Mengamankan IoT: Melindungi Nyawa Sebelum Hacker Serang

\n

Robert Haim of ACG Research menjelaskan mengapa Internet of Things (IoT) harus diperkuat sebelum pelaku jahat dapat menyebabkan kerusakan.

\n

Mantan Vice President AS Dick Cheney terkenal menonaktifkan akses nirkabel pada pacemaker-nya untuk menghindari serangan jantung yang diinduksi teroris. Dalam film 2007 "Live Free or Die Hard," pelaku jahat mengalihkan sinyal lalu lintas Washington, D.C., membuat semua lampu hijau dan menciptakan kekacauan. Insiden dunia nyata dan fiksi ini mengilustrasikan potensi letal dari sistem IoT yang terkompromi.

\n

Dengan miliaran sensor dan aktuator yang terhubung di seluruh dunia, keamanan yang lemah hanyalah masalah waktu sebelum penyerang mengambil alih, memicu perilaku berbahaya, atau memanipulasi operator manusia untuk membuat keputusan yang salah.

\n

Bagaimana kita mencegah ini sebelum tragedi terjadi? Jawabannya terletak pada praktik keamanan yang kuat yang disesuaikan dengan keterbatasan unik IoT.

\n

Temukan Serangan. Hentikan Serangan

\n

Tantangan untuk mencapai jaringan IoT yang "aman" adalah bahwa keamanan secara inheren adalah tujuan negatif—Anda harus menjaga lawan di luar jangkauan tanpa mengetahui kemampuan pasti mereka. Banyak titik akhir IoT tidak memiliki memori untuk tumpukan keamanan canggih, memaksa kita untuk mengevaluasi ulang strategi perlindungan.

\n

\n

"Kita harus melindungi perangkat itu sendiri dan merencanakan apa yang terjadi jika terkompromi," Haim catat. Schockingly, 55% perusahaan tidak dapat menentukan sumber ancaman mereka.

\n

Lihat Tindakan, Bukan Hanya Identitas

\n

Mark McGovern of CA Technologies menekankan bahwa perilaku pengguna lebih penting dari kredensial. "Apakah itu lembaga keuangan yang menangani 100 juta pengguna atau perusahaan kabel, pertanyaan nyata adalah apa yang dilakukan oleh aktor yang terautentikasi, bukan siapa yang mereka klaim," katanya.

\n

Analitik CA memantau pola dan menandai anomali yang menyimpang dari perilaku historis, memperkuat model pembelajaran mesin dan memperkuat kepercayaan.

\n

Mulai dengan Pemodelan Ancaman

\n

John Michelsen of Zimperium menyoroti kebutuhan akan pemodelan ancaman level perangkat. "Sebelum produk IoT apa pun mencapai pasar, identifikasi setiap vektor eksploitasi yang mungkin di level perangkat, jaringan, dan aplikasi," nasihatnya.

\n

Di Black Hat 2017, 13 dari 15 kunci otomatis terkompromi dalam hitungan jam, menekankan bahwa setidaknya 70% perangkat IoT konsumen masih dapat di-hack.

\n

Semua Orang Harus Melihat Luar

\n

Roark Pollock of Ziften berargumen bahwa pengujian internal saja tidak cukup. "Audit eksternal, sertifikasi mitra, dan ulasan komunitas open-source esensial untuk memvalidasi kontrol keamanan," katanya.

\n

\n

"Jangan bergantung sepenuhnya pada insinyur Anda," Pollock memperingatkan. Ahli eksternal dan pertentangan komunitas dapat mengungkap kerentanan tersembunyi.

\n

Gunakan Kecerdasan Buatan untuk Memolisi Identitas

\n

Hank Skorny of Neustar menjelaskan bahwa identitas bersifat probabilistik. "Anda harus terus menantang dan menyempurnakan pernyataan identitas menggunakan pembelajaran mesin, memantau setiap interaksi dalam waktu nyata," katanya.

\n

Model yang didorong AI mendeteksi pola jahat lebih cepat dari analis manusia, memungkinkan intervensi segera.

\n

Buktikan Kepercayaan di Beberapa Domain

\n

Undang-undang perlindungan data seperti HIPAA atau undang-undang keamanan nasional mengharuskan perlindungan yang ketat. Zebra Sports, penyedia telemetri atlet, adalah contoh bagaimana tim olahraga menerapkan prinsip keamanan yang sama yang digunakan dalam konteks militer dan industri.

\n

John Pollard of Zebra Sports mencatat bahwa menangkap data kinerja yang tak tertandingi untuk tim NFL membutuhkan perlindungan yang sama seperti telemetri sensitif lainnya, dari pengarahan missile hingga peralatan rumah sakit.

\n

Buat Zona Kepercayaan — dan Terapkan

\n

Tidak setiap pengguna membutuhkan akses yang sama. Staf IT rumah sakit mungkin perlu memverifikasi data pompa dialisis tanpa melihatnya, sementara teknisi lapangan harus memiliki akses berbasis peran yang terbatas. Sanjeev Datla of Lantronix menekankan bahwa zona kepercayaan harus didefinisikan oleh tanggung jawab, bukan hanya kredensial.

\n

Analitik perilaku membantu mengidentifikasi outlier—tindakan yang menyimpang dari pola normal pengguna—memicu peringatan dan memerlukan persetujuan tingkat lebih tinggi.

\n

Jangan Pernah Lupa: Semua Terhubung

\n

Pollock mengamati bahwa perangkat IoT modern pada dasarnya adalah PC berpenampilan penuh, namun sering diperlakukan sebagai sensor "bodoh." "Semua perangkat terhubung harus dipantau untuk status dan kebersihan. Penguatan, pemantauan perilaku, dan verifikasi eksternal tidak dapat dipernegoiasikan," katanya.

\n

Saat perangkat atau aplikasi IoT rentan, nyawa mungkin terancam.

\n

Penulis adalah Robert Haim, principal analyst – Business Analysis & IoT, ACG Research