Apa Arti Publikasi IoT Baru NIST (NISTIR 8228) Bagi Perangkat Anda
Baru-baru ini, Institut Nasional Standar dan Teknologi (NIST) merilis draf publikasi, Laporan Internal NIST (NISTIR) 8228, Pertimbangan untuk Mengelola Keamanan Siber dan Risiko Privasi Internet of Things (IoT). Buku ini dimaksudkan sebagai dasar untuk serangkaian publikasi tentang cara mengelola keamanan siber dan risiko privasi yang terkait dengan perangkat IoT.
NISTIR 8228 ditargetkan untuk agen federal dan organisasi swasta, dan mengidentifikasi tiga kerentanan keamanan yang serius dari perangkat IoT. NISTIR 8228 juga mendefinisikan tiga tujuan untuk mitigasi risiko.
NISTIR 8228―Mendetailkan Kerentanan Keamanan Perangkat IoT
Perangkat IoT berinteraksi dengan dunia fisik dengan cara yang tidak dilakukan perangkat TI tradisional. Tidak seperti komputer, tablet, atau smartphone, perangkat IoT tidak berjalan di sistem operasi Windows atau Mac OS. Namun banyak dari perangkat ini terhubung ke internet, memungkinkan titik masuk ke jaringan komputer yang aman.
Perangkat IoT biasanya beroperasi pada sistem operasi khusus dan eksklusif yang sulit atau tidak mungkin dipantau dan ditambal oleh personel TI, jadi satu-satunya cara untuk mengurangi risiko adalah dengan menempatkannya di jaringan perusahaan di belakang firewall VLAN, untuk mencegah perangkat mengakses lebih banyak bagian sensitif dari jaringan. Jika peretas mendapatkan akses ke perangkat IoT di jaringan—biasanya karena mereka menemukan kerentanan dalam sistem operasi yang dirancang dan dipasang oleh produsen perangkat—mereka dapat meluncurkan serangan ke komputer mana pun yang terhubung ke jaringan itu. Jenis serangan yang paling umum adalah serangan brute force password SSH sederhana, yang biasanya hanya menggunakan kredensial default.
Selain itu, perangkat IoT dapat direkrut sebagai botnet untuk digunakan dalam serangan penolakan layanan (DDoS) terdistribusi. Pada bulan Oktober 2016, layanan domain internet Dyn mengalami serangan DDoS terbesar dalam sejarah. Para penyerang merekrut jutaan perangkat IoT yang tidak aman ke dalam pasukan botnet untuk mengarahkan lalu lintas besar-besaran ke situs Dyn, menyebabkan lalu lintas melambat hingga merangkak dan akhirnya membuat situs crash. Peretas memperoleh akses ke perangkat IoT dengan mengeksploitasi kerentanan dalam perangkat lunak sistem operasi milik perangkat.
Risiko tidak berakhir di situ. Beberapa perangkat IoT memiliki kemampuan untuk membuat perubahan pada sistem fisik seperti HVAC, elevator, sistem sprinkler, dan lainnya yang, jika dikomandoi, dapat menimbulkan kerusakan fisik atau risiko keselamatan.
Mencari cara aman untuk menerapkan sistem pelacakan IoT untuk bisnis Anda? Daftar untuk mendapatkan demo gratis dari LinkLabs.
Rekomendasi Kerangka Kerja IoT NIST
Untuk mengatasi risiko keamanan siber dan privasi, kerangka kerja NIST IoT merekomendasikan tindakan yang dapat dilakukan organisasi di sepanjang siklus hidup perangkat IoT. Ini termasuk:
- Memahami tantangan risiko.
- Menyesuaikan kebijakan dan proses organisasi untuk mengatasi tantangan tersebut.
- Menerapkan praktik mitigasi risiko terbaru untuk perangkat IoT.
Menurut NIST, ada banyak minat dalam menetapkan dasar keamanan dan privasi untuk membantu mitigasi risiko. Sebagian besar fokusnya adalah pada produsen yang membangun kemampuan keamanan dan privasi ke dalam perangkat mereka. Meskipun itu mungkin solusi untuk bergerak maju, saat ini ada jutaan perangkat IoT yang digunakan yang tidak memiliki kemampuan ini. Perlu waktu bagi produsen untuk meningkatkan keamanan pra-pasar dan kapasitas privasi dan membangunnya ke dalam perangkat mereka; juga akan ada tantangan tambahan seputar penambahan kemampuan ini tanpa membuat perangkat IoT terlalu mahal.
Ada pertimbangan lain yang diuraikan dalam kerangka kerja IoT NIST mengenai jenis dan tingkat keamanan yang dibutuhkan oleh perangkat IoT yang berbeda. Bagi sebagian orang, hanya perangkat itu sendiri yang mungkin memerlukan perlindungan. Perangkat lain mungkin memerlukan keamanan data selain keamanan perangkat, dan beberapa mungkin memerlukan perlindungan privasi serta keamanan perangkat dan data. Hingga saat ini, persyaratan terpisah tersebut belum dibedakan, sehingga organisasi harus memutuskan mana yang berlaku untuk perangkat dan penggunaan IoT tertentu.
Kerangka kerja NIST IoT memberikan titik awal yang berguna untuk mengatasi risiko yang terkait dengan perangkat IoT yang tidak aman, tetapi ini hanyalah langkah pertama. Masih ada tantangan dalam merancang dan membangun perangkat aman yang hemat biaya dan mengatasi risiko yang ditimbulkan oleh jutaan perangkat IoT yang sudah digunakan.
Dua tahun telah berlalu sejak serangan Dyn menunjukkan kerentanan banyak perangkat IoT yang saat ini digunakan, dan kemungkinan beberapa lagi akan berlalu sebelum produsen perangkat ini menemukan solusi pra-pasar untuk risiko keamanan. Bagaimana perusahaan dapat mengurangi risiko yang ditimbulkan oleh perangkat IoT yang mereka gunakan untuk pelacakan dan pemantauan otomatis aset dan material untuk sementara?
Salah satu pendekatan sederhana yang dapat sangat meningkatkan keamanan perangkat IoT siap pakai adalah dengan hanya mengubah kata sandi default yang diprogram ke dalam perangkat oleh produsen. Ini adalah solusi langsung bagi konsumen, yang mungkin hanya memiliki beberapa perangkat IoT. Namun untuk bisnis yang memiliki ratusan perangkat, atau lebih, yang digunakan untuk pelacakan dan pemantauan aset, hal ini tidak memuaskan, karena waktu dan tenaga yang dibutuhkan untuk memprogram ulang ratusan tag.
Jika bisnis Anda mencari cara aman untuk menerapkan teknologi IoT, hubungi Link Labs. Sistem AirFinder kami mengisolasi perangkat IoT pada jaringan khusus yang terpisah dari jaringan komputer perusahaan dan tidak menggunakan protokol IP standar, sehingga sulit untuk dikompromikan. Untuk jaringan area luas, sistem Symphony Link kami menggabungkan infrastruktur kunci publik (PKI), yang dianggap aman oleh standar NSA, firmware-over-the-air untuk menambal kerentanan dengan cepat dan mudah tanpa akses fisik ke perangkat, Standar Enkripsi Lanjutan real-time ( Pertukaran kunci AES, dan Transport Level Security (TLS) tingkat bank untuk lalu lintas jaringan. Untuk sistem pelacakan aman yang mudah diterapkan dan menghindari risiko keamanan IoT umum yang diuraikan dalam NISTIR 8228, hubungi Link Labs hari ini.
