El Internet de las cosas (IoT) es un ecosistema de cosas conectadas (dispositivos estacionarios o móviles). Un informe del Business 2016 informó que habrá 34 mil millones de dispositivos conectados a Internet en 2020, frente a 10 mil millones en 2015. Además, los dispositivos IoT representarán 24 mil millones de ellos, mientras que los dispositivos informáticos tradicionales (por ejemplo, smartphones, smartwatches) será de 10 mil millones. Y cerca de US $ 6 billones se gastarán en soluciones IoT durante los próximos cinco años.1
¿Por qué necesitamos seguridad IoT?
La industria está cambiando rápidamente y los nuevos casos de uso de IOT están madurando. Se está agregando cada vez más funcionalidad a los sistemas IoT para obtener ventajas y ventajas funcionales de primer nivel, mientras que la seguridad de los dispositivos del sistema IoT se suele ignorar durante el diseño. Esto es evidente a partir de hackeos recientes:
- La Administración de Alimentos y Medicamentos de los EE. UU. Emitió consejos de seguridad para dispositivos cardíacos sobre la amenaza de hacking, y el Hospital de Investigación St. Jude para Niños corrigió los dispositivos médicos vulnerables a dispositivos IoT.2
- Los piratas informáticos demostraron un ataque inalámbrico en el automóvil modelo S de Tesla.3
- Los investigadores hackearon los TVs Vizio Smart para acceder a una red doméstica.4
Otras fuentes de agujeros de seguridad ocurren durante la instalación de IoT y la configuración posterior a la instalación. Una encuesta de seguridad ForeScout IoT declaró que “los encuestados, que inicialmente pensaban que no tenían dispositivos IoT en sus redes, en realidad tenían ocho tipos de dispositivos IoT (cuando se les pidió que eligieran de una lista de dispositivos) y sólo 44 por ciento de los encuestados tenían una política de seguridad conocida Para IoT”.5
Sólo el 30 por ciento está seguro de que realmente saben lo que los dispositivos IoT están en su red.6
Estos hackeos y sus implicancias de los resultados de la encuesta de ForeScout indican que la seguridad de IoT debe ser implementada holísticamente. Esto requiere entender la arquitectura IoT.
Arquitectura IoT
El Zachman Framework7 responde por qué, cómo, qué, quién, dónde y cuándo preguntas alrededor de IoT. Respuestas a cómo y qué preguntas se explican en las cuatro capas de arquitectura. La Figura 1 muestra “La arquitectura de seguridad de IoT explicada a través de” preguntas que se deben responder a través del enfoque de Zachman Framework.
Una comprensión conceptual de alto nivel de IoT implica entender los requisitos de seguridad de IoT. La información fluye de la capa de borde (es decir, dispositivos IoT, ensamblajes/máquinas) a la capa de datos a la capa de inteligencia empresarial (BI) a la capa de operaciones y estrategia (OpS), como se muestra en la figura 2. Una red local o una WAN conectan dispositivos y capas. A menudo, muchos dispositivos se agrupan para soportar un conjunto de componentes o una máquina. La comunicación entre dispositivos puede o no estar presente en una máquina. Los dispositivos y conjuntos se conectan a una puerta de enlace para encapsular características únicas del dispositivo y para una mejor estandarización y gestión.
Un enfoque holístico incluye seguridad para cada capa y seguridad de las comunicaciones entre las capas. Las capas distintas de la capa de borde pueden alojarse en locales o en la nube. Es importante entender los requisitos de seguridad en cada una de las capas.
Seguridad de la capa de borde
La seguridad de IoT debe ser parte de los temas relevantes de la seguridad de la información. Los dispositivos/sensores de borde producen datos que son procesados por componentes ascendentes de la arquitectura IoT. El volumen de datos producidos por estos dispositivos es mucho más que el volumen de datos producidos por la actividad de los usuarios de Internet.
Hay una competencia significativa en la seguridad basada en dispositivos y un amplio espectro de software de gestión de IoT hub y Gateways, y hay una plétora de estándares. Organizaciones como Microsoft, IBM y Allegro han hecho un buen trabajo al envolver la seguridad basada en dispositivos en interfaces de programación de aplicaciones (API) y herramientas de nivel superior. Los componentes básicos de la arquitectura de seguridad de la capa de borde se representan en la figura 3. El hub o el Gateway soportan administración de seguridad, administración de almacenamiento y componentes de comunicaciones relacionados con la seguridad de IoT.
Los dispositivos pueden interconectarse o comunicarse con hub, y como software de comunicación necesita una huella o footprint con capacidad de encolamiento.
El protocolo TCP (Transmission Control Protocol) basado en socket, la comunicación peer-to-peer utilizado anteriormente, se ha mejorado incluyendo mejores protocolos como:
- Message Queuing Telemetry Transport (MQTT)—Un protocolo basado en TCP que admite la autenticación del dispositivo, encriptación SSL (Secure Sockets Layer), seguridad en la capa de transporte (TLS), encola publica/suscribe capacidades
- Constrained Application Protocol (CoAP)—Protocolo de transporte basado en protocolo de datagramas de usuario (UDP), soporta micro dispositivos y tiene una huella mucho menor que HTTP. Soporta cifrado Advanced Encryption Standard (AES).8
Una red de área local inalámbrica (WLAN) se utiliza en muchos sectores con seguridad WPA2. La seguridad Wi-Fi es más comúnmente hackeada debido a la configuración de seguridad inadecuada y la mala elección de contraseñas.
Una puerta de enlace puede conectarse a varios concentradores y proporcionar protocolos de transferencia de datos de nivel superior como HTTPS, que admite el cifrado TLS y la mensajería de Representational State Transfer (REST)-Simple Object Access Protocol (SOAP).
Los proveedores de dispositivos y hub necesitan soportar protocolos de seguridad y administración, como se describe aquí, y este soporte puede complicarse debido a múltiples protocolos y aseguramiento de la autenticación.
Otro problema a vigilar es el mal funcionamiento del dispositivo IoT. Un mal funcionamiento puede ocurrir debido a una violación de seguridad o por otras razones. Un mal funcionamiento puede provocar que un dispositivo vuelva a intentar acceder a los datos, y sin una configuración adecuada que limite el número de reintentos, puede haber un número infinito de reintentos. Cuando cada reintento envía un mensaje de error al hub, el concentrador puede terminar recibiendo mensajes de error infinitos (similar a un ataque distribuido de denegación de servicio [DDoS]) y el concentrador de IoT podría dejar de operar debido a una carga excesiva, afectando así Disponibilidad del centro.
Un mal funcionamiento puede impedir que un dispositivo IoT genere datos. Esto hace que el concentrador no reciba ningún dato, lo que afecta la integridad del concentrador. Por lo tanto, un mal funcionamiento del dispositivo puede afectar la disponibilidad y la integridad (cualidades básicas de la seguridad de la información) de la seguridad IoT.
Seguridad de la capa de datos
La capa de datos incluye actividades como la ingesta de datos, la ingeniería de datos y la transformación de datos mediante SQL (Structured Query Language) o tecnologías NoSQL con bases de datos/almacenes tradicionales o grandes tecnologías de datos. Las bases de datos basadas en SQL ofrecen títulos de fila y columnas. Las grandes tecnologías de datos anteriores sólo ofrecían seguridad de nivel de sistema operativo o de sistema operativo (OS), pero ahora ofrecen seguridad de nivel inferior, por ejemplo, Apache Sentry9 con autorización basada en roles.
Las subcapas de seguridad en esta capa incluyen seguridad de red, autenticación y autorización, enmascaramiento y/o cifrado estándar de la industria de almacenamiento de datos y administración de datos. La administración de datos requiere una discusión aparte, pero incluye la arquitectura de datos empresariales, el linaje de datos, la auditoría y el gobierno. Una mala arquitectura de datos y/o una mala gestión del linaje de datos podría comprometer la consistencia y disponibilidad de los datos.
La confidencialidad debe ser mantenida por adherirse a varios estándares de la industria tales como la Ley de Portabilidad y Responsabilidad de los Seguros de Salud de los Estados Unidos (HIPAA) y los Datos de la Industria de Tarjetas de Pago Norma de seguridad (PCI DSS) que rige el almacenamiento, el acceso y la transmisión de datos. Un artículo anterior de ISACA Journal, titulado “Regreso al futuro en la seguridad de los dispositivos: aprovechar las FIPP para gestionar proactivamente la privacidad y el riesgo de seguridad de IoT”,10 explica el diseño de consideraciones de privacidad en el procesamiento de datos generados a partir de componentes IoT.
Capa de seguridad BI
El enmascaramiento de datos, la autorización basada en funciones y el inicio de sesión único (SSO) proporcionan seguridad en esta capa, además de la seguridad de la red y los firewalls. La gestión del modelo BI (predictivo, prescriptivo) es un tema de gobernanza de la información. Se requieren pruebas y validación suficientes para estos modelos. El uso de inteligencia defectuosa puede conducir a decisiones de negocios mal informadas, que pueden arruinar la Reputación y credibilidad.
Tecnologías de prevención de pérdida de datos (DLP) y respaldo deben también ser considerados para mayor seguridad.
Seguridad de la capa de OpS
Existe de retroalimentación desde las aplicaciones/sistemas de operación a los dispositivos. La seguridad de red tradicional y los firewalls, el acceso y las autorizaciones de las aplicaciones basadas en funciones y el SSO proporcionan seguridad en esta capa.
Las herramientas de DevOps minimizan el riesgo de una construcción incorrecta y/o Configuración incorrecta, lo que podría afectar la disponibilidad del sistema.
Una estrategia puede decidir un curso de acción basado en los resultados de BI. Una estrategia puede ser simplemente monitorear los datos recibidos de los dispositivos IoT, o puede incluir procesar datos recibidos de dispositivos IoT y alterar el comportamiento de los dispositivos IoT basados en límites aceptables de lecturas de datos de los dispositivos. Tanto la estrategia (requisito y diseño) como el ciclo de retroalimentación (implementación) necesitan ser validados/probados.
Modelado de amenazas y gestión de riesgos
La Figura 2 muestra un ciclo de realimentación opcional de la capa OpS a la capa de borde. En los casos en que falta el ciclo de retroalimentación y los datos de los dispositivos se consideran no sensibles, se puede reducir el acceso a los datos y la seguridad de cifrado de acuerdo con la gestión de riesgos adecuada.
Las estrategias de mitigación y respuesta al riesgo pueden basarse en las siguientes preguntas:
- ¿Puede un dispositivo comprometido comprometer otros dispositivos o el concentrador?
- ¿Con qué rapidez puede detectarse y aislarse un dispositivo comprometido?
- ¿Cuál es el impacto de un dispositivo comprometido?
Estas preguntas no son exhaustivas y deben utilizarse como guía inicial para la gestión del riesgo.
Conclusión
La seguridad de IoT a menudo carece de consideración prioritaria cuando se están diseñando e implementando sistemas basados en IoT. Seguridad IoT no significa sólo seguridad a nivel de dispositivo; debe aplicarse a todos los componentes y capas del sistema IoT. La seguridad debe ser abordada en todas las etapas del ciclo de vida del sistema IoT incluyendo las fases de diseño, instalación, configuración y operación.
Adicionalmente, las contraseñas fuertes y las claves de certificados, los identificadores y nombres de dispositivos o host difíciles de adivinar, el monitoreo y análisis de registros, la administración proactiva de usuarios y dispositivos y la adhesión a guías industriales y recomendaciones de seguridad de organizaciones como el US National Institute of Standards and Tecnología y la Organización Internacional de Normalización complementarán la seguridad del sistema IoT.
Notas Finales
1 BI Intelligence, “Here’s How the Internet of Things Will Explode by 2020,” Business Insider, 31 August 2016, www.businessinsider.com/iot-ecosystem-internet-of-things-forecasts-and-business-opportunities-2016-2
2 Bacon, M.; “St. Jude Medical Finally Patches Vulnerable Medical IoT Devices,” TechTarget, 13 January 2017, http://searchsecurity.techtarget.com/news/450410935/St-Jude-Medical-finally-patches-vulnerable-medical-IoT-devices
3 Golson, J.; “Car Hackers Demonstrate Wireless Attack on Tesla Model S,” The Verge, 19 September 2016, www.theverge.com/2016/9/19/12985120/tesla-model-s-hack-vulnerability-keen-labs
4 Zorz, Z.; “Researchers Hack Vizio Smart TVs to Access Home Network,” Help Net Security, 12 November 2015, https://www.helpnetsecurity.com/2015/11/12/researchers-hack-vizio-smart-tvs-to-access-home-network/
5 ForeScout, IoT Security Survey Results, https://www.forescout.com/iot-security-survey-results/
6 Ibid.
7 Zachman, J.; “The Concise Definition of the Zachman Framework,” Zachman International Enterprise Architecture, 2008, https://www.zachman.com/about-the-zachman-framework
8 Eclipse, MQTT and CoAP, IoT Protocols, www.eclipse.org/community/eclipse_newsletter/2014/february/article2.php
9 Sentry, Apache Sentry, http://sentry.apache.org/
10 Rotman, D.; C. Kypreos; S. Pipes; “Back to the Future in Device Security: Leveraging FIPPs to Proactively Manage IoT Privacy and Security Risk,” ISACA Journal, vol. 6, 2015, www.isaca.org/resources/isaca-journal/issues
Hemant Patel, CISM, ITIL, PMP, TOGAF
Es un asesor principal de Computer Sciences Corporation, SC, como parte del equipo de Chief Technology Officer de los Estados Unidos. Su experiencia incluye arquitectura empresarial de TI, seguridad de la información, planificación de carteras, grandes datos, web y comercio electrónico, análisis, planificación de recursos empresariales y sistemas de gestión de relaciones con clientes. Su experiencia global incluye trabajar en las industrias de defensa, manufactura, salud, servicios públicos, banca y seguros. Patel puede ser contactado en hpatel63@csc.com o mr.hemant.patel@hotmail.com.