Безпека IoT: як захистити розумні пристрої вдома

Проблема безпеки IoT

Інтернет речей (IoT) — це зростаюча категорія пристроїв, підключених до інтернету, поза традиційними комп'ютерами та телефонами: смарт-телевізори, камери відеоспостереження, відеодомофони, роботи-пилососи, термостати, розумні колонки, радіоняні, холодильники та десятки інших «розумних» приладів.

Ці пристрої мають серйозну проблему з безпекою. Більшість виробляється компаніями, чиїм пріоритетом є швидкий вихід продукту на ринок і мінімальна вартість — а не безпека. Вони постачаються зі слабкими стандартними паролями, рідко отримують оновлення програмного забезпечення та нерідко працюють на застарілому ПЗ із відомими вразливостями. Потрапивши в будинки, про них, як правило, повністю забувають.

Результат: мільйони недостатньо захищених пристроїв, підключених до домашніх мереж по всьому світу, разом утворюють одну з найбільших поверхонь атаки.

Чому зловмисники атакують IoT-пристрої

Зловмисники атакують IoT-пристрої з кількох причин:

• Постійний доступ: скомпрометований смарт-телевізор дає зловмиснику плацдарм у вашій мережі, що може зберігатися роками без виявлення
• Вербування в ботнет: ботнет Mirai 2016 року заразив понад 600 000 IoT-пристроїв і використав їх для запуску найбільшої на той час DDoS-атаки, що вивела з ладу великі інтернет-сервіси
• Поширення в мережі: зі скомпрометованого IoT-пристрою зловмисники можуть перейти до комп'ютерів і телефонів в тій самій мережі
• Стеження: скомпрометовані камери та мікрофони дають очі та вуха у вашому домі
• Збір даних: смарт-телевізори та голосові помічники можуть бути використані для захоплення конфіденційних розмов

Змініть стандартні облікові дані на кожному пристрої

Це найважливіший крок безпеки IoT. Більшість пристроїв постачаються зі стандартними іменами користувача та паролями, як-от admin / admin, admin / password або user / 1234. Вони публічно перелічені в документації виробника і є першими обліковими даними, які перевіряють зловмисники.

Для кожного IoT-пристрою, яким Ви володієте:

1. Отримайте доступ до адміністративного інтерфейсу пристрою (як правило, через мобільний застосунок або вебінтерфейс)
2. Змініть стандартний пароль на довгий унікальний пароль, збережений у менеджері паролів
3. Змініть стандартне ім'я користувача, якщо інтерфейс дозволяє
4. Вимкніть будь-які стандартні адміністративні акаунти, які Ви не будете використовувати

Лише цей крок усуває більшість автоматизованих IoT-атак, які просто підбирають стандартні облікові дані.

Ізолюйте IoT-пристрої в окрему мережу

Найефективніший архітектурний захист — сегментація мережі: розміщення IoT-пристроїв в окремій мережі Wi-Fi, яка не може напряму спілкуватися з вашими комп'ютерами, телефонами та планшетами.

Функція гостьової мережі вашого роутера забезпечує саме це. Увімкніть її, підключіть усі IoT-пристрої до неї та ввімкніть параметр ізоляції пристроїв цієї мережі один від одного та від основної мережі.

Перевага: якщо ваш смарт-телевізор скомпрометований, зловмисник опиняється в ізольованому сегменті і не може напряму отримати доступ до вашого ноутбука, телефону або мережевого сховища.

Що розмістити в IoT-мережі:

• Смарт-телевізори
• Голосові помічники (Amazon Echo, Google Home)
• Камери та відеодомофони
• Розумні термостати
• Роботи-пилососи
• Розумні лампочки та розетки
• Ігрові консолі

Залишити в основній мережі:

• Комп'ютери
• Телефони та планшети
• Мережеве сховище (NAS)

Оновлюйте прошивку

Виробники IoT-пристроїв час від часу випускають оновлення прошивки для усунення відомих вразливостей. На відміну від комп'ютерів, більшість IoT-пристроїв не оновлюються автоматично, і багато власників ніколи це не перевіряють.

• Відкрийте застосунок пристрою та знайдіть параметр оновлення прошивки
• Деякі пристрої підтримують автоматичні оновлення — увімкніть цю функцію скрізь, де вона є
• Перевіряйте сайт виробника на оголошення про оновлення
• Встановіть нагадування в календарі кожні 3 місяці для перевірки оновлень прошивки IoT

Якщо пристрою більше 3–4 років і виробник більше не випускає оновлень, розгляньте його заміну. Постійно непатчені пристрої — це постійний ризик.

Вимкніть функції, якими Ви не користуєтеся

Багато IoT-пристроїв мають можливості, якими Ви ніколи не скористаєтеся — і кожна з них є додатковою поверхнею атаки:

• Віддалений / хмарний доступ: якщо Вам не потрібно керувати термостатом з іншого кінця світу, вимкніть віддалений хмарний доступ і використовуйте лише локальне керування
• UPnP: дозволяє пристроям автоматично відкривати порти в вашому роутері. Вимкніть UPnP на роутері, щоб IoT-пристрої не пробивали «дірки» у вашому файрволі без вашого відома
• Загальний доступ: деякі камери та NAS-пристрої можна налаштувати для доступу з інтернету — вмикайте це лише за необхідності та використовуйте надійну автентифікацію
• Невикористовувані служби: SSH, Telnet або вебінтерфейси, що не потрібні — вимкніть їх

Ретельно обирайте, що купувати

Міркування безпеки перед придбанням нового IoT-пристрою:

• Чи має виробник репутацію, пов'язану з випуском оновлень безпеки?
• Чи працює пристрій без підключення до хмарного акаунту? (Локальна робота є більш приватною та безпечною)
• Чи проходив пристрій незалежні перевірки безпеки?
• Які дані збирає та поширює застосунок пристрою?
• Чи буде виробник підтримувати цей пристрій протягом наступних 5 років?

Бренди з вищим рівнем безпеки включають Ubiquiti, пристрої з локальним сховищем і обладнання, що підтримує локальні протоколи, зокрема Matter. Уникайте маловідомих брендів, що продають незвично дешеві розумні пристрої — вони часто мають слабкий захист і можуть містити попередньо встановлене шкідливе ПЗ.

Стежте за мережею на предмет невідомих пристроїв

Регулярно перевіряйте, що підключено до вашої мережі:

• Адміністративна панель вашого роутера показує всі підключені пристрої
• Застосунки як Fing (iOS/Android) сканують мережу та ідентифікують пристрої
• Шукайте незнайомі назви пристроїв або MAC-адреси
• Нові пристрої, яких Ви не впізнаєте, можуть бути сусідами, що підключилися до вашої мережі, або скомпрометованим пристроєм, що зареєстрував нову мережеву особистість

Документуйте свої IoT-пристрої — складіть простий список того, що у Вас є, в якій мережі він знаходиться і коли Ви востаннє перевіряли оновлення прошивки.

Розгляньте спеціальний IoT-роутер або VLAN

Для користувачів, що хочуть більш суворого контролю, є просунутіший варіант: роутер із підтримкою VLAN (Virtual Local Area Networks) для створення повністю ізольованих мережевих сегментів. Такі бренди, як Ubiquiti UniFi, TP-Link Omada або pfSense надають цю можливість.

Це виходить за рамки підходу з гостьовою мережею і дає Вам тонкий контроль над тим, які IoT-пристрої можуть підключатися до інтернету, які — лише до локальної мережі, а який трафік повністю блокується.

Безпека IoT не є складною, але вимагає усвідомленого підходу. Стандартні налаштування стабільно є небезпечними — кожен пристрій у вашому домі заслуговує п'яти хвилин налаштування безпеки під час підключення.