Als vor einem Jahrzehnt die Praxis des „Bring Your Own Device“ (BYOD) beliebt wurde, gab es erhebliche Sicherheitsbedenken. Heutzutage sind diese Bedenken weitgehend ausgeräumt. Wir sind daran gewöhnt, dass Mitarbeiter ihre eigenen Smart Devices nutzen. Jetzt aber haben wir ein weiteres Sicherheitsrisiko: das Shadow-IoT.
Untersuchungen zeigen, dass das Shadow-IoT eine der ernstzunehmenden Sicherheitsbedrohungen für jedes größere Unternehmen ist. Shadow-IoT beschreibt alle Internet of Things (IoT)-Geräte oder -Sensoren, die in einem Unternehmen aktiv eingesetzt werden und von denen die IT-Abteilung keine Kenntnis hat. Dies ist insofern bedeutsam, da in einer weltweiten Umfrage (in Englisch) ein Drittel der Befragten täglich mehr als 1000 Shadow-IoT Geräte an ihr Netzwerk angeschlossen hatte. Eine weitere Umfrage (in Englisch) zeigte, dass 100 Prozent der Befragten gefährdete Endgeräte in ihrem Netzwerk hatten, und mehr als 90 Prozent sogar bisher unentdeckte IoT-Funknetze.
Die fehlende Sichtbarkeit von Shadow-IoT Geräten macht sie zu einem einfachen Ziel für Hacker. Sie konzentrieren sich schnell auf diese Schwäche als Einstiegspunkt in Unternehmensnetzwerke. IoT-bezogene Angriffe haben sich zwischen 2017 und 2018 tatsächlich versechsfacht. Und: IoT-Geräte für Verbraucher werden sehr selten sicherheitsgerecht ausgelegt. Da immer mehr IoT-Geräte an das Firmennetzwerk angeschlossen sind, wächst die verborgene Angriffsfläche für Cyber-Attacken schnell an.
Shadow-IT: Geht von unserem Toaster tatsächlich eine Gefahr aus?
IoT-Geräte werden zunehmend als Möglichkeit angesehen, eine Hintertür im Firmennetzwerk zu öffnen. Da Shadow-Devices für die IT-Abteilung unsichtbar sind, ist es durchaus möglich, dass ein Sicherheitsverstoß tage- oder gar monatelang unbemerkt bleiben kann.
Es gibt einen Fall, der seltsam klingt, aber wahr ist: Hacker brachen in den IoT-fähigen Thermostat (in Englisch) im Aquarium in der Lobby eines Casinos ein. Sie nutzten diesen Eintrittspunkt, um Zugriff auf das Firmennetzwerk zu erhalten. Die Hacker stahlen die Datenbank mit den wohlhabenden Kunden des Casinos. Vergessen Sie nicht: Jedes mit Ihrem Netzwerk verbundene Consumer-IoT-Gerät kann die gleichen Schwachstellen aufweisen.
Es geht nicht nur darum, dass keinerlei Sicherheitsfunktionen in die Geräte integriert werden. Das eigentliche Problem der Shadow-IoT ist, dass ein potenzieller Angreifer das Gerät sehr leicht identifizieren kann. Viele anfällige IoT-Geräte werden von Suchmaschinen entdeckt, die speziell für vernetzte Geräte entwickelt wurden, wie beispielsweise Shodan (in Englisch).
Was lernen wir aus den Erkenntnissen von BYOD für das Shadow-IoT
In vielerlei Hinsicht ähnelt die Besorgnis bezüglich dem Shadow-IoT der Entwicklung von BYOD. Als die Anwender begannen, ihre persönlichen Smartphones und mobilen Geräte zu nutzen, waren die IT-Abteilungen der Unternehmen unvorbereitet. Einige der Lösungen, die zur Erfüllung der Sicherheitsanforderungen von BYOD entwickelt wurden, können auch beim Umgang mit dem Shadow-IoT eingesetzt werden:
Geräte-Registrierung
- Im Falle von BYOD war klar, dass die persönlichen Geräte nicht von der IT-Abteilung provisioniert werden konnten. Stattdessen mussten Mitarbeiter und Auftragnehmer ihre eigenen Geräte zur Überprüfung von der IT-Abteilung registrieren können. Dies erfordert ein so genanntes „Outside in“-Modell des Identity Managements. Dabei gehen wir über die Gewährung des Zugangs zu internen Systemen für die Mitarbeiter hinaus. Sie müssen die Provisionierung – manchmal die Selbst-Provisionierung – von Identitäten für Personen und Geräte außerhalb des Firmennetzwerks aktivieren.
Adaptive, kontextbasierte Sicherheit
- Wenn sich mobile Benutzer regelmäßig mit dem Unternehmensnetzwerk verbinden, reichte eine einfache Authentifizierung von Benutzername und Passwort nicht mehr aus. Bei BYOD wurde eine kontextuelle und adaptive Benutzerauthentifizierung eingesetzt. Bei der Beurteilung der Authentizität berücksichtigen die Sicherheitssysteme Kontextinformationen wie GPS-Standorte, IP-Adressen und sogar Biometrie. Durch diesen kontextabhängigen Ansatz sind Sie in der Lage, anormale Logins oder ungewöhnliche und anormale Endpunktaktivitäten zu erkennen. Heutzutage werden neue IoT-Plattformen mit adaptiven Sicherheitsfunktionen entwickelt, die sich in der mobilen Welt bewährt haben.
Kontinuierliche Echtzeit-Überwachung
- Die kontinuierliche Überwachung ist zu einem festen Bestandteil von BYOD geworden. Jeder IT-Manager weiß, dass die Mitarbeiter die Sicherheitsrichtlinien des Unternehmens oft nicht kennen. Andere wiederum werden sich über sie hinwegsetzen, wenn sie glauben, dass ihnen dies bei der Erfüllung ihrer Aufgaben hilft. Die Situation für das IoT ist noch schlimmer. Die Benutzer denken möglicherweise, dass ihr Endgerät nicht unter die Sicherheitspolitik fällt. IT-Abteilungen müssen noch immer selbst herausfinden, was das Gerät ist, wofür es verwendet wird und wer es nutzt. Sie müssen in der Lage sein, kontinuierliche Überprüfungen der angeschlossenen Geräte und Netzwerke durchzuführen und proaktiv nach unbekannten Geräten im Unternehmensnetzwerk zu suchen und so eine Shadow-IoT zu vermeiden.
Die Rolle der identitätsgesteuerten IoT-Plattform
Mobile Device Management-Systeme haben dazu beigetragen, die BYOD-Welt abzusichern. Eine identitätsgesteuerte IoT-Plattform kann dies auch für das Shadow-IoT tun. Eine IoT-Plattform kann eine einzige, zentrale Identität oder einen digitalen Zwilling für alle und jeden erstellen und verwalten. Diese können über Geräte, Anwendungen und Ressourcen hinweg synchronisiert werden. Neue Geräte, die sich mit dem Netzwerk verbinden, werden sofort erkannt. Wenn die Authentifizierung nicht hergestellt werden kann, werden sie isoliert. So entsteht eine lückenlose Identitätsinfrastruktur, die Zugriff, Beziehungen und Lebenszyklus für jede Person, jedes System und jedes Gerät verwaltet, das mit Ihrer Unternehmensinfrastruktur verbunden ist.
Sie möchten mehr darüber erfahren, wie eine identitätsgesteuerte IoT-Plattform dazu beitragen kann, Shadow-IoT innerhalb Ihres Unternehmens zu überwinden? Holen Sie sich den Leitfaden Identity of Things Explained (in Englisch). In diesem Leitfaden erfahren Sie mehr über das Problem von Identitäten im IoT. Außerdem lernen Sie, wie eine starke Identity of Things (IDoT)-Basis die IoT-Verbindungen identifiziert und verwaltet, um die Probleme zu beseitigen.
Der Leitfaden stellt IDoT vor und zeigt, wie man dem IoT-Identitäten zuordnet:
- Die wichtigsten Funktionen einer identitätsgesteuerten IoT-Plattform
- Die zehn wichtigsten Tipps für den Einsatz von Identity Management im IoT
- Die Auswahl des geeigneten Anbieters für IDoT
Holen sie sich noch heute den Leitfaden (in Englisch)
Dieser Artikel wurde aus dem Englischen übersetzt.