אבטחת מערכות Internet of things (IoT) מהווה כיום אתגר מרכזי בארגונים רבים.
זה נובע מהעובדה כי השימוש בו נמצא בעליה אקספוננציאלית והוא טומן בחובו מורכבויות רבות.
כבר אי אפשר להתעלם מהשילוב של IoT בבתים חכמים, ערים חכמות, מערכות בריאות וכמובן תעשייה 4.0 שבה זה מכונה Industrial Internet Of Things (IIoT).
אחת המורכבויות שכרוכה בבדיקת IoT היא שמדובר במערכת שלמה של בדיקות, לדוגמה: ניסיונות התחברות למעגל החשמלי במטרה להגיע למערכת ההפעלה והתוכנה, ניסיונות האזנה למידע המועבר בדרכים שונות, גישה לשרתים ויישומים ניידים, וכמובן בחינת החוסן של ממשקי API וממשקי אינטרנט.
לפיכך, הבדיקות אמורות להקיף מגוון טכנולוגיות ולהתייחס למספר ווקטורי תקיפה אפשריים.
בכדי לקבוע קווים מנחים לבדיקות חדירות למערכות אלו, החלו גופים בינלאומיים למסד את הנושא באמצעות סטנדרטים כגון NIST 1800-32 שעוסק במתודולוגיה בתחום, MITRE מבחינת תרחישי תקיפה וכמובן OWASP שהינו גוף מוביל במתודולוגיה של מבדקי חדירות. כך נקבעה רשימת ה- Top 10 נושאים לבדיקה למערכות IoT והיא:
- זיהוי סיסמאות חלשות, או מקודדות בחומרה
- איתור שירותי רשת לא מוקשחים
- יכולת שימוש לרעה בממשקים לא מוקשחים
- בדיקת מנגנון עדכוני אבטחה
- האם ישנו שימוש בקוד פתוח לא מאובטח ועד כמה הוא פגיע
- בדיקת אופן שמירת המידע האישי של המשתמש, המאוחסן במכשיר או במערכת בכללותה
- בחינת רמת ההקשחה של מעבר הנתונים ברשת
- בדיקת יכולת הניהול של המכשירים, כולל עדכונים וניטור
- זיהוי של שימוש בהגדרות ברירת מחדל
- בחינת רמת ההקשחה הפיסית של ההתקן
שלבי הבדיקה
שלב ראשון
הגדרת היקף הבדיקה, כלומר יעדי הלקוח וסביבת הבדיקה.
שלב שני
ביצוע בדיקות חדירות לחומרה:
- התחברות למעגלים במגוון שיטות, דוגמת UART
- בדיקות לקושחה (Firmware)
- פיצוח סיסמאות
- ניסיונות לביצוע Reverse engineering
- בחינת היכולת לבצע שינויים בקושחה
- איתור Backdoor
שלב שלישי
מגוון בדיקות על גבי סוגי תקשורות, לדוגמה: RFID, NFC, ZigBee, Bluetooth, Wi-Fi ו-LoRa
- ביצוע sniffing לתעבורת גלי רדיו
- ניתוח קריפטוגרפי
- ניסיונות ביצוע Man in the Middle
- בחינת עמידות המערכת מול Denials of service
שלב רביעי
חלק גדול מהחברות מבצעות את מבדקי החדירות כחלק מהרצון שלהם להיכנס לשוק הרפואי האמריקאי. בהקשר זה המערכות קרויות IoMT – Internet of Medical Things, ולשם כך הן נדרשות לעמוד בדרישות של HIPAA וכן FDA. במקרה זה על הדו”ח לכלול אלמנטים נוספים, כגון:
Security Risk Management
- Threat Modelling
- Third-Party Software Components
- Security Assessment of Unresolved Anomalies
- Security Risk Management Documentation
- TPLC – Total Product Life Cycle
Security Architecture
- Implementation of Security Controls
- Security Architecture Views
ל Madsec יש מעבדה ייעודית למערכות IoT/IIoT/IoMT, רשימת ממליצים ארוכה וניסיון רב בתחום
