מאמרים
אבטחת מערכות לינוקס ב- IoT: לא שגר ושכח
מאת: דיויד ריצ'י, ווינד ריבר
רצפת המפעל זוכה לשדרוג ושיפוץ עם מכשיריםמרושתים וחכמים, וחדר השרתים כבר אינו מקום נידח ומחניק. רוב הארגונים נמצאים מבחינה אסטרטגית על הדרך לאינטרנט של הדברים, והאקוסיסטם של המפתחים משתנה במהירות. נראה כי אנו כבר נמצאים בדרך להגשים את תחזית התעשייה, של 200 מיליון מכשירים מחוברים בטווח שנת 2020.
מספר ומגוון המכשירים ימשיכו לגדול, אך המציאות היא שארגונים רבים עדיין לא בחנו איך ישפיע אימוץ ה- IoT על עסקיהם – מאסטרטגיה עד ביצוע. רבים מצוותי המוצר והפיתוח שלהם הגו רעיונות מרשימים על חיישנים, קישוריות ונתונים, ועל גישה לאקוסיסטם עשיר של אפליקציות.
מאמצים מוקדמים (early adopters) הצמידו חיישנים לציוד ייצור קיים, וציוד חדש הכולל טכנולוגיית IoT יהיה הנורמה בעתיד הקרוב. זה ישפר תפוקה, יפחית עלויות, ויפתח בפני הארגון הזדמנויות חדשות.
אך מה יקרה למכשירים מדהימים אלה ברגע שייפרסו, ואיזו תחזוקה נדרשת עבורם?
להיכנס לקצב העדכונים: עדכונים שוטפים ותחזוקת מכשירים, מבטיחים שמכשירים ואפליקציות יהיו מעודכנים תמיד. אך מה אם עדכונים אינם הדבר היחיד שהם פוגשים כאשר הם מחוברים לרשת? אחרי הכל, כל המכשירים מחוברים לרשת.
יש לזכור אפיקי התקפה הכולל גורם האנושי באמצע: דוגמא אחת היא האפשרות לפצח הצפנה או להסיט תעבורה בין מכשיר לשרת. דוגמאות רבות של נקודות תורפה מסוג זה מדווחות בכל יום, והסטטיסטיקות מראות שאלה נפוצות היום יותר מאי פעם. אפילו ניטור שלהן הופך לעתים לבלתי נתפס.
ההוצאה על תוכנת אוטומציה תעשייתית צפויה לגדול. אנליסטים אומרים כי רוב התקציב יוקדש למערכות הפעלה, עם הוספת יכולות וירטואליזציה, ניהול ואבטחה.
אז האם מכשירי IoT יזכו ל"ומאז הם חיים באושר" לאחר ההפעלה?
חיים מאושרים (אחרי הפעלת המכשיר) שיימשכו לעד, הנם אפשריים, אבל לשם כך יש לדאוג למנגנון לשמירה על המכשירים במצב מוגן. תכנון מוצר עם אבטחה מובנית, אינו מספיק. יש צורך להשלים אותו באמצעות מנגנוני הגנה אוטומטיים ומתמשכים עבור המכשירים שכבר פועלים בשטח. מה שצריך באופן כללי, הם מסגרת תוכנה מאובטחת, אימות של קישוריות מאובטחת, עדכוני תוכנה מאובטחים, ניהול מפתחות, אחסון נתונים מוצפנים, ועדיין זה לא מספיק. Heartbleed, Shellshock ו- Open SSL CVE ודומיהם, עדיין יתדפקו על דלתות הארגון שלכם.
המכון הלאומי לתקינה וטכנולוגיה בארה"ב, יחד עם מספר גופים ממשלתיים וסוכנויות בינלאומיות, כגון החברה הבינלאומית לאוטומציה (ISA) והמועצה הבינלאומית לאלקטרומכניקה (IEC), נערכים במיוחד כדי להילחם ולמנוע פשיעת סייבר באמצעות שימוש במתודולוגיות ומדדים נוקשים. הדברים הולכים מעבר לאבטחה מובנית, ומטפלים גם במציאת איומים חדשים אשר מייצרים פרצות חדשות בקוד, שקודם לא היה ניתן לחזות במסגרת תכנון אבטחה מובנה.
יצרנים חייבים לחשוב מחדש על אסטרטגית האבטחה שלהם, ולהתרכז לא רק בחיזוק רמת המערכת, אלא גם באינטגרציה גמישה של עדכונים נגד פרצות חדשות. זוהי גישה גמישה יותר של אבטחה ועדכונים מתמשכים. אם יצרנים לא יאמצו תפיסה של מערכת "מעודכנת-תמיד", לא תהיה להם אחריות לכך שהאבטחה המובנית המקורית שלהם תחזיק מעמד נגד המתקפות החדשות ביותר, שנוצרות ונחשפות בכל יום.
CVE הפך לתקן תעשייה דה-פקטו, המספק מזהה העומד בתקן מול פרצה או חשיפה נתונה. באמצעות המזהים של CVE, ניתן לייצר בקלות התאמה בין המידע אודות פרצה לבין עדכון האבטחה המתאים, זמינות, או טכנולוגיות משויכות, מה שעושה אותו לחיוני עבור עולם הקוד הפתוח.
"אנו מצפים במיוחד לראות ניצול של פרצות חדשות שהתגלו בתחומים שהם מעבר למערכת הפעלה חלונות. יותר ויותר מערכות משובצות, האינטרנט של הדברים, ותוכנות תשתית, יהפכו למטרה עבור איומים מתקדמים והתקפות יום אפס. אלה כוללים גרסאות של יוניקס, פלטפורמות סמארטפונים פופולאריות, מערכות IoT ייעודיות (כגון Tizen ו- Project Brillo), ורכיבים וספריות הקשורות בהם
(Glibc, OpenSSL וכו')".
תחזית האיומים של McAfee
ויש רבים מהם.
הגנה יעילה תתבסס על עדכון תוכנה במכשיר ברגע שהתעשייה מזהה תקלת אבטחה. תוכנת קוד פתוח יכולה להיות יתרון עבור צוותי אבטחה, מכיוון שחוקרים שונים, כגון אלה של סוכנויות ממשלתיות ורשימות דיוור ייעודיות, פועלים במטרה למצוא את חורי אבטחה בקוד. הדבר דורש לנטר, לבקר ולעדכן מערכות באופן יעיל וחסכוני יותר.
ניטור מגביר את הסיכוי למוכנות טובה יותר להתקפה הבאה. פרצות מתגלות לעתים קרובות במעגלים מסוימים של יודעי דבר, מתפרסמות ברשימות תפוצה ייעודיות, ונאסרות לפרסום עד מועד מסוים (אמברגו), מה שנותן לספקים את הזמן הדרוש להתגוננות.
אתגרים בהטמעת אסטרטגיית ניטור רציפה
האתגר הראשון הם המכשירים עצמם. הצפנת נתונים וטכנולוגיות אבטחה כבדות מובנות נוספות (built-in) במכשירים, יכולות לצמצם את סיכוני האבטחה, אבל לרבים מהחיישנים בשוק היום חסריה עוצמת הסוללה או המחשוב לצורך הטמעת טכניקות מתוחכמות.
בעיות תקציב תמיד קודמות. במגזר האנרגיה, לדוגמא, החומרה והתחכום של התקפות סייבר הנם בעלייה, אבל התקציבים לטיפול בהם מוגבלים. על פי סקר בקרב מובילי IT בארה"ב (16% מהם במגזר התשתיות) שבוצע ע"י מכון Ponemon ובמימון לוקהיד מרטין, 84% ממנהלי IT מאמינים כי התקפות סייבר על הרשתות שלהם נמצאות במגמת עלייה, אבל רק רבע מאמינים כי יש להם התקציב או כוח האדם שהמשימה דורשת. זה מביא אותנו לאתגר הבא: כוח אדם.
בעוד שחשוב מאוד לנטר פרצות, זה לא תמיד עיסוק זוהר. אפילו אם יש האנשים להקצות לכך, מחקר עדכני מראה כי מפתחים מאוד נלהבים לעבוד על הטכנולוגיה הבאה, ופחות על עדכון פלטפורמת הבסיס. ועדיין, חשוב שמישהו יבצע ניטור זה. צוות מתמחה יכול לעשות זאת ביתר יעילות – כגוף שמנטר נקודות תורפה באופן יזום, פני שהן הופכות לבעיה. מישהו שמחובר לכל רשימות התפוצה הרלבנטיות, ציבוריות ופרטיות, ומודע לכל העדכונים החמים בקוד פתוח, והנו בעל כישורים לפתור בעיות אבטחה; כזה שהנו השותף המתאים ליצירת "ומאז הם חיים באושר".
