Strategi Keamanan IoT Dari Perusahaan Menggunakan Perangkat Yang Terhubung – Freeman Health System memiliki sekitar 8.000 perangkat medis yang terhubung di 30 fasilitasnya di Missouri, Oklahoma, dan Kansas. Banyak dari perangkat ini memiliki potensi untuk berubah menjadi mematikan setiap saat. “Itulah skenario hari kiamat yang ditakuti semua orang,” kata Skip Rollins, CIO dan CISO dari rumah sakit tersebut.
Strategi Keamanan IoT Dari Perusahaan Menggunakan Perangkat Yang Terhubung
portknocking – Rollins akan senang untuk dapat memindai perangkat untuk kerentanan dan menginstal perangkat lunak keamanan pada mereka untuk memastikan bahwa mereka tidak diretas. Tapi dia tidak bisa. “Penjual di tempat ini sangat tidak kooperatif,” katanya. “Mereka semua memiliki sistem operasi berpemilik dan alat berpemilik. Kami tidak dapat memindai perangkat ini. Kami tidak dapat menempatkan perangkat lunak keamanan pada perangkat ini. Kami tidak dapat melihat apa pun yang mereka lakukan. Dan vendor sengaja mengirimkannya seperti itu. “
Baca Juga : Bagaimana Bot dan Mitigasi Fraud Dapat Bekerja Sama Untuk Mengurangi Risiko Spam
Vendor mengklaim bahwa sistem mereka tidak dapat diretas, katanya. “Dan kami berkata, ‘Mari kita masukkan itu ke dalam kontrak.’ Dan mereka tidak akan melakukannya.” Itu mungkin karena perangkat bisa penuh dengan kerentanan. Menurut sebuah laporan yang dirilis awal tahun ini oleh perusahaan keamanan siber kesehatan Cynerio, 53% perangkat medis memiliki setidaknya satu kerentanan kritis. Misalnya, perangkat sering kali dilengkapi dengan kata sandi dan pengaturan default yang dapat ditemukan dengan mudah oleh penyerang secara online, atau menjalankan Windows versi lama yang tidak didukung.
Dan penyerang tidak tidur. Menurut penelitian Ponemon yang dirilis musim gugur lalu, serangan terhadap IoT atau perangkat medis menyumbang 21% dari semua pelanggaran layanan kesehatan dengan persentase yang sama dengan serangan phishing. Seperti penyedia layanan kesehatan lainnya, Freeman Health Systems mencoba membuat vendor perangkat memperhatikan keamanan dengan lebih serius, tetapi sejauh ini belum berhasil. “Vendor kami tidak akan bekerja sama dengan kami untuk memecahkan masalah,” kata Rollins. “Ini adalah model bisnis milik mereka.”
Akibatnya, ada perangkat yang ditempatkan di area yang dapat diakses oleh publik, beberapa dengan port USB yang dapat diakses, terhubung ke jaringan, dan tanpa cara untuk mengatasi masalah keamanan secara langsung. Dengan anggaran yang ketat, rumah sakit tidak dapat mengancam vendor bahwa mereka akan membuang perangkat lama mereka dan menggantinya dengan yang baru, bahkan jika ada alternatif yang lebih baru dan lebih aman yang tersedia. Jadi, sebagai gantinya, Freeman Health menggunakan strategi mitigasi berbasis jaringan dan solusi lain untuk membantu mengurangi risiko.
“Kami memantau lalu lintas masuk dan keluar,” kata Rollins, menggunakan alat pemantau lalu lintas dari Ordr. Komunikasi dengan lokasi yang mencurigakan dapat diblokir oleh firewall, dan pergerakan lateral ke sistem rumah sakit lain dibatasi oleh segmentasi jaringan. “Tapi itu tidak berarti bahwa perangkat tidak dapat dikompromikan karena merawat pasien,” katanya. Untuk memperumit masalah lebih lanjut, memblokir perangkat ini agar tidak berkomunikasi dengan, katakanlah, negara lain, dapat membuat pembaruan penting tidak diinstal.
“Bukan hal yang aneh bagi perangkat untuk menjangkau China, Korea Selatan, atau bahkan Rusia karena komponennya dibuat di semua wilayah dunia itu,” katanya. Rollins mengatakan bahwa dia tidak mengetahui upaya untuk menyakiti orang secara fisik dengan meretas perangkat medis mereka di kehidupan nyata. “Setidaknya hari ini, sebagian besar peretas mencari hari bayaran, bukan untuk menyakiti orang,” katanya.
Tetapi serangan negara-bangsa yang mirip dengan serangan siber SolarWinds yang menargetkan perangkat medis, berpotensi menimbulkan kerusakan yang tak terhitung jumlahnya. “Sebagian besar perangkat medis terhubung kembali ke perangkat pusat, dalam jenis jaringan hub-and-spoke,” katanya. “Jika mereka mengkompromikan jaringan itu, itu akan membahayakan alat yang kami gunakan untuk merawat pasien kami. Itu ancaman nyata.”
Perjuangan visibilitas IoT
Tantangan pertama keamanan IoT adalah mengidentifikasi perangkat apa yang ada di lingkungan perusahaan. Tetapi perangkat sering dipasang oleh unit bisnis individu atau karyawan, dan mereka berada di bawah lingkup operasi, bangunan dan pemeliharaan, dan departemen lainnya. Banyak perusahaan tidak memiliki satu entitas yang bertanggung jawab untuk mengamankan perangkat IoT. Menunjuk seseorang adalah langkah pertama untuk mengendalikan masalah, kata Doug Clifton, yang memimpin upaya PL dan TI untuk Amerika di Ernst & Young.
Langkah kedua adalah untuk benar-benar menemukan perangkat. Menurut analis Forrester Paddy Harrington, beberapa vendor menawarkan pemindaian jaringan untuk membantu perusahaan melakukan itu. Gear dari Checkpoint, Palo Alto, dan lainnya dapat terus menjalankan pemindaian pasif, dan ketika perangkat baru terdeteksi, secara otomatis menerapkan kebijakan keamanan pada perangkat tersebut. “Itu tidak akan menyelesaikan segalanya,” katanya, “Tapi ini adalah langkah ke arah yang benar.”
Namun, beberapa perangkat tidak termasuk dalam kategori yang diketahui dan sulit untuk diarahkan. “Ada aturan 80-20,” kata Clifton. “Delapan puluh persen perangkat dapat dikumpulkan oleh teknologi. Untuk 20% lainnya, perlu ada beberapa pekerjaan investigasi.” Perusahaan yang belum memiliki alat pemindaian IoT harus memulai dengan berbicara dengan vendor keamanan yang sudah bekerja sama dengan mereka, kata Harrington. “Lihat apakah mereka memiliki penawaran. Ini mungkin bukan jenis yang terbaik, tetapi itu akan membantu mengatasi kesenjangan, dan Anda tidak perlu memiliki banyak infrastruktur baru.”
Perusahaan biasanya menggunakan spreadsheet untuk melacak perangkat IoT, kata May Wang, CTO Palo Alto untuk keamanan IOT. Setiap area bisnis mungkin memiliki daftarnya sendiri. “Ketika kami pergi ke rumah sakit, kami mendapatkan spreadsheet dari departemen TI, departemen fasilitas, dan departemen perangkat biomedis dan ketiga spreadsheet itu berbeda dan menunjukkan perangkat yang berbeda,” katanya. Dan ketika Palo Alto menjalankan pemindaian lingkungan, daftar ini biasanya gagal kadang-kadang lebih dari urutan besarnya. Banyak perangkat yang lebih tua, kata Wang, dipasang pada hari-hari sebelum perangkat IoT dikenali sebagai ancaman keamanan. “Keamanan jaringan tradisional tidak melihat perangkat ini,” katanya. “Dan pendekatan tradisional untuk melindungi perangkat ini tidak berhasil.”
Tetapi perusahaan tidak dapat menerapkan keamanan titik akhir atau kebijakan manajemen kerentanan ke perangkat sampai semuanya diidentifikasi. Palo Alto sekarang menyertakan deteksi perangkat IoT yang didukung pembelajaran mesin yang terintegrasi dalam firewall generasi berikutnya. “Kami dapat memberi tahu Anda jenis perangkat apa yang Anda miliki, jenis perangkat keras, perangkat lunak, sistem operasi, protokol apa yang Anda gunakan,” kata Wang. Sistem Palo Alto tidak dapat mendeteksi dan mendapatkan informasi lengkap di setiap perangkat. “Untuk beberapa dari mereka, mungkin tidak sedetail, tapi kami bisa mendapatkan sebagian besar informasi untuk sebagian besar perangkat. Itu memberikan visibilitas untuk penemuan perangkat.”
Bergantung pada bagaimana teknologi diterapkan, Palo Alto juga dapat mengambil perangkat berdasarkan komunikasi internal dan lateral mereka, dan menyarankan atau secara otomatis menerapkan kebijakan keamanan untuk perangkat yang baru ditemukan. Ketika perangkat IoT menggunakan komunikasi seluler, ini menciptakan masalah yang lebih besar. “Banyak perangkat IoT adalah 5G, dan itu akan menjadi masalah yang lebih besar lagi,” katanya. “Kami memiliki divisi yang bekerja pada keamanan 5G. Ini jelas memberikan lebih banyak tantangan.”
Mengintip ke dalam IoT
Setelah perangkat IoT ditemukan dan diinventarisasi dengan andal, perangkat tersebut perlu dikelola dan diamankan dengan ketelitian yang sama seperti perangkat jaringan lainnya. Itu membutuhkan manajemen konfigurasi, pemindaian kerentanan, pemantauan lalu lintas, dan kemampuan lainnya. Bahkan perangkat yang tidak terhubung ke jaringan eksternal dapat menjadi titik perantara atau tempat persembunyian bagi penyerang yang gigih bergerak secara lateral melalui perusahaan. Marcos Marrero, CISO di H.I.G. Modal, baru menghadapi dilema ini setahun lalu.
H.I.G. adalah perusahaan investasi global dengan lebih dari $50 miliar modal ekuitas yang dikelola dan 26 kantor di empat benua. Perusahaan memiliki ratusan perangkat di jaringannya, seperti kamera, perangkat keamanan fisik, dan sensor yang memantau suhu, kelembapan, dan daya di dalam ruang komputernya. Keamanan perangkat IoT “adalah masalah besar,” kata Marrero. “Dan itu terus berkembang dan semakin besar.” Sebagai perusahaan keuangan, H.I.G. sangat sadar akan keamanan, dengan tim keamanan yang mengawasi setiap perangkat yang terpasang di jaringannya. “Tenang saja, kami belum menemukan IoT nakal di lingkungan kami,” kata Marrero.
Tetapi dapat menemukan perangkat hanyalah awal dari perjalanan. “Lalu ada visibilitas ke dalam kerentanan dan konfigurasi,” katanya.Sekitar setahun yang lalu, Marrero menjalankan pemindaian kerentanan di salah satu perangkat peringatan ruangan dan menemukan port terbuka yang tidak memerlukan otentikasi. Perusahaan menghubungi pabrikan dan bisa mendapatkan instruksi tentang cara mengeraskan perangkat. “Tapi kami harus memintanya, bukan informasi yang diberikan langsung kepada kami,” katanya.
Dan pemindaian kerentanan yang dijalankan perusahaan hanya melihat perangkat dari luar, katanya, menemukan port terbuka dan jenis sistem operasi, tetapi sedikit yang lain. “Ada banyak kerentanan dalam perangkat lunak sumber terbuka yang digunakan di perangkat ini,” katanya. Untuk mengatasi masalah tersebut, H.I.G. beralih ke alat pemindaian firmware dari Netrise. “Kami melakukan pembuktian konsep dan mengunggah salah satu gambar firmware, dan itu mengembalikan semua data kerentanan ini dan informasi lainnya,” katanya. “Itulah yang menyegelnya untuk kita.”
Mengunggah gambar adalah proses manual yang memakan waktu beberapa menit per gambar. Karena ada banyak perangkat duplikat dengan jenis yang sama, perusahaan harus mengunggah kurang dari 20 gambar secara total. Sebagai hasil dari pemindaian, persediaan kerentanan perusahaan meningkat sebesar 28%. “Kami tidak tahu mereka ada di lingkungan kami,” katanya. “Ya, tren kerentanan kami mengalami lonjakan, tetapi setengah pertempuran bahkan mengetahui bahwa Anda memiliki kerentanan itu sejak awal.”
Setelah kerentanan ditemukan, H.I.G. menghubungi vendor perangkat dan mengambil langkah mitigasi lainnya. “Itu bisa menjatuhkan perangkat jika terlalu berbahaya dan menimbulkan terlalu banyak risiko bagi lingkungan kita,” katanya, “atau melapisi kontrol tambahan di sekitarnya.” Misalnya, beberapa perangkat disegmentasi di jaringan, dengan daftar kontrol akses untuk membatasi sistem dan pengguna lain yang dapat mengakses perangkat itu. “Misalnya, kamera keamanan hanya bisa berbicara dengan aset teknologi yang mendukung perangkat itu,” katanya. “Itu membatasi risiko eksploitasi negatif apa pun.”
Kemudian, pembaruan firmware apa pun di masa mendatang dijalankan melalui alat Netrise sebelum diterapkan, jika pabrikan memperkenalkan kerentanan baru. Kebijakan manajemen IoT lainnya yang diterapkan perusahaan mencakup pemeriksaan keamanan selama keputusan pembelian awal. “Sebelum kami membeli aset baru, kami memastikan mereka memiliki beberapa tingkat logging yang dapat kami kirim ke lingkungan logging terpusat kami,” katanya, mengacu pada sistem informasi keamanan dan manajemen acara (SIEM) perusahaan.
“Apa yang dilakukan SIEM kami adalah mengambil semua log berbeda yang kami kirim ke sana dan menghubungkannya untuk mengurangi tingkat peringatan palsu.” Kadang-kadang, perusahaan menemukan perangkat yang memiliki tingkat logging yang sangat belum matang, katanya. “Dan saya harus mengatakan, ‘Kami tidak akan membelinya.'”
Pemantauan dan pengawasan
Setelah semua perangkat diidentifikasi, dikategorikan berdasarkan risiko, dan, sejauh mungkin, ditambal dan diperbarui, langkah selanjutnya adalah membuat kerangka kerja pemantauan di sekitar perangkat yang berpotensi paling merugikan perusahaan. Dalam beberapa kasus, perusahaan mungkin dapat menginstal perangkat lunak perlindungan titik akhir pada perangkat IoT itu sendiri untuk melindungi mereka dari serangan berbahaya, untuk memantau pengaturan konfigurasi, untuk memastikan bahwa mereka sepenuhnya ditambal, dan untuk memantau aktivitas yang tidak biasa. Itu mungkin tidak mungkin untuk beberapa perangkat lama atau perangkat berpemilik seperti peralatan medis.
Saat perangkat terhubung ke jaringan perusahaan, komunikasi tersebut dapat dipantau untuk aktivitas yang mencurigakan. Untuk sekali ini, perusahaan menangkap terobosan dalam aspek keamanan IoT ini. Menurut Palo Alto, 98% lalu lintas IoT tidak terenkripsi. Plus, perangkat IoT biasanya melakukan hal yang sama berulang kali. “Ambil termostat, misalnya,” kata Wang dari Palo Alto. “Itu hanya seharusnya mengirim suhu dan hanya itu. Itu tidak seharusnya berbicara dengan server lain. Itu hal yang baik itu memudahkan model AI untuk membangun dasar perilaku.”
IoT dan masa depan tanpa kepercayaan
Saat perusahaan beralih ke arsitektur tanpa kepercayaan, penting untuk tidak melupakan perangkat yang terhubung. Prinsip tanpa kepercayaan dan keamanan berdasarkan desain harus digunakan untuk memperkuat perangkat dan aplikasi terkait. Itu dimulai dengan kontrol perlindungan, seperti identifikasi dan otentikasi perangkat, serta pembaruan perangkat tepercaya dengan ketahanan rantai pasokan, kata Srinivas Kumar, wakil presiden solusi IoT di vendor keamanan DigiCert. Komunikasi juga harus aman, tambahnya.
Salah satu organisasi industri yang bekerja untuk mengamankan perangkat IoT dengan membuat standar otentikasi dan enkripsi adalah WI-SUN, didirikan sekitar 10 tahun yang lalu untuk secara khusus fokus pada perangkat yang digunakan oleh utilitas, kota pintar, dan pertanian. Langkah-langkah keamanan yang dibangun ke dalam standar WI-SUN termasuk sertifikat untuk mengotentikasi perangkat saat mereka terhubung ke jaringan, enkripsi untuk memastikan bahwa semua pesan bersifat pribadi, dan pemeriksaan integritas pesan untuk mencegah serangan man-in-the-middle.
Meningkatnya ketegangan geopolitik berarti bahwa mengamankan meter ini dan perangkat lain yang menjadi kunci operasi infrastruktur penting menjadi semakin mendesak. “Jika Anda memiliki sensor pemeriksaan integritas struktural di jembatan atau rel kereta api dan seseorang datang dan merusak semua sensor, Anda harus menutup kota, dan itu akan menyebabkan kekacauan besar,” kata WI-SUN presiden dan CEO Phil Beecher.
Dan itu baru permulaan, kata David Nosibor, pemimpin solusi platform dan kepala proyek SafeCyber di UL Solutions, sebelumnya UL. “Dari gangguan rantai pasokan hingga hilangnya makanan, air, atau listrik, dampak ini dapat meluas melampaui organisasi yang terkena dampak,” katanya. Sementara itu, penyerang semakin canggih, katanya, dan ada kekurangan keahlian keamanan siber di angkatan kerja. Plus, di atas semua ini, ada gelombang peraturan yang datang ketika legislator sadar akan risikonya. “Tantangan-tantangan ini saling berhubungan,” kata Nosibor. “Dan banyak organisasi, sayangnya, berjuang untuk mengimbangi kompleksitas.”
