme příchozí a odchozí provoz pomocí nástroje od společnosti Ordr,“ popisuje Rollins. Komunikaci s podezřelými cílovými místy lze blokovat pomocí firewallů a boční pohyb do dalších nemocničních systémů se omezí pomocí segmentace sítě. „To ale neznamená, že by přístroj nemohl být ohrožený, když se stará o pacienta,“ varuje.
Problém je ale ještě složitější. Zablokování komunikace těchto přístrojů s jinými zeměmi může zamezit instalaci důležitých aktualizací. „Není vůbec neobvyklé, že některé přístroje komunikují s Čínou, Jižní Koreou, a dokonce Ruskem, protože komponenty se vyrábějí ve všech těchto koutech světa,“ vysvětluje.
Rollins uvádí, že zatím neví o pokusech fyzicky poškodit lidi napadením zdravotnických přístrojů v reálném životě. „Alespoň v současnosti chce většina hackerů spíše získat peníze, a ne ublížit lidem,“ popisuje.
Je však nutná obezřetnost, protože útok na státní úrovni ve stylu kyberútoku SolarWinds, který by se zaměřil na zdravotnické přístroje, má potenciál vyvolat nepředstavitelnou katastrofu.
„Většina zdravotnických přístrojů je připojená k centrálnímu zařízení prostřednictvím hvězdicové topologie sítě,“ popisuje. „V případě kompromitace těchto sítí by došlo i ke kompromitaci nástrojů, které používáme k péči o pacienty. A to je reálná hrozba.“
Boj o viditelnost IoT
První výzvou zabezpečení IoT je zjištění, která zařízení se v podnikovém prostředí nacházejí. Tyto přístroje si ale často instalují jednotlivá oddělení či zaměstnanci a spadají do kompetence oddělení provozu, správy budov, údržby a dalších.
Celá řada společností nemá jedno oddělení odpovědné za zabezpečení zařízení IoT. Někoho pro to ustanovit je tak první krok k získání kontroly nad problémem, popisuje Doug Clifton, který řídí aktivity v oblasti provozních a informačních technologií ve společnosti EY.
Druhým krokem je skutečně zařízení najít. Skenování sítě s takovým cílem nabízí několik dodavatelů, uvádí Paddy Harrington, analytik společnosti Forrester.
Řešení firem Check Point nebo Palo Alto a dalších mohou nepřetržitě dělat pasivní skenování a při nalezení nových zařízení pro ně automaticky použít bezpečnostní zásady. „Neřeší to všechno, ale je to krok správným směrem,“ konstatuje.
Některé přístroje však stále nezapadnou do známých kategorií a je těžké je detekovat. „Existuje pravidlo 80/20,“ popisuje Clifton. „Technologie dokáže detekovat osmdesát procent zařízení. Zbývajících 20 % je potřeba pokrýt nějakou formou pátrání.“
Společnosti, které dosud nemají nástroj pro skenování IoT, by měly začít tím, že se na to zeptají svých dodavatelů zabezpečení,“ radí Harrington.
„Zjistěte si, zda něco nabízejí. Možná to nebude nejlepší pro daný účel, ale alespoň trochu to pomůže zacelit trhlinu a je šance, že k tomu nebudete muset pořizovat velký rozsah nové infrastruktury.“
Podniky obvykle používají ke sledování a evidenci zařízení IoT tabulky, prohlašuje May Wang, technologická ředitelka společnosti Palo Alto pro oblast IoT. Každá oblast firmy může mít svůj vlastní seznam.
„Když jdeme do nemocnice, dostaneme tabulku z oddělení IT, z oddělení správy budov a z oddělení zdravotnických přístrojů. Všechny tři tabulky se liší a obsahují různá zařízení,“ upozorňuje.
Když Palo Alto oskenuje dané prostředí, ukážou se tyto seznamy jako velmi neúplné, někdy o více než řád. V mnoha případech jsou starší přístroje nainstalované dříve, než se začala zařízení IoT považovat za bezpečnostní hrozbu, popisuje Wang.
„Tradiční technologie zabezpečení sítě není schopná tato zařízení vidět,“ upozorňuje. „A tradiční přístupy k ochraně těchto přístrojů nefungují.“
Společnosti však nemohou použít zásady zabezpečení koncových bodů a správy zranitelností pro žádná zařízení, která ještě nebyla nalezená. Palo Alto nyní používá strojové učení pro detekci zařízení IoT ve svém firewallu příští generace.
„Dokážeme vám sdělit, jaká zařízení a přístroje máte, jaký druh hardwaru, softwaru, operačních systémů a jaké protokoly používáte,“ popisuje Wang.
Systémy Palo Alto ale neumějí detekovat a získat úplné informace o každém jednotlivém systému. „U některých nejsou údaje příliš podrobné, ale pro většinu zařízení dokážeme získat většinu informací. To poskytuje viditelnost při jejich objevování.“
V závislosti na tom, jak se technologie nasadí, může Palo Alto také odhalit zařízení na základě jejich interní, laterální komunikace, a buď navrhnout, nebo automaticky implementovat bezpečnostní zásady pro nově objevená zařízení.
Když zařízení IoT používají celulární komunikaci přes mobilní sítě, vytváří to ještě větší problém. „Mnoho řešení IoT už využívá technologii 5G a časem to bude ještě větší potíž,“ varuje Wang.
„Máme divizi pracující na zabezpečení pro 5G. Rozhodně se zde vyskytuje více výzev.“
Svět IoT podrobněji
Jakmile se zařízení IoT spolehlivě objeví a zapíšou do inventáře, je potřeba je spravovat a zabezpečit pomocí stejně přísných opatření jako ostatní síťové systémy. To vyžaduje zajistit pro ně správu konfigurací, skenování zranitelností, monitorování provozu a další oblasti.
Dokonce i zařízení, které není připojené k externí síti, se může stát mezilehlým záchytným bodem nebo úkrytem pro odhodlaného útočníka, jenž se pohybuje laterálně celou infrastrukturou společnosti. Marcos Marrero, ředitel zabezpečení informací ve společnosti H.I.G. Capital, tomuto dilematu čelil před rokem.
Pište pro Computerworld
Máte dobré nápady, máte co říct? Chcete se podělit o své znalosti se čtenáři Computerworldu?
Je tu ideální příležitost. V redakci neustále hledáme externí autory, kteří rozšíří náš záběr. Nabízíme možnost publikací zajímavých článků nejen na webu, ale také v našem tištěném magazínu.
Pokud máte zájem, ozvěte se šéfredaktorovi na e-mail: radan.dolejs@iinfo.cz
H.I.G. je globální investiční společnost s více než padesáti miliardami svého kapitálu, který spravuje, a s 26 pobočkami na čtyřech kontinentech. Tato firma má ve svých sítích stovky zařízení IoT, jako jsou např. kamery, fyzická bezpečnostní zařízení a senzory, které monitorují teplotu, vlhkost a napájení v jejich počítačových místnostech.
Zabezpečení zařízení IoT „je obrovský problém“, upozorňuje Marrero. „A neustále se vyvíjí a zvětšuje se.“
H.I.G. je s ohledem na svůj obor financí velmi opatrná, a bere tedy zabezpečení vážně. Má bezpečnostní tým, který kontroluje každé zařízení, jež je do jejích sítí instalované. „Zaklepejme na železo, v našem prostředí zatím žádné problematické zařízení IoT nemáme,“ prohlašuje Marrero.
Schopnost lokalizovat řešení je však jen začátek cesty. „Dále je zde viditelnost zranitelností a konfigurací,“ upozorňuje.
Přibližně před rokem Marrero skenoval zranitelnosti u jednoho zabezpečovacího alarmu pro místnosti a našel otevřené porty, které nevyžadovaly žádnou autentizaci. Kontaktovali tedy výrobce a dostali pokyny k zabezpečení zařízení. „Museli jsme však o to žádat. Nebyly to informace, jež by nám byly předané aktivně již na počátku,“ upozorňuje.
Navíc dané skenování zranitelností hledalo jen zařízení viditelná zvenku. Chtěli jsme zjistit otevřené porty a typy operačních systémů, ale jinak jsme stále slepí vůči řadě dalších možných problémů. „Existuje celá řada chyb, které se nacházejí v softwaru open source použitém v těchto zařízeních,“ varuje Marrero.
S cílem vyřešit tento problém použila společnost H.I.G. nástroj společnosti Netrise pro skenování firmwaru. „Udělali jsme ověření konceptu, při kterém jsme zkontrolovali jednu z bitových kopií firmwaru a získali jsme všechny údaje o zranitelnosti a další informace,“ pochvaluje si. „To nás ujistilo, že je to dobrý směr.“
Kontrola bitových kopií firmwaru byl ruční proces, který trval několik minut pro každý image. Protože bylo potřeba prověřit mnoho identických zařízení stejného typu, nakonec jsme museli zkontrolovat méně než dvacet různých bitových kopií. V důsledku tohoto skenování se firemní inventář zranitelností zvětšil téměř o třetinu.
„Neměli jsme tušení, že něco takového v našem prostředí existuje,“ varuje. „Ano, počet našich (známých) zranitelností vzrostl, ale polovinou bitvy je především vědět, že tyto chyby existují.“
Po objevení zranitelností H.I.G. zkontaktovala dodavatele a podnikla další kroky ke zmírnění. „Může to být v konečném důsledku i vyřazení zařízení z provozu, pokud je příliš nebezpečné a představuje neúměrně vysoké riziko pro naše prostředí, nebo pro něj zavedeme další opatření,“ popisuje Marrero.
Některé přístroje byly například zařazené do speciálního segmentu sítě a mají velmi limitované seznamy řízení přístupu (ACL) určující, jaké systémy a jací uživatelé s nimi mohou komunikovat.
„Bezpečnostní kamera například může komunikovat jen s technologickým vybavením pro její využití,“ popisuje. „Tím se sníží riziko jakéhokoli negativního využití.“
Budoucí aktualizace firmwaru probíhaje uskuteční s využitím nástroje Netrise. Než dojde k jejich nasazení, budou zkontrolované na výskyt všech, a to i nových zranitelností, uvádí Marrero.
Mezi další zásady správy IoT, které tato společnost zavedla, patří kontroly zabezpečení již při počátečním rozhodování o nákupech.
„Než koupíme jakékoli nové vybavení, zkontrolujeme si, že má určitou úroveň protokolování, které lze zasílat do našeho centralizovaného protokolovacího prostředí,“ tvrdí Marrero, a odkazuje tím na firemní systém pro správu informací a událostí zabezpečení (SIEM).
„Náš SIEM kontroluje všechny různé protokoly, které do něj zasíláme, a hledá mezi nimi souvislosti, aby se tak snížil počet falešných upozornění. Občas narazíme na zařízení, která mají velmi nezralou úroveň protokolování, a toto my kupovat nebudeme,“ dodává.
Monitorování a dohled
Jakmile se všechna zařízení identifikují, kategorizují podle rizika a v největším možném rozsahu zaktualizují a opraví, je dalším krokem vytvoření monitorovacího rámce kolem těch, které mají potenciál způsobit největší škodu.
V některých případech mohou být společnosti schopné nainstalovat software pro ochranu koncových bodů přímo do samotných zařízení IoT, aby je chránily před nebezpečnými útoky a monitorovaly stav konfigurace (aby se zajistilo, že obsahují všechny opravy, a aby docházelo k monitorování neobvyklých aktivit). To však nemusí být možné v případě některých starších a proprietárních přístrojů, jako je například právě lékařské vybavení.
Když se zařízení připojí k podnikové síti, lze takovou komunikaci monitorovat, zda neobsahuje podezřelé aktivity.
Podniky prozatím tento aspekt zabezpečení IoT mohou využívat. Podle společnosti Palo Alto je 98 % provozu zařízení IoT bez zašifrování. Zařízení IoT navíc obvykle dělají nějakou činnost stále dokola.
„Vezměte si například termostat,“ vysvětluje Wang. „Má jen posílat informaci o teplotě, a to je vše. Nemá komunikovat s dalšími servery. To je dobrá věc. Usnadňuje to modelům AI vytvářet charakteristiky správného chování.“
IoT a zero trust
Jak společnosti přecházejí na architektury zero trust, je důležité nezapomenout na připojená zařízení IoT.
Principy zero trust a zabezpečení integrované v samotném designu by se měly používat k zabezpečení těchto přístrojů a souvisejících aplikací.
Začíná to ochrannými opatřeními, jako je identifikace a autentizace zařízení, důvěryhodnými aktualizacemi řešení a dodavatelským řetězcem odolným vůči narušení, uvádí Srinivas Kumar, viceprezident pro řešení IoT ve společnosti Digicert, která je dodavatelem zabezpečení. Komunikace musí být také bezpečná, dodává.
Jednou z oborových organizací pracujících na zabezpečení zařízení IoT vytvářením standardů pro autentizaci a šifrování je WI-SUN založená přibližně před deseti lety s cílem zaměřit se na systémy IoT využívané v budovách, chytrých městech a v zemědělství.
Bezpečnostní opatření zabudovaná do standardů WI-SUN zahrnují certifikáty pro autentizaci zařízení při jejich připojení do sítě, šifrování, aby se zajistilo, že jsou všechny zprávy soukromé, a kontrolu integrity zpráv, aby se zabránilo útokům MITM (Man In The Middle).
Rostoucí geopolitické napětí znamená, že je zabezpečení těchto měřičů a dalších zařízení klíčových pro provoz kritické infrastruktury stále naléhavější.
„Pokud máte na mostě nebo železniční trati senzory kontroly strukturální integrity a někdo přijde a všechny senzory zablokuje, mohlo by mít město vážné problémy a mohlo by to vyvolat obrovský chaos,“ varuje Phil Beecher, prezident a výkonný ředitel společnosti WI-SUN.
A to je jen začátek, upozorňuje David Nosibor, šéf řešení pro platformy a vedoucí projektu SafeCyber ve společnosti UL Solutions. „Od narušení dodavatelských řetězců po omezení distribuce potravin, vody či energií mohou tyto dopady zasáhnout mnohem větší oblast než jen konkrétní organizace,“ varuje.
Zatímco důmyslnost a schopnosti útočníků rostou, trpíme nedostatkem odbornosti personálu v oblasti kyberbezpečnosti. Navíc k tomu všemu existuje vlna předpisů, protože si zákonodárci více uvědomují rizika.
„Tyto výzvy jsou vzájemně propojené,“ dodává Nosibor. „Bohužel mnoho organizací nedokáže se složitostí udržet krok.“
Tento příspěvek vyšel v SecurityWorldu 1/2023.
Security World si můžete koupit i jako klasický časopis, buď v klasické tištěné formě nebo v elektronické verzi. Věnujeme se bezpečnosti počítačových systémů, ochraně dat, informací a soukromí. Jsme jediný titul na českém a slovenském trhu, který oslovuje širokou čtenářskou obec – od ředitelů firem, přes odborníky na bezpečnost po koncové uživatele. Naším cílem je poskytnout ucelený přehled o bezpečnostních hrozbách a zejména o tom, proč a jak se jim bránit, případně proč respektovat a dodržovat nařízení IT manažerů ve firmách.
Chcete si článek dočíst?
Tento článek je exkluzivní obsah pouze pro odběratele našeho newsletteru.
PŘEDPLATNÉ
ČLÁNKY DO MAILU