Các chuyên gia của Check Point thảo luận về các mối đe dọa an ninh IoT và cách chuẩn bị cho chúng

Eyal Manor, Giám đốc Sản phẩm Quản lý Sản phẩm Ngăn chặn Đe dọa và Quản lý An ninh tại Check Point, và Oded Vanunu, Kỹ sư Công nghệ Chính và Trưởng Nhóm Nghiên cứu Nguy cơ Sản phẩm tại công ty, đã nói chuyện với asmag.com về cách các nhà sản xuất và người dùng có thể áp dụng các nguyên tắc an ninh vào sản phẩm IoT của họ.
 
C: Theo anh, khoảng cách lớn nhất trong quản lý an ninh mạng IoT là gì?
 
Manor: Các tổ chức phụ thuộc vào các thiết bị đầu cuối để cung cấp kết nối. Đây là các thiết bị như bộ chuyển mạch, bộ định tuyến, thiết bị truy cập từ xa, v.v. Tuy nhiên trong 18 tháng qua, chúng tôi đã phát hiện rằng rất nhiều trong số chúng có những lỗ hổng cho phép các kẻ tấn công xâm nhập vào mạng. Và điều này xảy ra với tất cả các nhà cung cấp: cisco, Fortinet, Palo Alto, Checkpoint đều bị xâm phạm.
 
Vấn đề là chúng ta đang phải đối mặt với một số lượng lớn các thiết bị (ví dụ như máy in, máy quay IP) có thể được sử dụng như những điểm xâm nhập.
 
Thông thường, đây là những cuộc tấn công phức tạp hơn, chủ yếu được sử dụng bởi các tổ chức chính phủ. Tuy nhiên, luôn có sự lan truyền từ các nhóm tấn công cấp nhà nước vào thế giới tội phạm. Một cơ quan tình báo chính phủ sẽ phát hiện ra lỗi chưa được ghi nhận và sử dụng nó, đôi khi trong một cuộc tấn công ngắn hạn, và đôi khi là dài hạn, và đây là nơi mà giá trị lớn nhất cho kẻ tấn công được đạt được. Tuy nhiên, một khi nó được phát hiện, công cụ này trở nên thương mại và các tội phạm bắt đầu sử dụng nó. Và một khi nó xuất hiện, số lượng lớn các kẻ lừa đảo và nhóm tội phạm ngay lập tức cố gắng kiếm tiền từ nó.
 
Khoảng cách lớn nhất mà tôi thấy trong quản lý an ninh mạng IoT là thiếu hiểu biết và ưu tiên của các tổ chức để giải quyết vấn đề này. Ngay cả các công ty nhận ra tầm quan trọng của vấn đề này đôi khi cũng trì hoãn việc khắc phục vấn đề với những lý do vận hành như “nó khó để thay đổi mật khẩu, vá lỗi, phát hiện tất cả các thiết bị” v.v.
 
Chúng ta cần đặt cùng một mức độ nhận thức và sự chú ý vào thiết bị IoT và thiết bị di động. Đây là một trong những hướng tấn công lớn.
 
Tuy nhiên, may mắn thay, quy định đang thúc đẩy nhận thức, GDPR là một ví dụ điển hình, một khi cơ quan quản lý yêu cầu các nhà cung cấp thực hiện thay đổi, đây là một động lực tốt. Tại Mỹ, chính quyền Biden đã bắt đầu quy định (U.S. Cyber Trust Mark) liên quan đến IoT – ai bạn mua từ, những gì bên trong v.v.
 
C: Phương pháp tiếp cận của Check Point là gì?
 
Manor: Chúng tôi muốn cung cấp an ninh cho IoT một cách liền mạch và đơn giản. Chúng tôi hiểu rằng việc tạo bản đồ tất cả các thiết bị trong tổ chức là khó khăn. Điều chúng tôi đang làm là tận dụng dấu vết của các thiết bị bảo mật mạng hiện có, chúng tôi học hỏi về mạng, xác định các thiết bị, và những gì chúng được kỳ vọng sẽ thực hiện. Nếu có điều gì bất thường, chúng tôi chặn nó. Chúng tôi đang cố gắng bridge khoảng cách giữa khả năng của tổ chức để tạo bản đồ các thiết bị và xác định điều gì đang xảy ra. Cần phải xây dựng cơ sở dữ liệu về các thiết bị bạn sở hữu, xác định sự phơi bày, và khó khăn nhất là quyết định điều gì là đúng và sai khi phân tích lưu lượng. Lấy một thiết bị như màn hình thông minh hoặc TV thông minh làm ví dụ. Liệu việc nó kết nối với internet có ổn không? Câu trả lời phụ thuộc vào việc lưu lượng đang cố gắng làm gì.
 
C: Oded Vanunu, Chuyên gia Công nghệ Chính, WEB 3.0 & Trưởng Nhóm Nghiên cứu Nguy cơ Sản phẩm.
 
Oded đã làm việc tại Checkpoint trong 22 năm qua. Anh ấy phục vụ như là chuyên gia công nghệ chính, trưởng nhóm nghiên cứu lỗ hổng, và tập trung vào mặt tấn công của an ninh mạng, điều tra, săn lùng, và phát hiện các hoạt động tội phạm mạng. Trong vai trò của mình, anh ấy đã phát hiện và công bố hàng trăm lỗ hổng cho ngành công nghiệp và hệ sinh thái infosec. Anh ấy cũng là tác giả của một cuốn sách về hack trong crypto và blockchain, và là CTO của một tường lửa mới cho một sản phẩm blockchain đang được phát triển.
 
Trong cuộc phỏng vấn của chúng tôi, chúng tôi đã thảo luận về cách các nhà sản xuất và người dùng có thể áp dụng các nguyên tắc an ninh vào sản phẩm IoT của họ và vai trò và tầm quan trọng của quy định.
 
C: Sự kết hợp giữa số lượng lớn thiết bị IoT và sự phức tạp của môi trường hiện đại khiến chúng trở thành một hướng tấn công đang tăng lên. Nếu anh là CISO, điều gì sẽ là ưu tiên hàng đầu trong chương trình nghị sự của anh?
 
Vanunu: Hãy cố gắng giải quyết và hiểu vấn đề. Trước hết, chúng ta cần hiểu cách các kẻ tấn công suy nghĩ và khai thác các thiết bị này. Mỗi thiết bị IoT có hai khía cạnh: phần cứng và phần mềm.
 
Phần cứng bao gồm tất cả các chip và các quy trình phần cứng, và mỗi phần có phần mềm riêng của nó trên đầu, của riêng nó, firmware. Khi nhà sản xuất phát hành thiết bị này ra thị trường, nếu một kẻ tấn công nắm giữ thiết bị như vậy, họ có thể tái tạo và tìm thấy các lỗ hổng trong phần mềm cho phép họ xâm nhập và thực thi mã trên thiết bị.
 
Trong nghiên cứu của tôi tại Checkpoint, tôi đã phát hiện ra các lỗ hổng trong Amazon Alexa cho phép tôi tải lên các kỹ năng độc hại lên thiết bị và kiểm soát nó. Chúng tôi đã phát hiện ra các lỗ hổng trong hệ sinh thái thông minh của LG và các drone DJI (truy cập vào các tài khoản SaaS của người dùng – hình ảnh và địa điểm). Rủi ro là một khi một thiết bị nhà thông minh được kết nối vào mạng, nó được coi là một thiết bị được tin cậy. Nếu một hacker chiếm quyền kiểm soát nó, họ có thể xâm nhập và tấn công toàn bộ mạng.
 
Các thiết bị IoT dễ bị tổn thương hơn vì hai nguyên nhân chính: Thứ nhất, số lượng lớn của chúng – có hàng tỷ chiếc. Thiết bị nhà thông minh (như máy quay hoặc thiết bị nhà thông minh) là phổ biến nhất và do đó dễ bị tấn công nhất. Các thiết bị OT có tính chất cụ thể hơn và yêu cầu một cách tiếp cận mục tiêu và “đặc biệt” hơn từ phía kẻ tấn công, thường thấy với các cuộc tấn công được hậu thuẫn bởi nhà nước.
 
Nguyên nhân thứ hai là các nhà cung cấp IoT không thiết kế sản phẩm của họ với an ninh mạng trong tâm trí. Họ tập trung vào việc kiểm soát chi phí và tốc độ ra thị trường, điều này mở cửa cho các cuộc tấn công chuỗi cung ứng. Do phần cứng có nhiều thành phần chuyển động, CISOs và các đội ngũ bảo mật thông tin cần đảm bảo rằng tất cả phần cứng và phần mềm đều được đồng bộ hóa và cập nhật. Họ cần duy trì tính toàn vẹn của dữ liệu giữa các thành phần phần cứng và phần mềm, và đảm bảo rằng các nhà sản xuất thực hiện các cấu hình an toàn được xác minh để ngăn chặn việc thao tác. Checkpoint cung cấp một giải pháp cho các sản phẩm IoT tích hợp bảo mật ở cấp độ phần cứng.
 
C: Quy định hoặc tiêu chuẩn có vai trò gì trong việc đảm bảo an ninh IoT?
 
Vanunu: Khóa để giải quyết vấn đề này là đảm bảo tính toàn vẹn của các thiết bị IoT ở giai đoạn sản xuất, trước khi chúng được tung ra thị trường. Cần có quy định và quản lý nên thuộc trách nhiệm của chính phủ hoặc các cơ quan an ninh mạng. Các cơ quan này có thể giúp các nhà sản xuất đảm bảo các sản phẩm của họ được ký số và không thể thao tác trước khi được triển khai. Ít nhất, các quy định nên yêu cầu các thiết bị IoT được cập nhật thường xuyên để duy trì an ninh theo thời gian.
 
C: Các nguyên tắc cơ bản cho an ninh mạng IoT là gì?
 
Vanunu: Vì các thiết bị IoT giao tiếp với phần còn lại của mạng, an ninh nên theo tiếp cận nhiều lớp để hạn chế quyền truy cập. Ở cấp độ phần cứng, các biện pháp bảo mật nên được nhúng bởi nhà cung cấp IoT. Ở cấp độ phần mềm, nên có một giải pháp bảo mật dựa trên mạng để theo dõi các kết nối độc hại. Tôi không thấy Zero Trust sẽ xảy ra trong IoT vì phần lớn các nhà sản xuất thiếu kỹ năng, kiến thức và ngân sách để triển khai nó. Checkpoint đang bù đắp khoảng trống này bằng cách giả định rằng người dùng sẽ không cập nhật thiết bị của họ và thay vào đó tập trung vào việc bảo vệ chống lại các cuộc tấn công mạng một cách chủ động.
 
Lớp thứ ba là kiểm soát quyền truy cập – ai có thể xem và kiểm soát thiết bị, cả về mặt vật lý và logic. Các thiết bị IoT không nên bị cô lập nhưng nên được tích hợp vào các kiểm soát bảo mật tổng thể của công ty, vì chúng là một phần của cơ sở hạ tầng quan trọng.

C: Anh có lời khuyên nào về việc triển khai các biện pháp bảo mật IoT? Làm thế nào các công ty có thể bảo vệ các thiết bị IoT cũ không thể cập nhật hoặc thay thế một cách dễ dàng?

Vanunu: Vấn đề lớn nhất với các thiết bị IoT là không ai cập nhật chúng, và rất nhiều nhà sản xuất không ưu tiên an ninh mạng. Hàng trăm lỗ hổng được phát hiện mỗi ngày. Tuy nhiên, từ góc độ người dùng, chỉ việc nhận thức về thiết bị và kiểm soát quyền truy cập có thể tăng cường an ninh đáng kể.
 
Người dùng không nên để các thiết bị tiếp xúc với thế giới bên ngoài, duy trì quyền truy cập được kiểm soát, kích hoạt xác thực hai yếu tố, và thay đổi mật khẩu mặc định. Những bước đơn giản này có thể ngăn chặn nhiều cuộc tấn công tiềm năng.