De beste parasieten doden hun gastheer niet. Ze nestelen zich rustig, maken het zich gemakkelijk en gaan volledig onopgemerkt hun gang. Ze nemen wat ze willen, terwijl de gastheer zijn dag doorkomt zonder te merken dat er iets veranderd is.
Een gecompromitteerd IoT-apparaat, denk aan een slimme camera, een logistieke sensor of een EV-laadpunt, blijft in de meeste gevallen precies doen wat het hoort te doen. Het rapporteert zijn metingen. Het meldt zich volgens schema. Van buitenaf lijkt alles in orde. Wat u niet ziet, is dat het ergens op de achtergrond ook stilletjes meedraait in een botnet, inloggegevens verzamelt of een aanvaller een gestage stroom operationele informatie over uw bedrijf voedt. En dat het dat al maanden doet.
Dat is, in een notendop, wat er op dit moment gebeurt binnen de edge-omgevingen en -apparaten van duizenden organisaties.
Cybersecurity was jarenlang gebaseerd op een tamelijk simpel idee: bescherm de perimeter. Beveilig het datacenter. Grendel het bedrijfs-LAN af. Zet fatsoenlijke software op de laptops. Dat model werkte redelijk goed toen het meeste wat ertoe deed binnen een afgebakende grens zat. Maar moderne architecturen werken zo niet meer. De organisaties van nu hebben honderden, soms duizenden apparaten die ver buiten die grens opereren.
EV-laadinfrastructuur. Medische bewakingsapparatuur. Retailsystemen. Industriële sensoren. Slimme camera's. Logistieke trackers. Dit zijn allemaal edge-apparaten: systemen die buiten de traditionele IT-omgeving functioneren en zich niet binnen uw veilige, beschermde gebouwen bevinden, en ze moeten allemaal verbinding maken met de centrale infrastructuur om hun werk te doen. Ze zijn functioneel, ze zijn verspreid, en in de overgrote meerderheid van de gevallen zijn ze in feite onzichtbaar voor de beveiligingsteams die de organisatie moeten beschermen.
Die onzichtbaarheid was niet de bedoeling. De apparaten zijn ontworpen om hun taak uit te voeren, niet om continu te worden gemonitord. Maar nu is dat een tekortkoming.
Vanuit het perspectief van een aanvaller combineren edge- en IoT-apparaten drie buitengewoon aantrekkelijke eigenschappen.
| De eerste is schaal. We hebben het over miljoenen apparaten wereldwijd, en zelfs binnen één organisatie potentieel duizenden afzonderlijke aanvalsoppervlakken. Alleen die schaal al verandert de rekensom volledig. Zodra u voorbij een paar honderd apparaten bent, is de vraag niet langer óf u wordt aangevallen, maar wanneer. Dat is geen zwartkijkerij, maar statistiek. |
|
|
|
De tweede is inconsistentie. Zelfs twee identieke apparaten van dezelfde fabrikant, met een half jaar ertussen uitgerold, kunnen verschillende firmware draaien. Vermenigvuldig dat over tientallen hardwareleveranciers met uiteenlopend updatebeleid, van wie sommige een firmwarepatch uitrollen zonder u te waarschuwen, en u hebt een omgeving die bijna onmogelijk uniform te patchen en te beveiligen is. De reflexmatige operationele reactie is, begrijpelijk, om automatische firmware-updates uit te schakelen om onverwachte uitval te voorkomen. Wat natuurlijk precies is waar aanvallers op hopen.
|
|
|
De derde is onzichtbaarheid. Deze apparaten genereren niet het soort telemetrie waar beveiligingsteams mee gewend zijn te werken. Uw laptop meldt zich voortdurend, of dat nu de accuconditie, het geheugengebruik, geïnstalleerde software of andere gedragssignalen betreft. Edge-apparaten doen dat niet. Ze melden zich wanneer ze data hebben om te rapporteren, niet om te zeggen: ik ben er, ik ben gezond, dit is wat er is gebeurd. Omdat ze vaak op uitgeklede of propriëtaire besturingssystemen draaien, worden ze simpelweg niet ondersteund door traditionele beveiligingsoplossingen. U kunt er geen normale beveiligingsagent op zetten, zelfs als u dat zou willen. |
|
|
Het resultaat: een uitgestrekt, verspreid, inconsistent park apparaten dat niemand echt in de gaten houdt.
In 2016 legde een stuk malware genaamd Mirai een aanzienlijk deel van het internet plat. Twitter. Netflix. Reddit. GitHub. Urenlang onbereikbaar in grote delen van de VS en Europa.
Wat Mirai opmerkelijk maakte, was niet de verfijning. Het gebruikte geen zerodayexploits of geavanceerde technieken. Het scande het internet simpelweg voortdurend op IoT-apparaten die nog standaard inloggegevens draaiden, compromitteerde ze automatisch en rekruteerde ze in een enorm botnet. De schaal van het botnet, dat uit honderdduizenden apparaten bestond, leidde tot een DDoS-aanval van een omvang waarop vrijwel niemand was voorbereid.
De les was hard: aanvallers hoeven niet slim te zijn als het ecosysteem slordig is. Standaardwachtwoorden, verouderde firmware, geen toezicht, meer is er niet nodig.
Bijna tien jaar later bestaan veel van diezelfde omstandigheden nog. Sommige van die oorspronkelijke apparaten uit het Mirai-tijdperk draaien nog, zijn nog operationeel, dragen mogelijk nog dezelfde kwetsbaarheden. Langlevende operationele omgevingen als industriële systemen, zorginfrastructuur en nutsvoorzieningen, het soort dat maar zelden hardware vervangt. En de apparaten zelf worden vaak geleverd met gelaagde, complexe softwarestacks: firmware van derden, embedded Linux-distributies, opensourcebibliotheken, cloud-API's van meerdere leveranciers. Ergens in die stack kunnen hardgecodeerde inloggegevens zitten, ongedocumenteerde debug-interfaces die uit de ontwikkelfase zijn achtergebleven, of legitieme telemetriepaden van leveranciers waar een aanvaller op mee kan liften. De organisatie heeft deze risico's niet gecreëerd. Ze heeft ze geërfd.
De rol van de CISO is de afgelopen jaren flink verschoven. Vroeger kwam het neer op: voorkom malware.
Nu is het: houd de operationele weerbaarheid overeind, beheer de naleving van regelgeving, bescherm het vertrouwen van klanten en maak digitale transformatie mogelijk. En dat alles tegelijk, in een omgeving die voortdurend groeit en complexer wordt. Een tikje vermoeiend.
Edge-apparaten maken dat allemaal lastiger. Niet alleen omdat ze moeilijk te beveiligen zijn, maar omdat de meeste organisaties onvoldoende zicht hebben op hoe normaal gedrag van deze apparaten eruitziet. En als u niet weet hoe normaal eruitziet, kunt u afwijkend gedrag niet herkennen.
Beveiligingsteams weten misschien dát een apparaat bestaat. Maar weten ze met welke IP-adressen het normaal communiceert? Hoeveel verkeer het verstuurt? Welke protocollen het gebruikt? Of die lichte toename van uitgaande verbindingen om 3 uur 's nachts op een dinsdag prima is, of lateraal scannen?
In veel gevallen niet. Dat weten ze niet. En dat is wat de aanval onzichtbaar houdt.
Een gecompromitteerd apparaat dat gewoon zijn werk blijft doen, geeft u geen duidelijk signaal. Zo is de malware ontworpen. De normale werking verstoren zou zijn als een vlag hijsen. Dus dat doet het niet. Het gaat gewoon stilletjes door met wat het parallel opgedragen heeft gekregen.
De praktische implicatie: als u leunt op "het werkt nog" als voornaamste indicator voor "het is niet gecompromitteerd," dan werkt u vanuit een gammel uitgangspunt.
In omgevingen waar u geen agents kunt uitrollen, en dat geldt voor vrijwel alle IoT- en edge-omgevingen, wordt het netwerk uw belangrijkste en vaak zelfs enige observatiepunt.
Dat betekent begrijpen hoe het normale gedrag van elk apparaat eruitziet: met wie het praat, wanneer, hoeveel, via welke protocollen. Bouw dat profiel en opeens hebt u iets om mee te vergelijken. Onverwachte uitgaande verbindingen naar onbekende IP-adressen. Lateraal scannen. Ongebruikelijke DNS-verzoeken. Een plotselinge toename in verkeersvolume zonder operationele verklaring.
Geen van die zaken is op zichzelf sluitend. Maar het zijn signalen, en de meeste organisaties verzamelen ze op dit moment niet.
Het bemoedigende nieuws: gedragsmonitoring op netwerkniveau is toevallig ook een van de meest praktische manieren om naleving aan te tonen van regelgeving en kaders als NIS2, ISO 27001 en PCI DSS 4.0. Die spellen niet altijd precies uit hóe u zicht op verspreide omgevingen bereikt, maar maken het in feite onmogelijk om naleving aan te tonen zonder dat zicht.
Het aanvalsoppervlak aan de edge verdwijnt niet. Als er iets is, groeit het. Meer apparaten, meer spreiding, meer complexiteit. De organisaties die het voorblijven, zullen niet per se degene zijn die elk apparaat perfect beveiligen. Dat is op schaal aantoonbaar onmogelijk. Het zijn degene die doorlopend inzicht hebben in het gedrag van hun volledige apparaatpark, zodat zij direct zien wanneer er iets verandert.
Want u kunt niet verdedigen wat u niet kunt waarnemen. En op dit moment is het meeste aan de edge onzichtbaar.
Lara Hellman is Staff Product Manager bij Wireless Logic, waar ze de strategie en ontwikkeling van de beveiligingsproducten en klantplatforms van het bedrijf leidt.
Wireless Logic's Anomaly and Threat Detection is speciaal ontwikkeld voor de beveiligingsuitdagingen van IoT- en edge-omgevingen. Agentloos, dus snel uitgerold.