L’Iot security riguarda la sicurezza informatica per proteggere ciò che è connesso a Internet (dispositivi Internet of Things dedicati alla Smart Home fino ai device per Industria 4.0, spaziando dagli Smart Building alle Smart City, dalla Smart Health all’AgriFood) e può essere vulnerabile ai cyber-attacchi. La diffusione dei dispositivi IoT pone infatti alla ribalta numerose nuove problematiche in termini di sicurezza, privacy e conformità per le aziende di tutto il mondo.
La IoT security serve a mantenere sicuri e affidabili i dispositivi Internet of Things, sia in ambito consumer che business.
IoT, un mercato in crescita in Europa e nel mondo
In Europa cresce il mercato Internet of Things (IoT) che, secondo le stime della società d’analisi IDC, potrebbe raggiungere il 25% di quello mondiale entro il 2023. Già oggi, trainato dagli acquisti di oggetti smart connessi a Internet (wearable e smart glass, principalmente), durante la pandemia, vale 205 miliardi di dollari, ma potrebbe sfiorare quota 900 miliardi nel 2022.
Una maggiore circolazione di dati – con 4,9 miliardi di oggetti connessi in rete in Unione europea entro il 2025 – comporta maggiori occasioni di perderne il controllo. L’Unione europea (UE), con una risoluzione adottata a larga maggioranza, intende imporre nuovi requisiti di sicurezza per software e sistemi operativi, puntando su soluzioni integrate negli oggetti connessi fin dalla progettazione, grazie alla cybersecurity by design.
Più aumenta il numero di dispositivi online capaci di interagire attraverso la connettività IoT (in ambito sanitario, nel settore energetico, in quello produttivo e dei trasporti, negli Smart Building, con le serrature intelligenti senza touch e le illuminazioni a controllo vocale), più crescono rischi e cyber minacce contro device e app IoT, il cui utilizzo spazia dal monitoraggio remoto alla manutenzione predittiva, dagli spazi intelligenti a prodotti connessi e tecnologie rivolte ai clienti, come le app per dispositivi mobili.
Nel settore industriale, stanno aumentando le preoccupazioni anche per il cosiddetto IoT ombra, legato all’uso dei device consumer usati dai dipendenti esponendo le reti aziendali a nuovi rischi. La IoT security, dunque, protegge dalle minacce di cyber-sicurezza e dai data breach, identificando e monitorando i rischi connessi, aiutando anche a risolvere le vulnerabilità individuate. L’obiettivo della IoT Security consiste nell’assicurare la disponibilità, l’integrità e l’affidabilità delle soluzioni IoT adottate.
Quali sono gli aspetti da valutare per l’IoT security
La convergenza del mondo digitale/informatico e fisico aggiunge un livello di ulteriore complessità all’approccio tradizionale della cyber-sicurezza.
Poiché le vulnerabilità nei dispositivi IoT aprono le porte alle attività di hacker e a eventuali cyber-attacchi, la IoT security rappresenta un tema critico. A rischio sono le infrastrutture dotate di sensori, gli edifici smart (case e uffici), le auto connesse e i dispositivi wearable, non solo in ambito clinico e sanitario (dagli smart watch agli occhiali intelligenti ecc.).
Al crescere dei dispositivi connessi, aumentano i vettori d’attacco, dunque gli aspetti da valutare per garantire la IoT security riguardano:
- l’autenticazione sicura dei dispositivi IoT sulla rete e sui dati archiviati nel cloud, perché i cyber-attacchi contro IoT si verificano il più delle volte attraverso un device IoT non autenticato;
- l’utilizzo di crittografia end-to-end, dal momento che i dispositivi IoT si connettono quasi sempre in modalità wireless e ciò significa che la network encryption non è un optional, bensì una necessità (la cifratura deve riguardare il sensore, come raccoglie i dati e come archivia i dati);
- la segmentazione della rete, per gestire separatamente il traffico dei dispositivi IoT (con un occhio di riguardo ai dati sensibili alla latenza e alle specifiche high-availability), non solo sotto il profilo dell’affidabilità, ma anche dell’uso della banda (i device IoT sono low-bandwidth contrariamente alle applicazioni e al traffico back-office);
- la protezione delle applicazioni IoT (soprattutto IoT analytics che deve avere un suo livello di protezione dei dati);
- protezione dei dati IoT e del cloud collegato, in quanto la raccolta dati è ormai cloud-based, offrendo una sicurezza fra il dispositivo IoT e il punto di aggregazione cloud, e da lì alle applicazioni.
In che modo si verificano gli attacchi IoT
Nel primo trimestre del 2021 gli attacchi informatici hanno registrato una crescita del 47% rispetto al trimestre precedente, moltiplicati per sette volte rispetto al periodo gennaio-marzo del 2020, in piena pandemia, secondo l’Osservatorio CyberSecurity di Exprivia, che denuncia sia attacchi mediante tecniche sempre più sofisticate sia preoccupante mancanza di consapevolezza dei rischi da parte delle vittime.
Il motivo è semplice: scenari operativi e di manutenzione in ambito IoT si affidano alla connettività dei dispositivi end-to-end per consentire agli utenti e ai servizi di interagire, accedere, risolvere i problemi, inviare o ricevere dati dai dispositivi, al fine di ridurre la complessità operativa, tagliare i costi (per esempio ridurre lo spreco di materiali) e i tempi di immissione sul mercato, grazie ai dati affidabili ottenuti in tempo reale.
Per sfruttare le opportunità delle efficienze offerte da IoT (conquistando un vantaggio competitivo, trasformando i dati in informazioni dettagliate e le informazioni in real time in azioni), a volte le imprese – del settore produttivo, trasporti, energetico, agricoltura, vendita al dettaglio – ed enti pubblici si espongono al rischio di violazioni, emergenze e minacce di nuovo tipo.
Chi sfrutta i dispositivi IoT deve monitorare tutti gli elementi connessi alla soluzione IoT e assicurarsi che sia disponibile il monitoraggio delle minacce per ricevere rapidamente avvisi e affrontare i pericoli.
Gli attacchi IoT possono colpire: i dispositivi (sia l’hardware che il software); le connessioni; i servizi cloud; la complessità.
L’eterogeneità e la frammentazione dei dispositivi IoT, che usa un numero eccessivo di dispositivi diversi che eseguono software differenti con vari chip e potrebbero anche sfruttare diversi metodi di connessione, complica inevitabilmente l’aggiornamento e il controllo di tutti i dispositivi connessi. La parola d’ordine è: semplificare.
A dispositivi adottati prima dell’era IoT, soprattutto nel contesto di casi di IoT ombra, potrebbe non essere mai stata applicata la “protezione avanzata” necessaria. Bisogna dunque identificare ed eliminare o per lo meno attenuare le falle emerse, anche nei dispositivi legacy poco costosi, non progettati in modo idoneo per la sicurezza per IoT.
Quali elementi sono minacciati dagli attacchi alla security IoT
I sistemi IoT rappresentano l’integrazione di quattro principali componenti: la sicurezza dei sensori/dispositivi, la connettività, il data processing e l’interfaccia utente. Gli elementi minacciati dagli attacchi IoT riguardano i dati nel cloud, la privacy degli utenti, l’esposizione di dispositivi industriali e IoT (e dei dati raccolti nel cloud).
La nuova connettività IoT riveste una superficie di attacco molto ampia e spesso non familiare, invece i dispositivi e le app IoT possono comprendere grandi quantità di dati personali, operativi e aziendali. I professionisti della security IoT devono superare la frontiera dei requisiti tradizionali per la sicurezza delle informazioni a livello di riservatezza, integrità e disponibilità.
La security IoT è dedicata a individuare violazioni dei dati e altri tipi di cyber-attacchi. Tuttavia, una vulnerabilità IoT potrebbe generare problemi potenzialmente letali o causare l’arresto di operazioni che generano profitto (nella manutenzione predittiva, nel monitoraggio remoto, nella gestione di strutture, nei prodotti connessi e nell’efficienza produttiva).
Alcuni esempi di attacchi a Iot classificati in aree differenti
Secondo il Nokia Threat Intelligence Report (2020), i dispositivi connessi o IoT costituiscono circa il 33% di quelli infetti rispetto al 16% del 2019. Ecco alcuni esempi di attacchi a IoT, ma è bene sottolineare che la UE teme soprattutto le minacce ibride ovvero i metodi o le attività – in aumento e sempre più sofisticate- usare da attori governativi ostili (e non solo) per colpire gli stati e le istituzioni democratiche. Tali minacce comprendono le campagne di disinformazione e gli attacchi informatici alle infrastrutture, ai processi economici e alle istituzioni democratiche. Le minacce ibride in tema di Security IoT potrebbero avere un’incidenza su elezioni, procedure legislative, applicazione della legge e giustizia.
HEH, la IoT botnet
Il malware HEH è in grado di infettare dispositivi IoT, router domestici e server aziendali per creare una botnet e condurre attacchi DDoS o effettuare mining di criptovalute. Inoltre, è potenzialmente capace di distruggere anche i dati archiviati sui dispositivi.
La finta app “Mappa del Coronavirus”
Durante la pandemia è stata segnalata un’applicazione fasulla che si camuffava da applicazione “Mappa del Coronavirus” – che imita la mappa del Coronavirus emessa dalla Johns Hopkins University – per sfruttare la richiesta di informazioni accurate su infezioni, morti e trasmissioni Covid-19, per tentare di rubare dati personali attraverso una varietà di tipi di malware. L’app fasulla, naturalmente non ammessa su Apple App Store e su Google Play Store, puntava ad installare malware sui device delle vittime per sfruttare i dati personali.
Trifo, robot aspirapolvere
Alla RSA Conference 2020 vennero svelate falle di sicurezza in Trifo Ironpie M6, in grado di dirottare dispositivi e i loro video.
La Botnet Kaiji
Era in grado di eseguire attacchi DDOS.
Attacco alle serrature Smart di Nortek
Nel febbraio 2020 vennero sferrati attacchi DDoS attraverso le porte e gli edifici smart dell’azienda di cui gli hacker avevano ottenuto il controllo. La falla affliggeva 2300 Smart Building.
IoT security: strategie per proteggere le aziende
Le cyber minacce ai dispositivi e alle app IoT evolvono e crescono, ma al contempo vengono messe a punto strategie sempre più efficaci per prevenire i rischi e per difendere le imprese che sfruttano tecnologie IoT.
La security IoT si dedica in maniera mirata e puntuale alla protezione della connettività, della protezione avanzata dei device Internet of Things, del monitoraggio delle minacce e della gestione del comportamento di sicurezza, oltre a tutelare i dati sul back-end del cloud.
Gli esperti di security IoT applicano la “protezione avanzata” necessaria a tutti i dispositivi IoT, anche più datati e meno costosi, ma soprattutto cercano di semplificare, evitando la complessità generata dall’eterogeneità e dalla frammentazione dei dispositivi, che sfrutta un numero eccessivo di dispositivi hardware diversi che eseguono software differenti con vari chip e potrebbero anche sfruttare diversi metodi di connessione.
Le aziende che adottano la security IoT adottano sistemi di sicurezza hardware e difesa di software a più livelli, monitoraggio dei dispositivi IoT e aggiornamenti continui, per evitare che le minacce colpiscano i dispositivi IoT. Inoltre, implementano la crittografia e l’autenticazione basata su certificati, per proteggere le connessioni. Analoghe misure sono prese per “blindare” i servizi cloud.
Per esempio, tramite un’infrastruttura Microsoft Azure, focalizzata sulla sicurezza, controlli privacy e offerte di conformità a 360 gradi.
I team responsabili della security aziendale puntano sull’individuazione di asset senza agente e sul rilevamento delle minacce, delle informazioni di sicurezza e della gestione degli eventi/SOAR (Security Orchestration, Automation and Response), XDR (Extended, Detection and Response) e strumenti di gestione del comportamento di sicurezza.
