Red Seguridad 84

18 red seguridad primer trimestre 2019 IoT opinión José Mesa Coordinador de Investigación de Ciberseguridad en Ingenia Dispositivos IoT dentro de la empresa: escenarios de ataque y protección te sus recursos; más aún cuando estos pueden servir como puerta de entrada para recabar información sobre los clientes mediante diferentes tipos de ataques. Aquellos dispositivos IoT o IIoT ( Industrial Internet of Things ) que manejen u obtengan datos privados –por ejemplo, los RFID, dispositivos de identificación o presencia– se verían afectados por la nueva aplicación de la normativa europea sobre protección de datos y el tratamiento de éstos que se lleven a cabo mediante los mismos. Escenarios habituales Basándose en lo anterior, es impor- tante conocer los escenarios habi- tuales a la hora de proteger una red IoT ante eventuales ataques: – Modificación de las contraseñas por defecto de los dispositivos, que pueden facilitar ataques por fuerza bruta o accesos indebidos por las credenciales de fábrica. No es raro el día en el que se reci- ben alertas e informes avisando de ello, y es la primera práctica a rea- lizar. Un nuevo router o cámara IP que se instale en la red vendrá con unas credenciales por defecto que son fáciles de averiguar, o incluso son públicas en Internet. – Configuración o limitación de los servicios en el dispositivo para evitar accesos externos y una exposición innecesaria. Al igual que deben alterarse las credencia- les de acceso, pueden desactivar- se aquellos servicios que no utili- cemos. En caso de ser necesario, debe fortalecerse la red a la que se conecten para controlar su uso, segmentándola adecuadamente. Plataformas como Shodan o Censys son ejemplos claros de la recolección de servicios expuestos a Internet, que cualquiera puede utilizar para comprobar la seguridad de estos dispositivos accesibles. Aquellos que no se hayan protegido adecuada- mente serán fácilmente accesibles y, por ende, también lo será la entrada a la red. Un ejemplo palpable fue la intrusión sufrida en 2017 por un casino a través del controlador de la pecera, que facilitó el acceso a la red interna para, posteriormente, mediante vulnerabilidades de otros sistemas adyacentes, alcanzar la base de datos de usuarios y filtrar cerca de 10GB de información. – Actualización de los dispositivos para evitar ataques por servicios vulnerables. En muchas ocasio- nes estos dispositivos se instalan y configuran una vez y no se les vuelve a tener en cuenta mientras funcionen correctamente. Es nece- sario estar al tanto de las actua- lizaciones de firmware del fabri- cante para evitar ataques futuros. Una red fortalecida puede servir inicialmente, pero un dispositivo vulnerable expuesto es un aliciente para atraer escaneos e intentos de acceso rápidamente. – El ataque Blueborne a dispositi- vos Bluetooth únicamente puede corregirse mediante actualizacio- nes de firmware o del sistema operativo en todos los dispositivos afectados. – Control de accesos indebidos mediante vulnerabilidades en las interfaces web o cloud de los dis- positivos. Esto va unido a la cons- L os aspectos de seguridad a consi- derar cuando se permite la conexión de dispositivos IoT (Internet de las Cosas, por sus siglas en inglés) a la red de una empresa son múltiples: correcto dimensionamiento y fortale- cimiento de la red donde se conectan los dispositivos, análisis y configura- ción personalizada de los mismos e implementación de políticas de con- trol de endpoints o cortafuegos para monitorizar el tráfico y la actividad de cada uno de ellos. Además, deben tenerse en mente los planes de ges- tión de incidentes y sistemas de moni- torización y control frente a cualquier posible brecha de seguridad. No podemos considerar estos ele- mentos como algo trivial, que se deban dejar al libre arbitrio, ya que muchos de estos dispositivos no tienen en cuenta la seguridad como esquema de diseño durante su fabri- cación o incluso su ciclo de vida, aunque las empresas estén invirtien- do cada vez más en ello. Los departamentos de seguridad deben ser los que definan las políticas adecuadas para prevenir los posibles escenarios de ataque que puedan sufrir. Es algo que los CISO de cualquier empresa están empezando a tener muy en cuenta, dadas las repercusio- nes que pueden acarrear en aquellas firmas que no protejan adecuadamen- tendencias 2019