Keamanan IoT:Apa yang dapat kita pelajari dari ancaman terkini
Kasino Las Vegas yang tidak disebutkan namanya diretas melalui tangki ikannya, terhubung dengan IoT untuk memantau makanan dan suhu air
Internet of Things (IoT) menjanjikan lebih banyak fleksibilitas dan fungsionalitas untuk perusahaan daripada sebelumnya. Lebih banyak perangkat yang terhubung menjanjikan untuk membantu perusahaan merampingkan operasi rantai pasokan, meningkatkan efisiensi dan mengurangi biaya dalam proses yang ada, meningkatkan kualitas produk dan layanan, dan bahkan menciptakan produk dan layanan baru untuk pelanggan.
Dengan segudang manfaat yang tersedia untuk perusahaan, kata Avinash Prasad, kepala Layanan Keamanan Terkelola di Tata Communications , IoT diatur untuk menyempurnakan atau bahkan merombak model bisnis menjadi lebih baik.
Sementara pembuatan massal, pengumpulan, dan analitik data IoT tentu akan memberikan peluang besar bagi perusahaan, akses yang berpotensi mudah melalui jaringan yang tidak aman dan titik masuk rentan lainnya – termasuk perangkat IoT – menarik para penjahat dunia maya.
Menurut Gartner , hampir 20% organisasi telah mengamati setidaknya satu serangan berbasis IoT dalam tiga tahun terakhir. Dengan perkiraan 75 miliar perangkat terhubung yang mengejutkan di seluruh dunia pada tahun 2025, paparan kerentanan keamanan siber dan pelanggaran data akan meningkat lima kali lipat dari hari ini.
Jadi, saat kita memasuki era baru yang didominasi IoT, sangat penting untuk memeriksa kembali ancaman yang membayangi perusahaan saat menerapkan beberapa perangkat yang terhubung dan memasukkannya ke dalam strategi keamanan perusahaan. Berikut adalah tiga contoh kerentanan IoT yang harus dipertimbangkan oleh semua perusahaan untuk perencanaan pertahanan dunia maya – ini berkisar dari pelanggaran pada produk yang tampaknya tidak berbahaya hingga yang benar-benar berbahaya.
Bahkan perangkat terhubung yang paling sederhana pun rentan
Banyak orang yang pergi ke Vegas kembali dengan uang yang jauh lebih sedikit daripada yang mereka bawa, tetapi biasanya tidak dikaitkan dengan serangan dunia maya apa pun, apalagi yang dimulai dari tangki ikan. Namun, itulah bagaimana kasino yang tidak disebutkan namanya di Sin City mengalami pelanggaran keamanan siber pertamanya.
Termometer terhubung, yang digunakan untuk pemantauan jarak jauh dan memberi makan di dalam akuarium kasino, menyediakan titik akses yang sempurna bagi peretas yang ingin memperoleh data tentang pengunjung dengan pengeluaran tertinggi. Peretas mencuri total 10 GB data pribadi, mengirimkannya ke server jarak jauh di Finlandia.
Perangkat IoT semakin banyak digunakan di berbagai sektor, dan seperti yang terlihat pada contoh tangki ikan Vegas, bahkan perangkat terhubung yang paling sederhana pun dapat menjadi gerbang potensial ke segmen pribadi lain dari jaringan perusahaan. Mengingat 80% data dunia disimpan di server pribadi, mencegah peretas menjadi hal yang lebih penting.
Perlindungan fisik dan pembuangan perangkat yang terhubung dapat merepotkan
Terkadang bukan peretas yang perlu Anda waspadai, tetapi perilaku perangkat IoT itu sendiri. Pada tahun 2018, blog keamanan siber Hasil Terbatas mengambil gergaji besi ke bola lampu LIFX Mini White dan menemukan kerentanan dengan bola lampu pintar itu sendiri. Siapa pun yang memiliki akses fisik ke produk dapat mengekstrak kata sandi Wi-Fi pemilik karena disimpan dalam teks biasa di perangkat, bersama dengan kunci pribadi RSA dan kata sandi root.
LIFX memperbaiki kerentanan dengan pembaruan firmware tetapi ini menimbulkan pertanyaan penting seputar keadaan fisik perangkat termasuk perlindungan selama penggunaan dan pembuangan perangkat pintar lama atau rusak. Karena bisnis perusahaan terus mengadopsi dan meningkatkan IoT, aspek eksploitasi kerentanan yang sering terlupakan ini harus tetap diingat.
Perangkat lunak perusak dalam skala industri – ancaman fisik dunia maya
Dunia telah terbiasa dengan malware yang mencuri informasi pribadi, tetapi seperti yang terlihat pada contoh Vegas fish dan LIFX, jarang ada ancaman fisik bagi korbannya. Itu sampai 2018 ketika malware industri Triton ditemukan menargetkan sistem keamanan kilang minyak Arab Saudi. Dikatakan sebagai malware pertama yang pernah dirancang untuk membahayakan sistem keamanan industri, memberikan peretas kemampuan untuk menonaktifkan sensor dan memungkinkan memungkinkan bencana mematikan. Peretas bergerak dengan sengaja, meluangkan waktu untuk menyusup lebih banyak dan lebih banyak lagi ke sistem pemurnian dan mengembangkan malware yang lebih tepat.
Contoh itu untungnya ditemukan sebelum serangan lagi dapat dilakukan, tetapi itu tidak menghentikan peretas untuk mengembangkan bentuk malware yang lebih berbahaya. Jadi, ketika sistem kontrol industri menjadi semakin terhubung dan bergantung pada perangkat IoT, perusahaan harus mengambil langkah untuk membangun keamanan untuk lapisan ini.
Teka-teki kepatuhan
Bahkan tanpa adopsi IoT secara luas, banyak perusahaan ditantang oleh inovasi yang dapat membuka celah potensial untuk perlindungan data. Selama beberapa bulan terakhir, British Airways, Marriott Hotels dan berbagai organisasi otoritas lokal telah didenda berat di bawah Peraturan Perlindungan Data Umum (GDPR) Uni Eropa karena terpapar secara tidak sengaja sejumlah besar data pribadi. Faktanya, pelanggaran data Marriott saja mengekspos 7 juta catatan yang terhubung dengan penduduk Inggris.
Semua denda yang dikenakan menunjukkan seberapa agresif regulator di dalam Komisi Eropa (EC) bersedia untuk mengatasi kegagalan keamanan dan kepatuhan untuk memastikan bahwa data pribadi tetap bersifat pribadi. Undang-undang keamanan IoT baru yang berbasis di Inggris akan terlihat untuk meminta pertanggungjawaban produsen perangkat atas titik masuk yang rentan di dalam perangkat yang terhubung itu sendiri. Namun, perusahaan juga perlu menerima lebih banyak tanggung jawab atas kelemahan – keamanan dan kepatuhan – dalam arsitektur TI mereka sendiri.
Jadi, apa solusinya?
Sifat IoT yang masih baru kemungkinan akan menjadikannya target yang menarik bagi peretas di masa mendatang. Karena semakin banyak teknologi muncul dan lingkungan TI menjadi semakin kompleks, permukaan serangan IoT akan meningkat. Perusahaan harus mengambil tindakan pencegahan yang tepat hari ini untuk mencegah kerusakan serius yang dapat disebabkan oleh serangan yang berhasil pada lingkungan IoT yang baru diimplementasikan.
Salah satu cara untuk memperkuat keamanan siber adalah dengan menggunakan data IoT yang diproses oleh analitik canggih seperti pembelajaran mesin (ML) dan kecerdasan buatan (AI) dalam konteks keamanan. Dengan menerapkan teknologi analitik canggih, dimungkinkan untuk memantau anomali dalam perilaku dan penggunaan di semua perangkat yang terhubung dan dengan demikian mengidentifikasi insiden keamanan kritis atau penyalahgunaan. Terlebih lagi, dengan mengadopsi Blockchain, perusahaan dapat menghilangkan kebutuhan akan otoritas pusat di jaringan IoT. Ini berarti perangkat yang terhubung dalam grup umum dapat memperingatkan administrator jika mereka diminta untuk melakukan tugas yang tidak biasa.
Perusahaan juga harus melihat ke mitra mereka saat menopang lingkungan yang sarat IoT. Pusat pertahanan keamanan canggih untuk merespons serangan siber secara real-time, yang dioperasikan oleh pemain keamanan siber khusus, dapat menyediakan toko serba ada bagi perusahaan untuk keamanan siber, kepatuhan, dan kebutuhan teknologi yang muncul.
Pusat keamanan siber semacam itu harus didukung oleh sejumlah alat dan platform canggih termasuk analitik log dan perilaku, intelijen ancaman dunia maya, kerangka kerja keamanan berbasis cloud, platform prediksi serangan lanjutan yang didorong oleh pembelajaran mesin, terintegrasi ke dalam platform otomatisasi dan orkestrasi.
Oleh karena itu, pusat-pusat ini dapat memberi perusahaan dasbor keamanan yang komprehensif – pandangan menyeluruh dari jaringan TI dan IoT serta keamanannya. Pusat semacam itu sangat sulit untuk dibangun dan dipelihara dari perspektif biaya dan keterampilan, sehingga perusahaan dapat memanfaatkan keahlian mendalam dari mitra ahli untuk membantu memperkuat sistem dan postur perlindungan data mereka serta mengatasi peraturan yang terus berubah.
Hanya dengan mengambil pendekatan holistik terhadap keamanan IoT – pendekatan yang mencakup kontrol pervasif berbasis cloud dengan visibilitas dan perlindungan yang diperluas melalui teknologi yang sedang berkembang – seseorang dapat memastikan perusahaan dilindungi secara menyeluruh dan tetap mematuhi standar perlindungan data.
Singkatnya, tidak perlu takut dengan IoT. Dengan perlindungan yang tepat, ia dapat memenuhi janjinya, meningkatkan proses dan layanan yang dirancang untuk disediakan.
Penulisnya adalah Avinash Prasad, kepala Layanan Keamanan Terkelola di Tata Communications.
