Proteja Seus Dispositivos Inteligentes: Melhores Práticas para Segurança IoT

Neste artigo, usaremos o termo "Internet das Coisas" ou "IoT" como termo abrangente para descrever dispositivos inteligentes interconectados, comunicação machine-to-machine (M2M) e tecnologias relacionadas de software/hardware.

Os insights de dados e potencial de automação fornecidos por tecnologias Internet das Coisas (IoT) criaram grandes oportunidades para melhoria de processos e outras revoluções em como empresas operam. A popularidade desses dispositivos está crescendo muito — O mercado global de IoT é estimado para alcançar 22 bilhões de dispositivos ativamente conectados para diferentes indústrias IoT em todo o mundo até 2025.

Como com qualquer nova tecnologia, a Internet das Coisas não está isenta de suas desvantagens de cibersegurança. Qualquer empresa buscando implementar dispositivos IoT precisa fazê-lo com cibersegurança como preocupação predominante se desejam manter seus dispositivos, sistemas e dados seguros.

Como a IoT Pode Ajudar Empresas?

Tecnologias sob o guarda-chuva IoT podem fazer maravilhas para empresas em uma variedade de setores, embora um impacto significativo tenha sido demonstrado com seu uso em empresas industriais.

Dispositivos IoT, junto com outras tecnologias em rápido desenvolvimento como impressão 3D, inteligência artificial, computação quântica e avanços em armazenamento de energia, desencadearam uma revolução sem precedentes nas capacidades de empresas industriais, levando ao que está se tornando conhecido como a Quarta Revolução Industrial.

Dispositivos IoT permitem que empresas industriais:

• Controlem e monitorem remotamente suas cadeias de suprimentos
• Combinem sensores IoT com tecnologia existente para auxiliar na previsão e implementação de manutenção preventiva monitorando sinais de desgaste e enactando a solução necessária.
• Operem seus processos de forma mais eficiente energeticamente através de dados de energia em tempo real

Para empresas em outros setores, dispositivos IoT podem trazer mudanças consideráveis na forma de insights de dados aprimorados. Essas melhorias podem fornecer às empresas benefícios que incluem maior controle de estoque/inventário, eficiência aprimorada de agendamento e redução de desperdício, entre outros aprimoramentos.

Os Perigos da IoT

Embora haja uma clara vantagem que pode ser obtida através da coleta de dados e automação que vem com dispositivos IoT, eles não estão isentos de riscos. Muitos usuários de IoT e dispositivos inteligentes não percebem o quão acessíveis alguns de seus dispositivos podem ser. O motor de busca Shodan vasculha a web por dispositivos com proteção de senha fraca e exibe capturas de tela do que conseguiu acessar — os exemplos mais notáveis sendo streams de câmeras de segurança IoT usadas tanto em espaços empresariais quanto em residências privadas.

Esta lista está longe de ser abrangente, no entanto, serve como lembrete que dispositivos IoT inseguros podem ser explorados e devem ser implementados com a devida cautela.

Falta de Segurança Integrada para IoT e Dispositivos Inteligentes

Empresas desejando alavancar o poder da IoT precisam garantir que os fabricantes de dispositivos IoT que usam estão levando cibersegurança a sério.

Em um esforço para massificar seus dispositivos e manter custos baixos, muitos fabricantes de dispositivos inteligentes optaram por não investir em cibersegurança e priorizaram a custo-efetividade de seus dispositivos para atrair compradores para este mercado em evolução.

Enquanto governos como Reino Unido e EUA estão começando a levar legislação de cibersegurança IoT a sério, na maior parte, a pressão externa sobre fabricantes de dispositivos inteligentes para priorizar cibersegurança em seu processo de desenvolvimento de dispositivos não tem sido suficiente.

Muitos dispositivos inteligentes não vêm integrados com recursos de autenticação de dois fatores (2FA), nem criptografam os dados que coletam e transferem. Até que fabricantes de dispositivos inteligentes sejam responsabilizados por implementar segurança como prioridade desde o primeiro dia de desenvolvimento, dispositivos inteligentes continuarão a ser um vetor viável para ameaças de cibersegurança.

Exemplos de Violações de Segurança IoT

Historicamente, dispositivos IoT foram usados como ponto de entrada para ataques de malware. Para fornecer mais contexto, aqui estão alguns exemplos de alto perfil.

Ataques de Negação de Serviço Distribuída (DDoS)

Em 2016, uma botnet conhecida como "Mirai" executou um ataque de Negação de Serviço Distribuída (DDoS) explorando as senhas padrão de uma variedade de dispositivos IoT. O ataque DDoS levou à perda de conectividade de internet para um grande segmento da costa leste dos Estados Unidos.

A facilidade relativa com que este ataque foi implementado fornece insights sobre como tecnologias IoT podem ser exploradas para propósitos nefastos, e estava longe de ser o único ataque de botnet alimentado por dispositivos IoT comprometidos.

Tentativa do Stuxnet de Destruir Maquinário Nuclear

Embora os criadores do Stuxnet não sejam confirmados, estudo extensivo deste worm de computador altamente evasivo confirmou seu propósito — alvejar centrífugas usadas em usinas nucleares e reprogramá-las para realizar ciclos danosos a seus componentes físicos. Stuxnet fornece um conto de advertência que as vulnerabilidades de maquinário conectado podem causar problemas maiores que dados perdidos e software desabilitado — eles podem causar danos físicos sérios aos dispositivos, ou até mesmo colocar vidas em risco.

Como um Termostato Levou a uma Violação de Dados

Um cassino não identificado em Las Vegas teve um banco de dados de dados de clientes roubado da maneira mais inesperada possível — através do termostato de seu aquário. O cassino usava um termostato IoT conectado via wifi para monitorar e ajustar a temperatura do aquário. Como o termômetro estava na mesma rede que os dados de seus clientes, cibercriminosos foram capazes de explorar as vulnerabilidades do termômetro para usá-lo como ponto de entrada.

Mudando de Cloud Computing para Fog Computing

Contrário à crença popular, a Internet das Coisas pode funcionar sem um provedor de cloud computing externo, no entanto, as vantagens do cloud computing devem ser fortemente consideradas antes de decidir mudar para uma solução sem nuvem.

Empresas que desejam ter controle total sobre seus dados podem alavancar sua própria infraestrutura de "fog computing" controlada localmente para permitir que processem e transmitam seus dados IoT sem compartilhá-los com um provedor de cloud computing externo.

Fog computing é uma infraestrutura de computação descentralizada que transmite dados de dispositivos IoT para um gateway na rede de área local (LAN) que lida com a transmissão dos dados para o hardware de processamento apropriado — o uso de hardware local para este processamento de dados é frequentemente chamado de "edge computing". Embora fog computing e edge computing ofereçam uma suíte de vantagens incluindo latência reduzida e maior controle de como dados são compartilhados e transmitidos, eles não estão isentos de suas vulnerabilidades.

Empresas que alavancam fog computing e edge computing para armazenar e transmitir seus dados são as únicas provedoras das medidas de cibersegurança físicas, processuais e técnicas necessárias para proteger os dados que coletam, o que não é tarefa pequena.

Provedores líderes de cloud computing estão pesadamente investidos em implementar e manter medidas líderes de cibersegurança para proteger os dados que armazenam, transmitem e processam, já que todo seu modelo de negócio depende de sua confiabilidade e segurança. Empresas que simplesmente querem usar dispositivos IoT como uma atualização para suas operações usuais podem não razoavelmente ser capazes de manter um nível similar de segurança como provedores de cloud computing, levando a maiores riscos de cibersegurança se seu uso de fog computing não for realizado com medidas de cibersegurança igualmente robustas.

Como Usar Dispositivos IoT com Segurança

Embora não isentos de riscos, dispositivos IoT apresentam uma oportunidade sem precedentes para avanços em coleta e transmissão de dados que podem levar a ganhos incríveis em capacidades e eficiência. Para usar dispositivos IoT com segurança, existem medidas-chave de segurança que podem ser implementadas.

Criptografe Dados Sensíveis

Embora o processo de criptografar dados antes de serem enviados para processamento ao provedor de cloud computing possa causar atrasos na transmissão de dados, é um passo importante para dados sensíveis. Empresas que transmitem dados sensíveis (como dados médicos) de um dispositivo IoT para a nuvem precisam levar a sensibilidade desses dados a sério, porém dados mais inocentes podem ser deixados sem criptografia.

Use Senhas Únicas

Como visto com o ataque DDoS da botnet Mirai, um dos métodos usados para explorar dispositivos IoT é através de software que tenta obter entrada usando senhas padrão de fábrica conhecidas usadas pelo fabricante do dispositivo IoT.

Além de alterar as senhas padrão de fábrica para uma senha única, dispositivos IoT que são usados devem ser fabricados de forma que os dispositivos não possam ser resetados para a senha padrão de fábrica, pois a capacidade de resetar para uma senha padrão poderia fornecer a cibercriminosos um vetor adicional para ataques.

Use uma Rede Separada para Dispositivos IoT

Para empresas que são controladoras de dados sensíveis, esses dados devem ser mantidos em uma rede separada de seus dispositivos IoT. Devido à relativa imaturidade da segurança de dispositivos IoT, mantê-los em uma rede separada reduz a possibilidade de que possam ser usados como ponto de entrada para a rede principal.

Escolha Seus Provedores de Cloud e Dispositivos IoT com Sabedoria

Empresas que optam por aproveitar o poder do cloud computing para seus dispositivos IoT precisam escolher cuidadosamente um provedor de plataforma de cloud IoT que possam confiar para proteger os dados que armazenam e processam em seus sistemas. Eles também precisarão escolher produtos IoT fabricados com cibersegurança como uma preocupação significativa.

Ao decidir provedores de dispositivos IoT para suas necessidades, considere o seguinte:

• O fabricante do dispositivo fornece um ponto de contato público para relatórios de vulnerabilidade de cibersegurança? Eles têm histórico de levar esses relatórios a sério?
• Por quanto tempo o fabricante do dispositivo fornecerá atualizações de segurança para seus produtos?
• O fabricante do dispositivo prioriza cibersegurança como parte de seu mandato de produção?

Considerações de cibersegurança do provedor de serviços de cloud IoT (CSP):

• O CSP tem histórico de levar cibersegurança a sério?
• Quais medidas de cibersegurança o CSP tomou para proteger dados?
• O CSP pode oferecer criptografia e outras medidas de segurança em escala à medida que a infraestrutura IoT cresce?

A lista acima está longe de ser abrangente e cada caso de uso de negócio terá considerações únicas de cibersegurança. À medida que tecnologias IoT continuam a contribuir para crescimento rápido, empresas buscando aproveitar os insights e recursos em evolução fornecidos por elas precisarão priorizar cibersegurança primeiro e continuar a pesquisar e implementar as melhores soluções possíveis para suas necessidades.