IoT Security – Anatomi serangan cyber IoT

Catatan Editor:Mengamankan Internet of Things sangat penting tidak hanya untuk integritas aliran data dan perangkat lunak dalam setiap aplikasi IoT, tetapi juga untuk integritas sumber daya perusahaan yang terkait dengan aplikasi tersebut. Keamanan IoT adalah masalah yang kompleks, membutuhkan pendekatan sistematis untuk memahami kemungkinan ancaman dan metode mitigasi yang sesuai.

Diadaptasi dari Internet of Things for Architects, oleh Perry Lea.

Bab 12. Keamanan IoT
Oleh Perry Lea

Anatomi serangan dunia maya IoT

Bidang keamanan siber adalah topik yang luas dan masif di luar cakupan bab ini. Namun, penting untuk memahami tiga jenis serangan dan eksploitasi berbasis IoT. Karena topologi IoT terdiri dari perangkat keras, jaringan, protokol, sinyal, komponen cloud, kerangka kerja, sistem operasi, dan semua yang ada di antaranya, sekarang kami akan merinci tiga bentuk serangan umum:

• Mirai :Serangan penolakan layanan paling merusak dalam sejarah yang muncul dari perangkat IoT yang tidak aman di area terpencil.

• Stuxnet :Senjata siber negara-bangsa yang menargetkan perangkat industri SCADA IoT yang mengendalikan kerusakan substansial dan permanen pada program nuklir Iran.

• Reaksi Berantai :Metode penelitian untuk mengeksploitasi jaringan area PAN hanya menggunakan bola lampu—tidak perlu internet.

Dengan memahami perilaku ancaman ini, arsitek dapat memperoleh teknologi dan proses pencegahan untuk memastikan kejadian serupa dimitigasi.

Mirai

Mirai adalah nama malware yang menginfeksi perangkat IoT Linux pada Agustus 2016. Serangan itu datang dalam bentuk botnet yang menghasilkan badai DDOS besar-besaran. Target profil tinggi termasuk Krebs on Security, blog keamanan internet populer, Dyn, penyedia DNS yang sangat populer dan banyak digunakan untuk internet, dan Lonestar cell, operator telekomunikasi besar di Liberia. Target yang lebih kecil termasuk situs politik Italia, Minecraft server di Brasil, dan situs lelang Rusia. DDOS pada Dyn memiliki efek sekunder pada penyedia lain yang sangat besar yang menggunakan layanan mereka seperti server Sony Playstation, Amazon, GitHub, Netflix, PayPal, Reddit, dan Twitter. Secara total, 600.000 perangkat IoT terinfeksi sebagai bagian dari botnet kolektif.

Kode sumber Mirai dirilis di hackforums.net (situs blog peretas). Dari sumber dan melalui jejak dan log, para peneliti telah mengungkap bagaimana serangan Mirai bekerja dan terungkap:

1. Pindai korban :Lakukan pemindaian asinkron cepat menggunakan paket TCP SYN untuk menyelidiki alamat IPv4 acak. Secara khusus mencari SSH/Telnet TCP port 23 dan port 2323. Jika scan dan port berhasil terpasang, maka memasuki fase dua. Mirai memasukkan daftar hitam alamat yang harus dihindari. Daftar hitam terdiri dari 3,4 juta alamat IP dan berisi alamat IP milik US Postal Services, Hewlett Packard, Ge, dan Departemen Pertahanan. Mirai mampu memindai sekitar 250 byte per detik. Ini relatif rendah sejauh menyangkut botnet. Serangan seperti SQL Slammer menghasilkan pemindaian pada 1,5 Mbps, alasan utamanya adalah bahwa perangkat IoT biasanya jauh lebih terbatas dalam kekuatan pemrosesan daripada perangkat desktop dan seluler.

2. Brute Force Telnet: Pada titik ini Mirai mencoba membangun sesi Telnet fungsional dengan korban dengan mengirimkan 10 pasangan nama pengguna dan kata sandi secara acak menggunakan serangan kamus 62 pasang. Jika login berhasil, Mirai mencatat host ke server C2 pusat. Varian Mirai selanjutnya mengembangkan bot untuk melakukan eksploitasi RCE.

3. Menginfeksi: Sebuah program loader kemudian dikirim ke calon korban dari server. Itu bertanggung jawab untuk mengidentifikasi sistem operasi dan menginstal malware khusus perangkat. Itu kemudian mencari proses pesaing lainnya menggunakan port 22 atau 23 dan membunuhnya (bersama dengan malware lain yang mungkin sudah ada di perangkat). Biner loader kemudian dihapus dan nama proses dikaburkan untuk menyembunyikan keberadaannya. Malware tidak berada di penyimpanan persisten dan tidak bertahan saat reboot. Bot sekarang tetap tidak aktif sampai menerima perintah serangan.

Perangkat yang ditargetkan adalah perangkat IoT yang terdiri dari kamera IP, DVR, router konsumen, telepon VOIP, printer, dan dekoder. Ini terdiri dari binari malware ARM 32-bit, MIPS 32-bit, dan 32-bit X86 khusus untuk perangkat IoT yang diretas.

Pemindaian pertama terjadi pada 1 Agustus 2016, dari situs web hosting AS. Pemindaian memakan waktu 120 menit sebelum menemukan host dengan port terbuka dan kata sandi dalam kamus. Setelah satu menit tambahan, 834 perangkat lain terinfeksi. Dalam 20 jam, 64.500 perangkat terinfeksi. Ukuran Mirai menjadi dua kali lipat dalam 75 menit. Sebagian besar perangkat terinfeksi yang berubah menjadi botnet berada di Brasil (15,0%), Kolombia (14,0%), dan Vietnam (12,5%), meskipun target serangan DDOS berada di wilayah lain.

Kerusakan terbatas pada serangan DDOS. Serangan DDOS datang dalam bentuk banjir SYN, banjir jaringan IP GRE, banjir STOMP, dan banjir DNS. Selama lima bulan, 15.194 perintah serangan individu dikeluarkan oleh server C2 dan mengenai 5.042 situs internet. Pada 21 September 2016, botnet Mirai melancarkan serangan DDOS besar-besaran di situs blog Krebs on Security dan menghasilkan lalu lintas 623 Gbps. Itu merupakan satu-satunya serangan DDOS terburuk sepanjang masa. Berikut adalah tangkapan layar waktu nyata yang diambil selama serangan Mirai menggunakan www.digitalattackmap.com:kolaborasi antara NETSCOUT Arbor dan Google Jigsaw.

klik untuk gambar lebih besar

Tampilan serangan DDOS Mirai di situs Krebs on Security; milik www.digitalattackmap.com

Stuxnet

Stuxnet adalah senjata siber terdokumentasi pertama yang diketahui dirilis untuk merusak aset negara lain secara permanen. Dalam hal ini, itu adalah worm yang dirilis untuk merusak Programmable Logic Controllers Siemens berbasis SCADA (PLC ) dan menggunakan rootkit untuk memodifikasi kecepatan putaran motor di bawah kendali langsung PLC. Para perancang berusaha keras untuk memastikan virus hanya menargetkan perangkat dengan kecepatan putaran drive frekuensi variabel slave yang terpasang pada PLC Siemens S7-300 yang berputar pada 807 Hz dan 1210 Hz, karena biasanya digunakan untuk pompa dan sentrifugal gas untuk uranium pengayaan.

Lanjutkan ke halaman dua artikel ini>>>