Smarte bygningsikkerhedsmæssige mangler efterlader skoler, hospitaler i fare

IoT og de sikkerhedsudfordringer, som tech-virksomheder står overfor Ciscos Michele Guel, Distinguished Engineer og Chief Security Architect, diskuterer IoT og hvordan virksomheder arbejder for at sikre IoT-infrastrukturen.

Sikkerhedsfagfolk er typisk tiltalt for at sikre integriteten af ​​datasikkerhed på udstyr, der er gemt i skyen, eller i lokaler - mindre end med at sikre integriteten af ​​selve de fysiske lokaler. Som et resultat går bygningsautomatiseringssystemer ofte uden at blive testet, hvis ikke helt ignoreret. Disse systemer kan udgøre skygge-IT i visse organisationer, da lejede bygninger kan komme med ikke-omsættelige automatiseringssystemer installeret af administrationsselskabet.

Disse bygningsautomationssystemer er grundlæggende specialbyggede computere og er underlagt sikkerhedssårbarheder, som enhver anden computer ville være. Ingeniører hos ForeScout udviklede en proof-of-concept-malware til smarte bygninger for at demonstrere, hvorfor det haster med sikkerhedsledere at tackle sårbarheder i bygningsautomatiseringssystemer. I en præsentation onsdag på S4x19-konferencen præsenterede ForeScout en tavle, der beskriver det aktuelle sikkerhedslandskab, de nyligt opdagede sårbarheder og nogle foreslåede løsninger.

ForeScount-forskere fandt sårbarheder med stor sværhedsgrad, der gjorde det muligt for eksterne angribere at udføre vilkårlig kode på en målenhed, aktiveret af sælgers brug af en hardkodet nøgle eller evne til at udnytte en bufferoverløb. Den pågældende leverandør efterlades ikke navngivet - de var opmærksomme på og har opdateret de pågældende sårbarheder, whitepaper bemærket - skønt leverandøren aldrig afslørede for kunderne, at der eksisterede en sårbarhed. Manglen på videregivelse kan bidrage til, at kunder ikke anvender opdateringer med den nødvendige hastighed for at sikre integriteten af ​​fysiske lokaler.

Der blev fundet en række sårbarheder med lavere sværhedsgrad på Loytek- og EasyIO-systemer, hvor sti gennemgang og vilkårlig filsletning var mulig på Loytec og autentificering af bypass mulig på EasyIO og med cross-site scripting (XSS) muligt på begge. Disse sårbarheder er siden blevet opdateret af leverandørerne.

Forskere på ForeScout bemærker, at disse sårbarheder er lette at finde og løse, men at de også er lette at udnytte. Som et resultat af, at bygningsautomatiseringssystemer er forbundet til internettet, kan de placeres "ved hjælp af søgemaskiner som Shodan og Censys." Ved hjælp af disse fandt forskerne 279 tilfælde af enheder, der var påvirket af sårbarheder med lavere sværhedsgrad, hvoraf 214 var potentielt sårbare. For sårbarheder med høj alvorlighed blev 21.621 enheder fundet, hvoraf rækkevidden hævder 7.890 er potentielt sårbare - mange ligger på hospitaler og skoler. Dette betyder, at disse systemer kunne være tilgængelige for uærlige aktører over nettet.

Da sikkerhedsproblemer med IoT-enheder, der driver smarte hjem og kontorer dukker op, skal du tjekke TechRepublic's 10 bedste fremgangsmåder for at få sikkerhed korrekt i digital transformation og de 5 største IoT-sikkerhedsfejl i 2018.

De store takeaways for tech-ledere:

  • 7.890 af 21.621 fysiske sikkerhedssystemer med kendte sikkerhedsmæssige sårbarheder med høj alvorlighed var usendte og tilgængelige via internettet. -ForeScout, 2019
  • Den pågældende leverandør opdaterede sårbarheden, men afslørede ikke, at en sårbarhed eksisterede for kunderne.

Cybersecurity Insider Nyhedsbrev

Styrke din organisations IT-sikkerhedsforsvar ved at holde dig ajour med de seneste cybersecurity-nyheder, løsninger og bedste praksis. Leveres tirsdage og torsdage

Tilmeld dig i dag

© Copyright 2021 | mobilegn.com