Embora algumas tendências de segurança de IoT em 2021 continuem as mesmas, a COVID-19 trouxe algumas novas ameaças à tona.

Em 2020, a COVID-19 causou um impacto ascendente na saúde, sociedade, economia e tecnologia em si. A segurança da Internet das Coisas (IoT) não foi exceção. A COVID-19, trouxe novas questões de segurança à tona, e essas questões devem permanecer até 2021 e além.

À medida que muitas atividades se tornaram remotas, digitais e mais conectadas (pense em telemedicina, videoconferência e monitoramento remoto de instalações), as ameaças também se tornaram predominantes. Muitas dessas ameaças à segurança de IoT apenas ampliaram a área de superfície para ataques e moveram os alvos de locais centralizados (o escritório) para a rede.

“Vimos um impulso para o trabalho remoto, o que certamente mudou o cenário de ameaças”, disse Merritt Maxim, vice-presidente e diretor de pesquisa da Forrester Research. Os exemplos incluem “tentar perseguir os usuários por meio de ataques de phishing mais sofisticados. Os usuários estavam em casa… e não tão alertas como quando estavam no escritório”, disse ele. “As ameaças relacionadas ao COVID vão persistir neste ano e provavelmente no próximo e, em alguns casos, podem ser permanentes”.

À medida que os dispositivos IoT proliferam – e pode haver cerca de 21,5 bilhões de dispositivos em 2025 – torna-se ainda mais crítico proteger os ambientes IoT e evitar violações.

Uma pesquisa da Extreme Networks revelou que as organizações permanecem altamente vulneráveis ​​a ataques baseados em IoT. A pesquisa, que entrevistou 540 profissionais de segurança, descobriu que 84% das organizações têm dispositivos IoT em suas redes corporativas. Também indicou que mais de 50% dessas organizações não mantêm as medidas de segurança necessárias além das senhas padrão.

Como os especialistas notaram, a proliferação de dispositivos cria mais pontos fracos no sistema. A seguir, exploramos as principais tendências de segurança de IoT esperadas em 2021 e como o COVID-19 pode moldar essas tendências de segurança de IoT além desse ano.

1. Trabalho remoto e outros casos de uso de ponta. 

Durante 2020, as redes e dispositivos domésticos dos usuários se tornaram vetores de ataque mais significativos, pois os trabalhadores foram forçados a ficar em casa. A IDC prevê que até 2022 mais de 40% das implantações em nuvem das empresas incluirão computação de ponta.

E com a proliferação vem o aumento da vulnerabilidade. De acordo com o recente relatório da Cisco baseado na pesquisa “Protegendo o que está acontecendo agora e o que vem a seguir”, mais da metade dos entrevistados (52%) disse que os dispositivos móveis agora são “muito” ou “extremamente” difíceis de defender. Os dispositivos móveis estendem o perímetro defensável da rede além dos ativos tradicionais do data center ou até mesmo dos ativos da nuvem até a borda da rede.

“A superfície de ataque se expandiu significativamente com IoT, nuvem, 5G – atacantes perigosos tentarão usar os pontos de entrada menos resistentes”, disse Sean Peasley, sócio da Deloitte & Touche LLP.

Outras vulnerabilidades surgiram à medida que a telemedicina se tornou mais prevalente com requisitos de distanciamento social.

De acordo com o Departamento de Saúde e Serviços Humanos dos Estados Unidos, o primeiro semestre de 2020 testemunhou um aumento de 50% nas violações de segurança cibernética na área de saúde. Em parte, isso se deve ao aumento do trabalho remoto, que expõe as redes corporativas a uma infinidade de dispositivos domésticos e redes que podem não ter o rigor de segurança das contrapartes corporativas. “Dispositivos em casa podem ser comprometidos e então serem usados para obter acesso aos dados remotos dos funcionários com o aumento do trabalho remoto”, disse Maxim.

De acordo com uma pesquisa recente da Healthcare Information and Management Systems Society (HIMSS), 57% dos entrevistados sofreram um ataque de phishing por e-mail nos 12 meses anteriores. Com os ataques de phishing, é relativamente fácil para um agente perigoso usar mensagens fraudulentas para extrair senhas ou outros dados pessoais e, em seguida, se infiltrar ainda mais nos sistemas. Em alguns casos, ataques de phishing foram usados ​​para se infiltrar nos sistemas de TI e, em seguida, para violar os dispositivos IoT.

Os especialistas dizem que a educação e o treinamento são essenciais, pois o trabalho remoto se torna mais comum. “Parece clichê, mas a conscientização e o treinamento são mais importantes do que nunca”, disse ele. “Os funcionários precisam estar o mais engajados e conscientes possível, porque, em última análise, irão ajudá-lo a evitar ataques.”

2. Nova legislação da Lei de Segurança Cibernética de IoT

Até o momento, o cenário da Internet das Coisas tem sofrido com a fragmentação e a falta de consenso sobre os padrões comuns aos quais os provedores devem aderir. Como resultado, os dispositivos usam uma variedade de protocolos que não são interoperáveis ​​e costumam ser vulneráveis ​​devido à falta de patches e atualizações.

O IoT Cybersecurity Improvement Act, sancionado em dezembro de 2020, visa esse problema de padronização nos EUA. A legislação estabelece requisitos mínimos de segurança para fabricantes de dispositivos e usa padrões fornecidos pelo Instituto Nacional de Padrões e Tecnologia (NIST), que abrangerá dispositivos desde o desenvolvimento até o produto final. A lei também exige que o Departamento de Segurança Interna analise e revisite a legislação a cada cinco anos e a revise conforme necessário.

Especialistas dizem que o ato vai aumentar a segurança, mas não é a solução. “A lei não garante que todos irão cumprir, mas a lei ajuda”, disse Sean Peasley, sócio da Deloitte & Touche LLP. “Espera-se agora que os fornecedores projetem e desenvolvam os recursos de segurança apropriados nos produtos que desenvolvem.”

3. Aumento de ataques à infraestrutura de missão crítica. 

No final de 2019, pré-pandemia, um estudo do Siemens / Ponemon Institute descobriu que 56% das empresas de gás, energia eólica, água e energia solar em todo o mundo sofreram pelo menos um ataque cibernético no ano anterior que causou uma paralisação ou perda de dados operacionais. Cada vez mais, o cenário da cibersegurança tem sido definido por atores do Estado-nação, causando interrupções por meio de violações como NotPetya, WannaCry, Stuxnet e outros. Embora alguns ataques busquem obter ganhos financeiros, muitas violações por parte de atores do Estado-nação, disse Maxim, procuram perturbar, desinformar ou, de outra forma, acertar o alvo desprevenido.

O trabalho remoto exigido pelo COVID-19 ampliou as vulnerabilidades de segurança também na infraestrutura crítica. Particularmente à medida que as operações se tornam cada vez mais remotas, isso pode aumentar essas oportunidades de violação – geralmente porque os funcionários não têm segurança adequada embutida em redes domésticas e dispositivos conectados.

“Isso vai continuar e, infelizmente, a COVID pode ser a alavanca que (os atores do Estado-nação) usam para espalhar desinformação sobre o tratamento e as vacinas”, disse Maxim. “Sempre que (mal-intencionados) tentarem semear perturbação ou caos na sociedade, eles usarão isso a seu favor”.

4. Ataques de ransomware. 

Ao mesmo tempo, os especialistas observam que o ransomware tem como alvo aplicativos e dados, em vez de hardware de dispositivo IoT. No terceiro trimestre de 2020, a Check Point Research relatou um aumento de 50% no número médio diário de ataques de ransomware em comparação com o primeiro semestre do ano.

Por outro lado, no entanto, os dispositivos IoT podem ser mais protegidos do que, digamos, os ativos de TI tradicionais contra ataques de ransomware.

“Essa é uma das razões pelas quais os dispositivos conectados não são tão prevalentes – é mais difícil de monetizar”, disse Maxim. “Do ponto de vista do esforço do hacker, pode me fornecer dados para usar para roubo de identidade ou golpes, mas provavelmente é mais fácil para eles obter números de cartão de crédito do que ir atrás de seu dispositivo diretamente.”

Por outro lado, interrupções nos sistemas OT (tecnologia operacional)  podem ser muito mais perigosas do que aquelas causadas por ransomware tradicional.

“Ter acesso ao cartão de crédito não é bom, mas não interrompe o funcionamento. Os incidentes OT que ocorreram tiveram um impacto devastador nas operações. As apostas aumentaram”, disse ele.

5. Aumentar a padronização. 

À medida que as empresas dependem cada vez mais da nuvem, da virtualização e da digitalização de ativos para se tornarem mais eficientes e competitivas, elas frequentemente tentam padronizar os sistemas. A padronização por um lado traz mais rapidez por outro deixa o ambiente mais vulnerável, uma vez que esses padrões são bem conhecidos e bem adotados.

A desvantagem da padronização, entretanto, é que falhas sistemáticas podem proliferar mais facilmente por meio de sistemas que são construídos em blocos de construção comuns. Considere a violação do código Ripple20, que resultou do uso comum de uma biblioteca TCP / IP com bugs. Numerosas empresas usaram esse código, tornando a violação associada ao seu código com erros mais generalizada.

“A padronização também abriu a porta para novas vulnerabilidades. Uma vez que esses padrões são bem conhecidos e bem adotados, os malfeitores se tornam mais espertos para alavancá-los em nossa desvantagem”, disse Peasley. No final das contas, porém, a padronização pode encaminhar as metas de negócios – especialmente para infraestrutura de nuvem até a borda, que requer um número alto de sistemas para trabalhar uns com os outros.

6. Convergência TI-OT.

 Enquanto TI (tecnologia da informação) envolve dados e aplicativos, OT (tecnologia operacional) envolve o equipamento que coleta informações. A tecnologia IoT é, portanto, uma parte dos dados de TI e das operações de OT.

“Há uma necessidade natural de combinar TI e OT”, disse Peasley. “Isso criará alguma integração necessária dos dois.”

Peasely observou que os riscos para OT são significativos o suficiente para obrigar essas duas disciplinas isoladas a se fundirem ainda mais.

“Se mal-intencionados tiverem acesso a cartões de crédito, não é bom, mas não vai interromper as operações da empresa”, disse Peasley. “Os incidentes OT que ocorreram tiveram um impacto devastador nas operações. As apostas aumentaram.”

Durante a pandemia, observaram os especialistas, TI e OT necessariamente se aproximaram, já que muitas empresas limitaram o número de trabalhadores no local e optaram por monitoramento e automação mais remotos. Embora isso forneça benefícios para o distanciamento social e até mesmo uma resposta automatizada a eventos anômalos, também mescla sistemas OT vulneráveis ​​- sistemas que nem sempre são atualizados ou corrigidos – com sistemas de TI mais maduros.

“A pandemia pode ter forçado mais dessa convergência, então os departamentos de TI e OT podem ter que convergir algumas dessas coisas porque as pessoas não estavam mais fisicamente no mesmo prédio”, disse Maxim. “Mas TI é diferente de OT. Uma turbina a gás em uma usina geradora de energia é diferente do PC de um funcionário. Eles fornecem valores diferentes e têm perfis de ameaças diferentes.”

7. IA em segurança cibernética. 

Cada vez mais, as empresas recorrem à inteligência artificial para identificar e enfrentar melhor as ameaças à segurança cibernética. De acordo com uma pesquisa com mais de 800 profissionais de TI com envolvimento em segurança cibernética, 96% dos entrevistados disseram que usam ferramentas de IA / ML em seus programas de segurança cibernética. A IA ajuda os profissionais de segurança a identificar comportamentos repetitivos automaticamente e filtrar milhares ou milhões de pontos de dados diariamente. A IA ajuda os profissionais de TI a criar políticas para identificar atividades maliciosas e colocar automaticamente o tráfego em quarentena antes que ele penetre na rede ou em outros sistemas. As ferramentas baseadas em IA também podem aprender com o tempo a identificar eventos novos e imprevistos com muito mais eficiência do que apenas os humanos.

A IA também pode ser usada para o mal, no entanto, onde agentes mal-intencionados podem usar ataques de botnet ou outros meios dirigidos por IA para atacar vulnerabilidades organizacionais. Maxim, da Forrester, disse que agentes mal-intencionados podem tentar determinar os limites baseados em IA de uma empresa para identificar atividades fraudulentas e, em seguida, manter deliberadamente os ataques abaixo desse limite de detecção.

“Cyber ​​não é uma panacéia. A IA não significa que os hackers não possam usá-la em seu benefício também”, disse Maxim. De fato, de acordo com um relatório da Deloitte, 56% dos entrevistados disseram que sua organização desacelerou a adoção de tecnologias de IA devido aos riscos emergentes, incluindo a segurança cibernética.

8. Melhores práticas. 

Os especialistas concordam que existem práticas recomendadas importantes que todas as organizações devem adotar para permanecer vigilantes e evitar que os agentes da ameaça se infiltrem nos sistemas corporativos para obter acesso aos dados. Um agente de ameaça pode levar menos de um minuto para proliferar um sistema, uma vez que ele obteve acesso.

As melhores práticas incluem segurança desde o projeto (criar segurança em sua arquitetura de projeto antecipadamente), segmentação de rede (separando dispositivos IoT de outros sistemas de rede) e políticas de confiança zero (políticas de confiança, mas verificação, combinadas com políticas que fornecem aos usuários a quantidade mínima de acesso precisava ser produtivo e autenticação multifator), dizem os especialistas.

Para a IoT, é fundamental que esses dispositivos sejam separados de outros sistemas de TI, envolvendo a segmentação da rede.

Os princípios de segurança pelo design pedem aos construtores que pensem sobre a segurança enquanto arquitetam dispositivos e sistemas – e pensem sobre sua interação com outros sistemas – em vez de apostar na segurança após o fato. “A segurança agora é um requisito de negócios fundamental nos estágios iniciais do ciclo de vida de um produto. Dados, infraestrutura de aplicativos, nuvem, todos precisam ser considerados”, disse Peasley.

A confiança zero adota uma abordagem de “confiar, mas verificar” e geralmente requer mais de um método de autenticação.

Recompensas de bugs também fazem parte da estratégia das organizações, onde as empresas contratam os chamados hackers de chapéu branco para identificar vulnerabilidades em sistemas e software antes que os agentes mal-intencionados o façam.