NISTの新しいIoTパブリケーション（NISTIR 8228）がデバイスにとって何を意味するか

最近、米国国立標準技術研究所（NIST）は、ドラフト出版物、NIST内部レポート（NISTIR）8228、モノのインターネット（IoT）のサイバーセキュリティとプライバシーリスクの管理に関する考慮事項をリリースしました。これは、IoTデバイスに関連するサイバーセキュリティとプライバシーのリスクを管理する方法に関する一連の出版物の基盤として機能することを目的としています。

NISTIR 8228は、連邦政府機関と民間組織の両方を対象としており、IoTデバイスの3つの重大なセキュリティの脆弱性を特定します。 NISTIR 8228は、リスク軽減のための3つの目標も定義しています。

NISTIR 8228―IoTデバイスのセキュリティ脆弱性の詳細

IoTデバイスは、従来のITデバイスとは異なる方法で物理的な世界と相互作用します。コンピューター、タブレット、スマートフォンとは異なり、IoTデバイスはWindowsまたはMacOSオペレーティングシステムでは動作しません。しかし、これらのデバイスの多くはインターネットに接続されているため、他の方法では安全なコンピュータネットワークへの入り口が可能です。

IoTデバイスは通常、IT担当者が監視およびパッチを適用することが困難または不可能な、カスタマイズされた独自のオペレーティングシステムで動作するため、リスクを軽減する唯一の方法は、VLANファイアウォールの背後にある企業ネットワークにデバイスを配置して、デバイスがより多くのデバイスにアクセスできないようにすることです。ネットワークの機密部分。ハッカーがネットワーク上のIoTデバイスにアクセスした場合（通常、デバイスの製造元によって設計およびインストールされたオペレーティングシステムに脆弱性が見つかったため）、ハッカーはそのネットワークに接続されている任意のコンピューターに攻撃を仕掛けることができます。最も一般的なタイプの攻撃は、単純なSSHパスワードブルートフォース攻撃であり、通常はデフォルトのクレデンシャルのみを使用します。

さらに、IoTデバイスは、分散型サービス拒否（DDoS）攻撃で使用するボットネットとして採用できます。 2016年10月、インターネットドメインサービスのDynは、史上最大のDDoS攻撃を受けました。攻撃者は、セキュリティで保護されていない何百万ものIoTデバイスをボットネット軍に採用して大量のトラフィックをDynサイトに誘導し、トラフィックのクロール速度を低下させ、最終的にサイトをクラッシュさせました。ハッカーは、デバイス独自のオペレーティングシステムソフトウェアの脆弱性を悪用して、IoTデバイスにアクセスしました。

リスクはそれだけではありません。一部のIoTデバイスには、HVAC、エレベーター、スプリンクラーシステムなどの物理システムに変更を加える機能があり、命令された場合、物理的な損傷や安全上のリスクをもたらす可能性があります。

あなたのビジネスにIoT追跡システムを実装するための安全な方法をお探しですか？ LinkLabsから無料のデモにサインアップしてください。

NISTIoTフレームワークの推奨事項

サイバーセキュリティとプライバシーのリスクに対処するために、NIST IoTフレームワークは、組織がIoTデバイスのライフサイクル全体で実行できるアクションを推奨しています。これらには以下が含まれます：

• リスクの課題を理解する。
• これらの課題に対処するために組織のポリシーとプロセスを調整します。
• IoTデバイスの最新のリスク軽減手法を実装します。

NISTによると、リスクの軽減を支援するためのセキュリティとプライバシーのベースラインを確立することに大きな関心が寄せられています。焦点の多くは、セキュリティおよびプライバシー機能をデバイスに組み込むメーカーに向けられてきました。それが前進するソリューションかもしれませんが、現在、これらの機能を欠いている何百万ものIoTデバイスが使用されています。メーカーが市販前のセキュリティとプライバシー容量を改善し、それを自社のデバイスに組み込むには時間がかかります。 IoTデバイスのコストを高くしすぎずにこれらの機能を追加することについても、追加の課題があります。

さまざまなIoTデバイスに必要なセキュリティのタイプとレベルに関して、NISTIoTフレームワークで概説されている他の考慮事項があります。一部の人にとっては、デバイス自体だけが保護を必要とする場合があります。他のデバイスには、デバイスのセキュリティに加えてデータのセキュリティが必要な場合があり、一部のデバイスには、デバイスとデータのセキュリティだけでなくプライバシーの保護も必要な場合があります。現在まで、これらの個別の要件は区別されておらず、特定のIoTデバイスに適用して使用する要件を組織が決定する必要があります。

NIST IoTフレームワークは、セキュリティで保護されていないIoTデバイスに関連するリスクに対処するための有用な出発点を提供しますが、これは最初のステップにすぎません。費用効果の高い安全なデバイスを設計および構築し、すでに使用されている何百万ものIoTデバイスによってもたらされるリスクに対処するという課題は今後も続くでしょう。

Dyn攻撃が現在使用されている多くのIoTデバイスの脆弱性を示してから、2年が経過しました。これらのデバイスのメーカーがセキュリティリスクの市販前ソリューションを見つけるまでに、さらに数年が経過する可能性があります。企業は、その間に資産や資料の自動追跡と監視に使用するIoTデバイスによってもたらされるリスクをどのように軽減できますか？

既製のIoTデバイスのセキュリティを大幅に向上させることができる1つの簡単なアプローチは、メーカーによってデバイスにプログラムされたデフォルトのパスワードを変更することです。これは、IoTデバイスが数台しかない消費者にとっては簡単なソリューションです。しかし、資産の追跡と監視に数百以上のデバイスを使用している企業にとっては、数百のタグを再プログラムするために必要な時間と労力のために、これは不十分なものです。

あなたのビジネスがIoTテクノロジーを実装するための安全な方法を探しているなら、LinkLabsに相談してください。当社のAirFinderシステムは、企業のコンピューターネットワークとは別の専用ネットワーク上のIoTデバイスを分離し、標準のIPプロトコルを使用しないため、侵害が困難です。広域ネットワークの場合、Symphony Linkシステムには公開鍵インフラストラクチャ（PKI）が組み込まれており、NSA標準によって安全であると見なされ、デバイスに物理的にアクセスすることなく脆弱性にすばやく簡単にパッチを適用するための無線によるファームウェア、リアルタイムのAdvanced Encryption Standard（ AES）キー交換、およびネットワークトラフィック用の銀行グレードのトランスポートレベルセキュリティ（TLS）。導入が容易で、NISTIR 8228で概説されている一般的なIoTセキュリティリスクを回避する安全な追跡システムについては、今すぐLinkLabsにお問い合わせください。