Kerangka Keamanan IoT Baru NIST (NISTIR 8228): Apa Artinya untuk Perangkat Anda
Pada awal 2024, National Institute of Standards and Technology (NIST) meluncurkan publikasi draft NISTIR 8228, berjudul "Considerations for Managing Internet of Things (IoT) Cybersecurity and Privacy Risks." Ini membentuk dasar untuk serangkaian dokumen pedoman yang bertujuan membantu baik agen federal maupun organisasi swasta mengurangi ancaman unik yang ditimbulkan oleh perangkat IoT.
NISTIR 8228 mengidentifikasi tiga kerentanan keamanan kritis yang umum pada perangkat IoT dan mencakup tiga tujuan utama untuk mitigasi risiko. Dokumen ini adalah sumber daya praktis dan dapat ditindaklanjuti bagi siapa saja yang bertanggung jawab untuk menerapkan atau mengelola IoT di lingkungan korporasi atau pemerintah.
NISTIR 8228: Membongkar Ancaman Keamanan Inti IoT
Berbeda dengan peralatan TI tradisional—komputer, tablet, atau ponsel pintar—perangkat IoT berjalan pada sistem operasi kustom, seringkali milik, yang sulit bagi tim TI untuk dipantau atau diperbaiki. Karena perangkat ini sering terhubung ke internet, mereka dapat menjadi titik masuk ke jaringan yang aman. Ketika penyerang mengeksploitasi kerentanan dalam firmware perangkat, mereka dapat menggunakan titik masuk tersebut untuk meluncurkan serangan pada setiap host di jaringan. Vektor paling umum adalah upaya brute-force SSH yang memanfaatkan kredensial default.
Di luar akses jaringan yang tidak berwenang, perangkat IoT telah direkrut ke dalam botnet massal yang melancarkan serangan distributed denial-of-service (DDoS). Gangguan Dyn pada 2016, peristiwa DDoS terbesar dalam sejarah, menunjukkan bagaimana jutaan perangkat IoT yang tidak aman direkrut untuk membanjiri infrastruktur DNS. Penyerang mengeksploitasi kerentanan firmware untuk menaklukkan setiap perangkat dan kemudian mengatur storm lalu lintas yang merugikan layanan internet besar.
Lebih mengkhawatirkan lagi, beberapa perangkat IoT dapat secara langsung memanipulasi sistem fisik—HVAC, lift, kontrol pemadam kebakaran, dan sebagainya. Jika diambil alih, perangkat ini dapat menyebabkan kerusakan fisik atau membahayakan keselamatan.
Mencari cara aman untuk menerapkan sistem pelacakan IoT? Jadwalkan demo gratis dengan LinkLabs.
Kerangka IoT NIST: Rekomendasi Praktis Sepanjang Siklus Hidup Perangkat
Untuk mengatasi risiko yang diidentifikasi, NIST merekomendasikan serangkaian tindakan yang meliputi seluruh siklus hidup perangkat IoT:
- Lakukan penilaian risiko menyeluruh untuk memahami lanskap ancaman spesifik.
- Revisi kebijakan dan prosedur organisasi untuk selaras dengan risiko spesifik IoT.
- Terapkan praktik mitigasi yang kuat dan berbasis bukti—mulai dari segmentasi jaringan hingga manajemen firmware yang aman.
Produsen mendorong untuk menyematkan fitur keamanan dan privasi ke dalam produk mereka sejak awal. Namun, pasar masih berisi jutaan perangkat legacy yang tidak memiliki pengaman ini. Menjembatani kesenjangan ini akan memakan waktu, dan desainer harus menyeimbangkan keamanan dengan keterbatasan biaya.
Berbagai kategori IoT menuntut lapisan keamanan yang berbeda. Beberapa perangkat hanya memerlukan perlindungan tingkat perangkat, sementara yang lain membutuhkan enkripsi data dan perlindungan privasi tambahan keamanan perangkat. NISTIR 8228 memanggil organisasi untuk mengevaluasi tingkat perlindungan yang tepat untuk setiap perangkat yang mereka terapkan.
Sementara kerangka ini menawarkan titik awal yang berharga, ini hanya langkah pertama. Pedoman di masa depan akan perlu membahas bagaimana membangun perangkat yang aman dan hemat biaya serta melindungi ekosistem IoT yang ada.
Dua tahun setelah insiden Dyn, banyak kerentanan masih belum ditangani. Bisnis harus bertanya: Bagaimana kita dapat mengurangi risiko perangkat IoT yang kami gunakan saat ini untuk pelacakan dan pemantauan aset?
Untuk armada kecil, cukup mengubah kata sandi default adalah pertahanan awal yang efektif. Untuk penerapan yang lebih besar—ratusan atau ribuan perangkat—pendekatan ini tidak praktis karena waktu dan tenaga yang diperlukan.
LinkLabs menawarkan solusi komprehensif. Sistem AirFinder kami mengisolir perangkat IoT pada jaringan khusus yang menghindari protokol IP standar, membuat kompromi sulit. Untuk penerapan luas wilayah, platform Symphony Link kami mengintegrasikan infrastruktur kunci publik (PKI) yang memenuhi standar NSA, mendukung pembaruan firmware over-the-air, pertukaran kunci AES real-time, dan TLS tingkat bank untuk lalu lintas jaringan. Fitur ini memungkinkan pemeliharaan cepat dan komunikasi yang aman tanpa akses fisik ke perangkat.
Untuk mempelajari bagaimana LinkLabs dapat melindungi penerapan IoT Anda dari risiko yang diuraikan dalam NISTIR 8228, hubungi kami hari ini dan amankan aset Anda dengan teknologi terbaik industri yang terbukti.
