IoT, IIoT, OT – alles wird vernetzt

Mehr als 55 Milliarden IoT-Geräte sollen bis 2025 weltweit vernetzt sein. Diese Geräte dringen immer mehr in unseren Alltag ein und sind mittlerweile in der digitalen Welt, in der wir leben, unverzichtbar geworden. Auch Firmen nutzen die Vorteile immer häufiger, sind dadurch aber auch stärker exponiert. Welche Formen von IoT es gibt und wie man sich schützen kann, das erkläre ich euch in diesem Beitrag.

Das Industrial Internet of Things (IIoT) bezeichnet die industrielle Art des Internet of Things (IoT). Während es sich beim IoT um die verbraucherorientierte Umgebung handelt, konzentriert sich das IIoT auf das produzierende industrielle Umfeld. Das IIoT umfasst unter anderem Technologien wie maschinelles Lernen, Machine-to-Machine-Kommunikation, Sensordaten, Big Data, usw.

Operational Technology (OT) ist ein Terminus, der eine bestimmte Kategorie von Hard- und Software definiert. Bei OT geht es um spezifische Systeme, die auf die Bedürfnisse bestimmter Branchen zugeschnitten sind und oft unternehmenskritische Vorgänge abdecken.

Zunehmend kommunizieren diese Geräte auch mit der Cloud. Durch diese Integration können Big Data Analytics und dergleichen etabliert werden. Zudem steht die Verbindung der IoT-Welt mit der Cloud-Welt vor Herausforderungen wie Datensicherheit und Compliance. Cloud Provider bieten solche Integrationen in die Cloud und Unterstützung dafür an. So zum Beispiel Microsoft Azure und Amazon Web Services. Es gibt auch immer mehr Hersteller von IoT-Produkten, die einen solchen Cloud-basierten Service anbieten.

Beispiele von Anwendungsfällen:

• • Smart Home
  • Smart Wearables
  • Smart Cities
  • Vernetzte Fahrzeuge

Das Internet der Dinge hat keinen guten Ruf. Es gibt keine einheitlichen Standards – es bleibt jedem Hersteller selbst überlassen, wie er Sicherheit handhaben möchte. Viele IoT-Geräte weisen daher Sicherheitslücken auf und kommunizieren über ungeschützte Kanäle und funktionieren teils mit veralteter Software. Daher ist es wichtig, IoT-Geräte und deren Verkehr zu kontrollieren, zu überwachen und zu gewährleisten, dass jede Verbindung sicher ist, um das Risiko von Angriffen zu minimieren. Mein Kollege, Markus Graf, hat dies hier mal noch genauer beleuchtet: www.tec-bite.ch/iot-security-sollte-uns-interessieren. Gerade, wenn es sich um medizinische Anwendungen handelt, wie Herzschrittmacher und dergleichen, wo es um Leben und Tod geht, wird Cyber-Sicherheit zu einem Muss.

IoT-orientierte Cyberangriffe nehmen veraltete Protokolle ins Visier und nutzen jahrelang bekannte Schwachstellen aus und sind in der Lage, kritische Geschäftsfunktionen zu stören.

Mögliche Angriffsszenarien können sein (nicht abschliessend):

• • Firmware-Hijacking ist ein häufiges Szenario.
  • IoT-Botnets können über ungeschützte Ports für DDoS-Angriffe benutzt werden.
  • DNS-Schwachstellen können für DDoS-Angriffe und DNS-Tunneling ausgenutzt werden.
  • IoT-Ransomware kann eingeschleust werden und sich so im Netzwerk verteilen und andere Endpunkte infizieren und Daten verschlüsseln.
  • Sicherheitsverantwortliche können nicht immer kontrollieren, welche Geräte sich mit dem Netzwerk verbinden. Dadurch besteht die Gefahr von Schatten-IoT.
  • Physische Angriffe: Angreifer können Geräte stehlen, sie öffnen und manipulieren.

Aus meiner Sicht kann man sich gegen IoT-Sicherheitsrisiken wie folgt effektiv schützen:

Zusätzlich zu den selbstverständlichen Dingen wie einen Überblick über die eingesetzten IoT-Geräte zu gewinnen, Standardpasswörter zu ändern und reguläres Patchen der Geräte, gehört zu einer modernen Sicherheitsstrategie das Implementieren einer Zero-Trust-Architektur (ZTNA).

Eine moderne ZTNA Architektur für IoT beinhaltet folgende Mechanismen:

• • Multi Faktor Authentifizierung
  • Zugriffsbeschränkung nach dem Prinzip der minimalen Zugriffsrechte
  • Network Access Control
  • Micro Segmentation
  • Kommunikation auf nur das Notwendige einschränken
  • Real-Time Monitoring

Zudem sollte man bestrebt sein, nur Software, welche nach dem Security by Design Prinzip erstellt wurde, einzusetzen. Wiederkehrende Audits und Penetration Tests runden das Konzept ab.