Zabezpieczanie internetu rzeczy i miejsca pracy

Więcej urządzeń jest zagrożonych atakiem. Ekspert ds. cyberbezpieczeństwa, Ken Munro, omawia luki, na które należy zwrócić uwagę, oraz sposoby zachowania bezpieczeństwa.

Za pomocą

• Informacje o przeglądzie technologii MIT strona archiwum

26 lutego 2020 r.

Wyprodukowane we współpracy z Zabezpieczenia Microsoft

W tym odcinku przyjrzymy się potrzebie zabezpieczenia Internetu przedmiotów, fizycznych miejsc pracy i produktów wytwarzanych przez firmy. Od samolotów przez zabawki dla dzieci po platformy wiertnicze — więcej podłączonych urządzeń jest podatnych na ataki niż kiedykolwiek wcześniej. Ken Munro jest badaczem bezpieczeństwa Internetu rzeczy, testerem penetracyjnym i pisarzem z dwudziestoletnim doświadczeniem w branży zabezpieczeń. Jest także założycielem firmy zajmującej się ochroną Pen Test Partners.

Munro pomaga ujawnić luki w elementach, z których korzystamy na co dzień, i omawia niektóre z najważniejszych umiejętności, jakie mogą posiadać eksperci ds. cyberbezpieczeństwa, dlaczego firmy są narażone na fizyczne naruszenia bezpieczeństwa oraz coś, co nazywa wadami supersystemowymi.

Business Lab prowadzi Laurel Ruma, dyrektor Insights, działu custom publishing w MIT Technology Review. Spektakl jest produkcją MIT Technology Review, przy wsparciu produkcyjnym Collective Next. Muzyka jest autorstwa Merleana z Epidemic Sound.

Pokaż notatki i linki

Ken Munro , na Twitterze

Ken Munro , Partnerzy testowi pisaków

Dziecięce zegarki śledzące: CloudPets, wykorzystywanie sportowców i przejmowanie reality TV, Blog dotyczący bezpieczeństwa partnerów testowych

Myślisz, że miałeś wyłom? 5 najważniejszych rzeczy do zrobienia, Blog dotyczący bezpieczeństwa partnerów testowych

Bezpieczeństwo Internetu Rzeczy, prezentacja TEDx autorstwa Kena Munro

Pełny zapis

Laur Ruma: Z MIT Technology Review, nazywam się Laurel Ruma, a to jest Business Lab, program, który pomaga liderom biznesu zrozumieć nowe technologie wychodzące z laboratorium i wprowadzane na rynek.

Zagrożenia bezpieczeństwa są wszędzie. Dlatego Microsoft Security zatrudnia ponad 3500 ekspertów ds. cyberprzestępczości, którzy stale monitorują zagrożenia, aby lepiej chronić Twoją firmę w microsoft.com/cybersecurity .

Naszym dzisiejszym tematem jest cyberbezpieczeństwo, a dokładniej znaczenie zabezpieczenia Internetu rzeczy, fizycznego miejsca pracy i produktów. Aha, i hakowanie samolotów, łodzi i samochodów. Trzy słowa dla Ciebie dla: zdalnie sterowana platforma wiertnicza. Moim gościem jest Ken Munro, który jest ekspertem zajmującym się badaniem bezpieczeństwa Internetu rzeczy, testerem penetracji i pisarzem z dwudziestoletnim doświadczeniem w branży zabezpieczeń. Jest założycielem i partnerem w Pen Test Partners, a także być może widziałeś jego wyczyny związane z samochodami bez kluczyka, zabawkami dla dzieci, samolotami, a my porozmawiamy więcej o tym, co nie daje mu spać: supersystemowe wady. Ken, dziękuję za przyłączenie się do Business Lab.

Ken Munro: Och dziękuje.

Laur: Po pierwsze, czy możesz mi powiedzieć, jak zainteresowałeś się bezpieczeństwem, ale konkretnie w kontekście urządzeń i internetu rzeczy?

Rozpoznać: Chciałbym ci powiedzieć, że straciłem młodość, ale jest to o wiele bardziej nudne. Spędziłem czas po studiach na uniwersytecie, oglądając restauracje. I pamiętam, że podjąłem pracę, w której zarządzałem restauracją, i pewnego znudzonego popołudnia, kiedy było cicho, zacząłem bawić się systemem punktów sprzedaży, bardzo, bardzo starym. Po odrobinie bałaganu możesz zawiesić go w DOS, wczesnej wersji DOS. Odkryłem wtedy, że mogę wydrukować wyciągi ze spłaty kredytu hipotecznego, aby móc otrzymywać płatności, co było dziwną rzeczą do wydrukowania na czeku w restauracji. Ale jeden z moich szefów przyszedł później i powiedział: „Myślę, że może masz złą karierę”. Przypuszczam, że był to niezły sposób na zwolnienie mnie, ale to doprowadziło mnie do ochrony przed wirusami, a następnie do zapór ogniowych i ogólnie do cyberbezpieczeństwa.

Laur: Tak więc, poza ciekawością, jakie umiejętności muszą posiadać eksperci ds. cyberbezpieczeństwa, a także oczywiście ich doskonałe umiejętności techniczne?

Rozpoznać: Ciekawość, to naprawdę dobre słowo, ponieważ kiedy patrzę na to, co robimy jako testerzy penetracji, etyczni hakerzy, jeśli chcesz. To próba myślenia w sposób, w jaki nie robili tego ludzie, którzy stworzyli system. Próbuje myśleć o wszystkich możliwych błędach, które zostały popełnione, rzeczach, które zostały przeoczone, i po prostu szturchają je, drapiąc te swędzenie, aby zobaczyć, czy możesz znaleźć popełniony błąd.

Wspomniałeś o tym, co nazywamy wadami supersystemowymi — to naprawdę powszechna luka, którą znajdujemy w API [interfejsach programowania aplikacji]. Tak więc interfejs API, który można znaleźć w aplikacji mobilnej, być może na urządzenie inteligentne, i tak często stwierdzamy, że programiści, chociaż poprawnie uwierzytelniają swoich użytkowników, często zapominają o ich prawidłowej autoryzacji. Mam na myśli to, że się logujesz, tworzysz konto, logujesz się – mówisz, że jesteś sobą. Ale deweloper gdzieś po drodze zapomniał sprawdzić, czy każde żądanie pochodzi od Ciebie, co oznacza, że ​​możesz potencjalnie wskoczyć na konta innych osób, wykonywać działania w ich imieniu i przełamać segregację.

Laur: Jeśli jestem w takiej sytuacji, a jestem tobą, testerem pióra w firmie i muszę iść komuś powiedzieć, myślę, że mamy tutaj błąd, jak przebiega ta rozmowa? Komu w ogóle coś mówisz?

Rozpoznać: Porozmawiajmy o niezależnych badaniach. Dużo pracy wykonujemy na własny koszt, kupując produkty i patrząc na nie, sprawdzając, czy możemy znaleźć luki. Częściowo jest to dobre ćwiczenie, dobre ćwiczenie, ale też jest pomocne, bo poprawia stan bezpieczeństwa. Jeśli więc znajdziemy lukę w zabezpieczeniach, pierwszą rzeczą, którą chcemy zrobić, jest poinformowanie o tym producenta. Chcemy im powiedzieć prywatnie, poufnie, aby mogli to naprawić.

Ale tak często problem polega na tym, że pierwsza pomoc dociera do niewłaściwych osób lub do organizacji, która po prostu nie jest przyzwyczajona do radzenia sobie z lukami — to dla nich pierwszy raz. Więc jak radzą sobie z kimś zupełnie zimnym, podchodzącym i mówiącym: „Hej, znaleźliśmy lukę w twoich rzeczach”. Większość ludzi odbiera to jako postrzeganą krytykę, co wcale nie jest intencją. Ale jeśli ktoś powiedział: Masz błąd w swoim produkcie, pierwszą rzeczą, którą robisz, jest podnoszenie rąk, Hej, hej, trzymaj się, trzymaj się. Nie nie nie nie. Musimy bronić naszej marki. I to zwykle pierwszy problem polega na tym, że ludzie nie znoszą dobrze konstruktywnej krytyki, co bardzo utrudnia życie badaczowi podatności.

Laur: Ale trzeba też mieć taki specjalny takt, prawda? Sposób, w jaki komunikujesz problemy tym różnym firmom z produktami lub milionami i miliardami dolarów zainwestowanymi w konkretne…

Rozpoznać: Tak. Właściwie myślę o tym jak o grze w szachy. Ponieważ wiem, że jeśli wejdziemy agresywnie zbyt mocno, prawdopodobnie się podniosą i zamiast naprawić lukę, prawdopodobnie zrobią coś, czego nie chcemy widzieć. Stają się agresywni, próbują nas zakrzyczeć lub czasami pojawiają się groźby prawne, które były bezpodstawne, ale irytujące i kosztowne w obronie.

Tak więc chodzi o to, by usłyszeć siebie przez odpowiednie osoby w organizacji, które rozumieją bezpieczeństwo, rozumieją potencjalny wpływ na ich markę, gdyby znalazła to inna nieetyczna osoba. Zdobywanie ich, zachęcanie, praca z nimi, dawanie im narzędzi, których potrzebują, aby mogli szybko to naprawić. A potem usterka zostaje naprawiona i wszyscy mają się lepiej.

Laur: Kiedy znajdujesz się w takiej sytuacji, tak naprawdę musisz mieć swojego odpowiednika w organizacji, a widzimy, że niekoniecznie każda organizacja ma kogoś takiego jak CISO, albo ktoś będzie odpowiedzialny za bezpieczeństwo. Jak ostrożnie stąpasz po tych wodach — jakich umiejętności komunikacyjnych i technik używasz, aby przekazać swoje punkty?

Rozpoznać: Jak je w ogóle znajdujesz? To może być prawdziwy problem. Może w pierwszej kolejności zaczynasz od formularza kontaktowego i prawdopodobnie trafi on do kogoś, kto nie rozumie cyberbezpieczeństwa. Skończy w niewłaściwym miejscu. Wiele, wiele lat temu mieliśmy kilka problemów z Fitbitem i zaczęliśmy wypełniać formularz kontaktowy, który po prostu trafił do eteru. Nic się nie stało. Próbowaliśmy dzwonić do pomocy technicznej, ale była to obsługa klienta i po prostu nie zajęto się tym.

I wszystko szło trochę nie tak. A potem, przez zupełny przypadek, znajomy przyjaciela zaczął jako ich wewnętrzny ekspert ds. bezpieczeństwa i to trochę katastrofa kolejowa, która ma się wydarzyć. Aktywnie podniósł słuchawkę i nawiązał kontakt, powiedział: „Hej Ken, myślę, że znamy kogoś, znamy tego samego faceta. Słyszałem, że próbowałeś zgłosić lukę w zabezpieczeniach. I z tego, co mogło być bardzo trudną sytuacją, w której istnieje luka, która nie jest naprawiana, sprzedawca nie słucha. Właściwie został bardzo szybko skrócony, a produkt naprawiony bardzo szybko. Oprogramowanie układowe zostało zaktualizowane w nieco ponad tydzień i była to prawdziwa historia sukcesu dla wszystkich.

Laur: To wspaniale. Myślę, że o tym chcemy więcej słyszeć. Prawidłowy?

Rozpoznać: Tak. Chciałbym tylko, żeby tak się stało za każdym razem.

Laur: Cóż, to prawdopodobnie sprawia, że ​​twoja praca też jest tak interesująca. Jak myślisz o obecnym braku specjalistów ds. bezpieczeństwa? Po prostu w całej branży, jakich rzeczy szukasz lub chciałbyś machnąć magiczną różdżką i naprawić? Jak naprawić profesjonalny potok bezpieczeństwa?

Rozpoznać: O rany, to głębokie pytanie. Powszechnie wiadomo, że brakuje umiejętności. Myślę, że jednym z prawdziwych wyzwań w przestrzeni testów pisemnych, gdzie ludzie hakują etycznie, jest to, że często przeocza się, jak ważna jest umiejętność komunikowania się. Mam na myśli, że niesamowite umiejętności techniczne są niezbędne, ale w rzeczywistości często zapomina się o tych umiejętnościach komunikacyjnych, ponieważ jeśli wyniki Twoich odkryć nie są przekazywane we właściwy sposób, właściwym odbiorcom, właściwej osobie, to właściwie rzeczy się nie naprawiają.

Chociaż mamy program akademii — bierzemy ludzi, trenujemy ich, mają surowe umiejętności, zamieniamy ich w pełnoprawnych testerów. To, czego naprawdę szukam, to umiejętność komunikacji. Jeśli nie możesz przekazać niesamowitych rzeczy, które znalazłeś, argumentowałbym, że równie dobrze mogłeś nie zawracać sobie głowy ich znalezieniem.

Laur: Po prostu przechodzimy do tego starego powiedzenia, cóż, moje stare powiedzenie – technologia jest łatwa, ludzie są twardzi.

Rozpoznać: Całkowicie.

Laur: Wydaje się, że większość firm zdaje sobie sprawę z tego rodzaju umiejętności, że można uczyć technologii, prawda? Możesz uczyć kodowania. Możesz uczyć tych umiejętności. Niektórzy ludzie mają oczywiście wrodzoną zdolność do ich wykonywania, ale komunikacja jest tym, co jest kluczowe, aby faktycznie podnieść całą organizację na ten jeden poziom i faktycznie jest konkurencyjnym wyróżnikiem.

Rozpoznać: Tak, właściwie to prawdziwa niespodzianka. Naprawdę mocno zachęcam ludzi do myślenia o tym, z kim rozmawiają. Więc robisz coś fajnego i sprytnego, bardzo mądrego i technicznego, ale tak naprawdę myślisz o publiczności, osobie, która to odbiera, pomyśl o tym, jak to odbierze i jak najszybciej rozwiąże ten problem.

Laur: Tak, chodzi o użytkowników, prawda? Albo twoi klienci iw pewnym sensie są twoimi klientami, ponieważ próbujesz rozwinąć tę relację w taki czy inny sposób z zupełnie nieznajomym i przekazać im szczególnie złe wieści.

Czy uważasz, że ponieważ bezpieczeństwo staje się coraz ważniejsze w organizacji, nie jest to już funkcja zaplecza, że ​​ludzie postrzegają to może jako bardziej interesujący zawód, ponieważ jest to tak jakby otwarte, ludzie o tym mówią . Nie jest już ukryty za jakąś czarną zasłoną.

Rozpoznać: Tak, wspaniale było widzieć, jak więcej profili pojawiło się w branży cybernetycznej. Zaczyna pojawiać się więcej kursów na poziomie uniwersyteckim, co jest fantastyczne, co poprawia podaż osób. Myślę jednak, że wiele organizacji, zwłaszcza tych, które doświadczyły głośnych włamań, przekonało się być może w bolesny sposób, że jedynym sposobem radzenia sobie z cyberprzestrzenią jest wprowadzenie go do biznesu. Jeśli umieścisz to jako filię działu IT, to naprawdę będzie to tylko refleksja. Zważywszy, że jeśli wprowadzisz to w biznes i sprawisz, że ktoś naprawdę odpowiedzialny, kto naprawdę rozumie, jak oceniać ryzyko i komunikować ryzyko, jeśli siedzi na dokładnym poziomie, zasiada w zarządzie, to myślę, że zobaczysz zmiana myślenia w organizacji.

Uczę trochę na poziomie zarządu i wspaniale było zobaczyć, jak można nakłonić dyrektora generalnego do myślenia o swoim bezpieczeństwie osobistym, o bezpieczeństwie osobistym, o bezpieczeństwie swojej rodziny. Zaczynają myśleć o hasłach, zaczynają myśleć o aktualizowaniu systemów, zaczynają myśleć o nauczaniu ludzi i nagle widzisz, jak zmiana sposobu myślenia przenika od samego szczytu firmy w dół przez ludzi. Więc zamiast próbować wbić zabezpieczenia w organizację, w rzeczywistości krople zamarzają od samego początku i przenikają wszystko, co robi firma.

Laur: Zdecydowanie bardziej podejście zorientowane na bezpieczeństwo. A kiedy jako część wszystkiego, nie myślisz o tym tak bardzo jak o ingerencji w twoją codzienną pracę.

Chciałbym sformułować naszą dyskusję w sposób, który mówi o tym, jak naruszenie cyberbezpieczeństwa może nastąpić w dowolnym miejscu — oczywiście z pracownikami, produktami, a nawet fizycznym budynkiem biurowym, w którym znajduje się Twoja firma. Czy możesz opowiedzieć, dlaczego bezpieczeństwo fizyczne ma kluczowe znaczenie dla firm do przemyślenia?

Rozpoznać: O mój Boże. Gdy zaczynasz ulepszać swoje cyberbezpieczeństwo, zaczynasz ulepszać zabezpieczenia, więc zaczynasz odkrywać, że coraz trudniej jest przeniknąć do Twojej organizacji z Internetu. I miejmy nadzieję, że nawet jeśli ktoś przeniknie do niego zdalnie, masz narzędzia, które ostrzegają ciebie i zespół ludzi, aby faktycznie to zgłosić. Coraz trudniej jest przeniknąć poza granice organizacji. I wtedy zaczynają się interesować fizyczne rodzaje ataków o wyższym ryzyku. Kiedy zaczynamy mówić o socjotechnice, kiedy naszym zadaniem jest włamywanie się do organizacji, fizyczne umieszczenie backdoora wewnątrz organizacji lub fizyczna kradzież danych. Rzeczy z filmów, prawda?

Ale często okazuje się, że te dwa obozy są w rzeczywistości dość ściśle powiązane. Lubię szukać cienia IT w organizacji. Lubię szukać systemu zarządzania budynkiem. HVAC, urządzenie, które steruje twoimi windami, które kontroluje ich poruszanie się w górę i w dół. Technologia, która steruje oświetleniem Twojej bramy. Technologia, która steruje elektronicznymi zamkami do drzwi, kontrola dostępu. Czemu? Ponieważ te systemy często znajdują się poza konwencjonalnym działem IT. Może ludzie w placówkach to włożyli. Może podwykonawca zlecił firmie zewnętrznej dostęp zdalny, co zostało źle zrobione. Dźwięk naciągany? Cóż, było wiele dużych wyłomów, które miały miejsce właśnie tą drogą.

Więc jeśli zajmujemy się socjotechniką i uważam, że kontrolery zarządzania budynkami są w publicznym Internecie, nie jest to trudne. Podejdź do biura, otwórz zamki w drzwiach elektronicznie, zdalnie i drzwi szeroko otwarte. W tobie idziesz.

Laur: Czy zauważasz, że Twoja firma jest mieszanką luk w zabezpieczeniach związanych z wyciekiem danych i fizycznych, czy też ludzie skupiają się i myślą najpierw o danych, a później o fizycznych?

Rozpoznać: Lubię myśleć o tym jako o mieszance obu. Myślę, że niektóre z najbardziej dalekowzrocznych i myślących przyszłościowo organizacji zdają sobie sprawę, że jest to kombinacja. Musisz zająć się obydwoma. Tak, możesz zaatakować organizację na czerwono, zdalnie ją zaatakować i upewnić się, że jest dobrze skonfigurowana do wykrywania i reagowania na naruszenia cybernetyczne, ale jednocześnie musisz zakrywać także stronę fizyczną .

Z mojego doświadczenia wynika, że ​​kiedy pracujesz z fizyczną stroną firmy, zaczynasz pomagać organizacji w budowaniu mostów między działem IT a zespołem ds. obiektów. A kiedy już rozmawiają, kiedy zespół ds. bezpieczeństwa fiskalnego rozmawia z zespołem ds. cyberbezpieczeństwa, otrzymujesz z tego kilka naprawdę interesujących rzeczy. Dostajesz zespoły zaczynające współpracować, nie widząc, jak jeden jest w pudełku, a inni, no cóż, inny jest gdzieś zupełnie inny.

Laur: Więc jakie są podstawy, na które firmy mogą zwrócić uwagę, gdy myślą o lukach w zabezpieczeniach i po prostu robią coś samemu, zanim przyprowadzą kogoś takiego jak Ty, aby im pomógł?

Rozpoznać: Och, prosto. Numer jeden, więc co jemy na mieście? Zajadamy się hasłami niewystarczająco złożonymi, ponownie używanymi, domyślnymi lub pustymi. Jeśli to naprawisz, znacznie utrudnisz nam życie. Następny duży, łatanie. Wiem, że to takie nudne, ale tak naprawdę brakujące łatki, odsłonięte luki, łatki są po to, aby naprawić luki. Naprawiasz łatki, utrudniasz mi życie. A ostatnią rzeczą, na którą patrzę, są ludzie. Możesz więc albo obwiniać ludzi za klikanie linków w e-mailach i odpowiadanie na phishing, albo możesz ich uczyć i szkolić. Mogą być albo twoim największym wrogiem bezpieczeństwa, albo mogą być kolejną parą oczu patrzących, dostrzegających, zgłaszających, czujących się wykształconymi i wzmocnionymi. Więc moja rada, zanim zbliżysz się do osób trzecich, posortuj hasła, uporządkuj swoje łatki i naucz ludzi o cyberprzestrzeni.

Laur: Podstawowa higiena bezpieczeństwa. W jaki sposób firmy współpracują z partnerami, aby zapewnić bezpieczeństwo składników ich produktu? Tak więc łańcuch dostaw innej firmy — może to być dowolny produkt, ale myślę w zasadzie o samochodzie zbudowanym w Detroit i wyposażonym w GPS od innego dostawcy i centrum rozrywki od trzeciego. I to jest dosłownie bardzo podstawowy opis zewnętrznych dostawców w samochodzie, ale myślę, że to jest to, o czym myślimy, gdy myślimy o hakowalności. Kiedy więc przyjrzymy się całemu ekosystemowi dostawców zewnętrznych, od czego zacząć, jeśli jesteś sprzedawcą samochodów lub jakąkolwiek firmą?

Rozpoznać: Wspaniale jest więc uporządkować własny dom i zadbać o własne bezpieczeństwo. Ale tak często, że atakujący przeniesie się do najbardziej wrażliwej części i prawdopodobnie będzie to Twój łańcuch dostaw. Ponieważ to Twoja organizacja, to Twoje dane, to Twoi klienci. Traktujesz te informacje i ich cyberbezpieczeństwo bardzo poważnie. Ale jak tylko zaczniesz wchodzić w łańcuch dostaw, to nie są już ich dane. Więc pierwszą rzeczą do zrobienia jest zadawanie pytań.

Wystarczy zacząć zadawać pytania, aby bardzo szybko docenić, jak dojrzali są Twoi dostawcy pod względem cyberbezpieczeństwa. Często widuję organizacje, które są proszone o przeprowadzenie audytu i mówią: „Cóż, prawdopodobnie nie moglibyśmy udostępnić Ci tych informacji z powodu cyberbezpieczeństwa”, a Ty zdajesz sobie sprawę, że to tylko zasłona dymna. Twój dostawca powinien być bardzo szczęśliwy, mogąc podzielić się z Tobą swoimi procesami bezpieczeństwa, ponieważ posiadanie procesu cybernetycznego nie oznacza ujawniania luk w zabezpieczeniach. Pokazanie, że są dojrzałą organizacją, która zajmuje się cyberbezpieczeństwem i bezpieczeństwem przetwarzanych danych, powinno być procesem otwartym. Zadawaj pytania, audytuj swoich dostawców, rozmawiaj z nimi o bezpieczeństwie. A przede wszystkim jedna rada, którą możesz wziąć z tej krótkiej rozmowy kwalifikacyjnej: umieść cyberbezpieczeństwo w swoich warunkach kontraktowych. Co oznacza, A, poważnie myślą o cyberprzestrzeni, zanim podpiszą Twoją umowę, a B, jeśli coś pójdzie nie tak, masz prawo do regresu. Naprawdę bardzo ważne. Umieść cybernetykę w swoich zamówieniach.

Laur: Czy powiedziałbyś, że firmy faktycznie często sprawdzają swoich dostawców zewnętrznych? Czy to nowy sposób myślenia, który firmy muszą naprawdę po prostu, tak jak powiedziałeś, zintegrować z każdym elementem sposobu, w jaki współpracują z zewnętrznymi dostawcami?

Rozpoznać: Czasami. Tak więc prowadziłem pewne działania informacyjne i nauczałem w zawodzie prawnika o dokładnie tym pojęciu. Robię to już od kilku lat, aw tym roku właśnie minął, powiedziałem, spójrz, czy ktoś faktycznie umieścił cybernetykę w swoich umowach? I ręka uniosła się na widownię i poczułem lekki blask. Powiedzieli: „Tak, skorzystaliśmy z twojej rady. W naszych umowach deweloperskich ze stronami trzecimi umieściliśmy projekt dotyczący bezpieczeństwa otwartych aplikacji internetowych z top 10”. Tak więc podpisują się umownie, aby dostarczać kod, który nie jest podatny na top 10 OWASP [Open Web Application Security Project], i pomyślałem, że to ogromna wygrana. Jeden mały krok. Więc proszę, zróbcie to wszyscy. Umieść w umowach proste warunki dotyczące cyberbezpieczeństwa, a w razie problemów znacznie ułatwi to życie.

***

Laur: Cyberbezpieczeństwo to nie tylko powstrzymywanie zagrożeń, które widzisz. Chodzi o zatrzymanie tych, których nie widać. Właśnie dlatego zabezpieczenia firmy Microsoft zatrudnia ponad 3500 ekspertów ds. cyberprzestępczości i wykorzystują sztuczną inteligencję do przewidywania, identyfikowania i eliminowania zagrożeń, dzięki czemu możesz skupić się na rozwoju firmy, a zabezpieczenia firmy Microsoft mogą skupić się na jej ochronie. Dowiedz się więcej na microsoft.com/cybersecurity .

***

Laur: Więc cofając się i patrząc z dystansu, w jaki sposób przepisy i normy bezpieczeństwa mogą faktycznie pomóc firmom? Często prawdopodobnie czują, że są w tym sami, ale są agencje lub wydziały, takie jak NIST [Narodowy Instytut Standardów i Technologii], które mogą pomóc.

Rozpoznać: Tak, są. Zaskakująco brakuje regulacji w cyberprzestrzeni. To coś, za czym lobbuję i prowadzę kampanię od wielu lat, szczególnie w przestrzeni konsumenckiego IoT [internetu rzeczy]. To coś z dzikiego zachodu. Codziennie znajdujemy bardzo poważne luki w produktach konsumenckich IoT. I moje odczucia, chociaż nie jestem wielkim zwolennikiem regulacji, ponieważ bardzo wolę dynamikę wolnorynkową, myślę, że w konsumenckiej przestrzeni IoT była bardzo mocna argumentacja za regulacją. Bardzo się ucieszyłem, że w Kalifornii uchwalono ustawę Senatu nr 327, która weszła w życie 1 stycznia tego roku. I co mnie bardzo ucieszyło, to fakt, że autor rachunków przytoczył niektóre z naszych prac nad bezbronną lalką Bluetooth dla dzieci o nazwie My Friend Cayla jako inspiracją i katalizatorem tej regulacji. I chociaż przepisy są dość podstawowe, myślę, że to naprawdę dobry krok we właściwym kierunku. I to smutne, ale myślę, że szczególnie w konsumenckim IoT potrzebujemy regulacji.

Odnieśliśmy też pewne sukcesy w Wielkiej Brytanii. Właśnie zakończyliśmy konsultacje, a rząd zobowiązał się do wprowadzenia podstawowych regulacji, aby chronić konsumentów przed producentami inteligentnych produktów, którzy nie korzystają z naszych danych i prywatności.

Laur: Czy możesz opowiedzieć trochę o My Friend Cayla? To był ciekawy eksperyment.

Rozpoznać: So My Friend Cayla to interaktywna mówiąca lalka dla dzieci, na którą po raz pierwszy natknęłam się około pięć lat temu. Teraz używała aplikacji mobilnej, aby słuchać słów, które dziecko mówi do lalki, przetwarzać je na tekst, a następnie odpowiadać na szereg pytań. Aby dziecko mogło prowadzić interaktywną rozmowę z lalką, co było świetną zabawą. Teraz zobaczyłem tę lalkę, zdałem sobie sprawę, że komunikowała się przez Bluetooth z telefonem komórkowym. Więc chciałem wiedzieć, jak bezpieczne jest to połączenie Bluetooth? Problem polegał na tym, że tak naprawdę nie było.

Więc kiedy podłączasz telefon komórkowy do samochodu, aby móc dzwonić, wpisujesz kod PIN, prawda? Sześciocyfrowy PIN. A to tworzy stosunkowo bezpieczne połączenie. Problem z My Friend Cayla polega na tym, że kiedy łączy się z Twoim telefonem, w ogóle nie ma kodu PIN, co oznacza, że ​​każdy w pobliżu może dołączyć i połączyć się. Więc znowu, haker we mnie myśli, zastanawiam się, czy mogę sprawić, by ten niewinny dzieciak przeklinał? Zdaliśmy sobie więc sprawę, że możemy majstrować przy aplikacji mobilnej, a dziecko może powiedzieć lalce wszystko, co chce, i od razu odwdzięczy się. Więc nagrałem ją dla ciebie właśnie tutaj.

Nagranie: Hej, uspokój się albo wyrzucę z ciebie [pip].

Laur: To jest wspaniałe.

Rozpoznać: Ale co gorsza, ponieważ połączenie Bluetooth nie było szyfrowane, każdy w pobliżu mógł podłączyć się do mikrofonu w lalce i słuchać twoich dzieci lub głośnika w lalce i mówić do twojego dziecka. Więc rozmawiamy z ludźmi z sąsiedniego domu, z ludźmi na ulicy na zewnątrz. Aby ludzie mogli podkradać się do twoich dzieci przez tę lalkę lub gorzej, mogli szpiegować twoje rozmowy w twoim domu, ponieważ postawiłeś inteligentną lalkę i dałeś ją jednemu ze swoich dzieci. I nie wiem jak ty, ale są rozmowy, których nie chciałbym, żeby moi sąsiedzi słuchali. Prawidłowy? Więc znowu nasza prywatność została całkowicie naruszona przez fajny pomysł interaktywnej lalki dla dzieci.

Dobra wiadomość jest taka, że ​​zgłosiliśmy to sprzedawcy, który odrzucił to od razu i oskarżył nas o robienie kawału, ale na szczęście niemiecki regulator telekomunikacyjny zdał sobie sprawę, że naruszyło to niektóre prawa dotyczące prywatności konsumentów i szpiegowania, które pozostały tuż po Drugim [ Światowa] Wojna i z dnia na dzień zakazali lalki. Posiadanie tej lalki w Niemczech było nielegalne. Więc jest z tego dobra wiadomość

Laur: I dobry przykład tego, jak regulacja może pomóc w tych konkretnych przypadkach. Pozostając w temacie urządzeń konsumenckich i dołączając do innego bardzo popularnego trendu, jakim jest przynoszenie własnego urządzenia do pracy, czyli BYOD, co się dzieje, gdy ekspres do kawy Wi-Fi w pracy jest podłączony i może być niczego niepodejrzewającym punktem startowym aby haker faktycznie przeprowadził atak w miejscu pracy? Jakie są inne wrażliwe urządzenia, których firmy mogą nie brać pod uwagę?

Rozpoznać: Tak, więc BYOD jest często postrzegany jako smartfony i tablety używane do pracy. Dla mnie to mądre rzeczy wchodzące do przestrzeni roboczej. Moje pierwsze badania dotyczące IoT dotyczyły czajnika z włączoną funkcją Wi-Fi i odkryliśmy, że po połączeniu się z siecią mogłem stanąć na ulicy na zewnątrz, połączyć się z czajnikiem i ukraść hasło do Wi-Fi to. Więc tak, mogę zhakować twój dom. A jeśli zabrałeś go do biura, aby zrobić filiżankę herbaty lub kawy, możesz również ukraść hasło do Wi-Fi firmy. Tak więc BYOD jest dla mnie teraz prawdziwym problemem. Jakiś czas temu zaczęliśmy przyglądać się inteligentnym lodówkom, więc znowu trudno jest kupić towary, towary konsumpcyjne, sprzęt AGD, umieścić w biurach, które nie są już inteligentne.

Przyjrzeliśmy się inteligentnej lodówce Samsunga ze świetnym dużym ekranem na drzwiach. To było naprawdę śmieszne. Miał więc aparat w środku i duży ekran na zewnątrz. Pomysł polegał na tym, że można było zobaczyć, co jest w środku, bez otwierania drzwi. I myślę, dlaczego po prostu nie otworzę drzwi? Pewno. Ale w każdym razie, co odkryliśmy, aby być mądrym, musiał połączyć się z Internetem, aby poinformować Cię o wygaśnięciu rzeczy i produktach, które wygasają, musiał być w stanie wysłać Ci wiadomość e-mail. Odkryliśmy, że możesz przejechać obok czyjejś lodówki i ukraść hasło do Gmaila z lodówki. Co jest głupie, prawda?

Ale widzimy też urządzenia Bluetooth. Widzieliśmy inteligentne ekspresy do kawy, które były całkowicie wrażliwe. Możesz więc robić szalone rzeczy, takie jak zatrzymanie pracy ekspresu do kawy. Ale potem zaczęliśmy dostrzegać urządzenia, które mogą być używane jako piggyback w Twojej organizacji. Więc znowu zaczęliśmy widzieć, że z powrotem do technologii cienia staje się inteligentna, aby ludzie mogli zarządzać, nie wiem, liniami bramowymi lub HVAC z telefonu komórkowego za pomocą aplikacji. A potem odkrywamy, że w aplikacji są luki w zabezpieczeniach, API w produkcie smarts, i można to wykorzystać jako backdoora do organizacji. Tak więc BYOD w kontekście inteligentnych urządzeń sprawia, że ​​firmy są bardziej podatne na zagrożenia.

Laur: Myślę też o bardzo błyszczących przestrzeniach biurowych z inteligentnymi telewizorami jako domyślnymi połączeniami konferencyjnymi, a nawet inteligentnymi tablicami, prawda?

Rozpoznać: Tak. Czy pamiętasz historię sprzed jakiegoś czasu o inteligentnych telewizorach Samsung, które okazały się słuchać Ciebie? Czy pamiętasz ten jeden?

Laur: O tak.

Rozpoznać: Tak, to była nasza praca. Jakaś jasna iskra zauważyła w warunkach ... Kto czyta warunki twojego telewizora, prawda? Nikt tego nie robi. Ale jakaś jasna iskra przeczytała to i zobaczyła zdanie, które mówiło coś w rodzaju: „Nie mów nic wrażliwego wokół telewizora. A teraz ma to trochę zasięgu. Złapaliśmy to, bo miałem w domu telewizor Samsung Smart TV ze sterowaniem głosowym. Więc poszedłem do domu tego wieczoru, wziąłem telewizor, następnego dnia wziąłem go do biura, wiele z zakłopotania mojej żony, i podłączyliśmy go do jakichś produktów do wąchania. Wprowadziliśmy tam kilka technologii i zaczęliśmy słuchać ruchu internetowego, który wysyłał telewizor. Więc zastanawiam się, czy jest w tym coś więcej. Odkryliśmy, że telewizor nie tylko Cię słuchał, ale także wysyłał to, co mówiłeś, w postaci zwykłego tekstu, niezaszyfrowanego, przez publiczny Internet do osób trzecich za granicą. I to było naprawdę nieprzyjemne.

Laur: Nie do wiary. Twoja praca jest po prostu, przenika każdy zakamarek i myślę, że o to chodzi, prawda? Gdy stajemy się bardziej sprytni i chcemy robić rzeczy szybciej z dowolnego miejsca w dowolnym czasie, w rzeczywistości musimy najpierw pomyśleć o bezpieczeństwie i o tym, jak nakładamy to na prawie każdą akcję.

Rozpoznać: Myślę, że to ze względu na wydajność, oszczędność i po prostu mądrą pracę. Myślę, że technologia wkracza we wszystko, co robimy, a problem polega na tym, że jest ona wprowadzana w pośpiechu bez wystarczającej myśli o bezpieczeństwie. Więc robimy rzeczy mądre i podatne.

Laur: Czy mogę więc połączyć to z wadami nadsystemowymi? Więc kiedy to robimy, a potem mamy masową dystrybucję czegokolwiek, czy to aplikacji, czy telewizora, co się wtedy dzieje? Jak w takim razie wycofać się z podatności, gdy jest ona wszędzie?

Rozpoznać: Mówiliśmy krótko o bezpieczeństwie API, więc za każdym razem, gdy tworzysz coś inteligentnego, prawdopodobnie podłączysz to do aplikacji mobilnej. Prawdopodobnie jest to cel uczynienia go inteligentnym, więc ułatwiasz zdalne administrowanie, dzięki czemu możesz zobaczyć swoje rzeczy w domu, w biurze, na CCTV z dowolnego miejsca na świecie. Aby to zrobić, będziesz potrzebować API.

I tym wielkim problemem, który ciągle znajdujemy, jest to, że wszystkie inteligentne produkty mają interfejsy API i nie są wystarczająco bezpieczne. Więc to nie jest jak zhakowanie jednego urządzenia. Przejście do jednego inteligentnego urządzenia w domu lub biurze jednej osoby i zhakowanie jednego z nich to jedno. Naprawdę niepokoi mnie to, że odkryliśmy, że zdalnie możemy zhakować wszystkie urządzenia i nagle zaczynasz myśleć o inteligentnym pojeździe i odkrywasz lukę w interfejsie API, która pozwala zatrzymać każdy pojazd w tej flocie który korzysta z aplikacji. Więc zatrzymujesz całe floty pojazdów.

I to właśnie rozumiemy przez pojęcie supersystemowe. Dotyczy całych ekosystemów urządzeń. Często wracam do jednego dostawcy platformy, który być może świadczył usługi dla wielu różnych marek i dostawców. Jedna podatność wpływa na wszystko.

Laur: Ile razy dziennie ktoś wspomina, czy na pewno nie żyjemy w odcinku Czarne lustro ?

Rozpoznać: Co dziwne, jeden z moich pierwszych występów w telewizji był z producentem Czarne lustro . Przedstawiłem go My Friend Cayla wiele, wiele lat temu. To bardzo, bardzo bystry facet. Tak.

Laur : I od tego czasu go prześladuje. Tak.

Rozpoznać: Chyba tak. To jest nasz problem, że po prostu się spieszymy. Jedziemy za szybko. Nie zrozum mnie źle. Jest kilku sprzedawców, którzy bardzo poważnie podchodzą do kwestii bezpieczeństwa i robią to naprawdę dobrze, a ja ich pochwalam. Problem w tym, że są w dużej mierze wyjątkiem od reguły. Chciałbym, żeby każdy sprzedawca był tak zaangażowany i dlatego jest mi smutno, że myślę, że regulacje to jedyny sposób, ponieważ jeśli nie zmusimy producentów, aby zaczęli grać jak dobrzy ludzie, nie sądzę, żeby pojawiła się jakaś finansowa zachęta komercyjna aby to zrobili. Nie ma możliwości oznakowania produktu. Nie ma sposobu, aby ustalić, które produkty są bezpieczniejsze niż inne, dlatego niestety uważam, że odpowiedzią jest regulacja.

Laur: Ciekawy. Więc byłbyś prawie jak etykieta uczciwego handlu dla bezpieczeństwa.

Rozpoznać: Tak, było nad tym sporo pracy w różnych krajach. Wiem, że w Stanach było trochę pracy iz pewnością również w Europie, ale wyzwaniem jest to, jak zapewnić jedną etykietę, która mówi, jak bezpieczny jest produkt, czy nie? To naprawdę trudna rzecz, ponieważ bezpieczeństwo ma tak wiele aspektów. Myślisz o przeciętnym inteligentnym urządzeniu, będzie tam trochę żetonów. Będzie tam jakieś oprogramowanie. Będzie miał trochę częstotliwości radiowych, takich jak Wi-Fi lub Bluetooth, może ZigBee lub Z-Wave. Będzie miał API, będzie miał aplikację mobilną. Będzie miał infrastrukturę chmurową. Będzie miał platformę telematyczną. Jest tak złożony, że sprawia, że ​​etykietowanie jest naprawdę, bardzo trudne.

Laur: Co dzieje się w branżach wysoce regulowanych? Przeczytałem artykuł o satelitach. Jak zhakować satelitę lub zabezpieczyć satelitę?

Rozpoznać: Zostało to zrobione i faktycznie jestem bardzo zaangażowany w wioskę lotniczą i kosmonautyczną Defcon. Nasz pierwszy wyjazd odbył się latem ubiegłego roku, aw następnym roku wzbudziliśmy zainteresowanie ze strony producentów i operatorów satelitarnych. Mamy nadzieję, że zbudujemy platformę w Defcon dla ludzi, badaczy, zainteresowanych stron, aby pomóc zapewnić bezpieczeństwo satelitów, co moim zdaniem jest świetne. Angażuje całą społeczność, aby pomóc całej branży poprawić bezpieczeństwo cybernetyczne.

Teraz jest jeden przykład branży regulowanej, myślę, że chciałbym być dobrym przykładem. Tak więc w Stanach Zjednoczonych inteligentne urządzenia opieki zdrowotnej, z pewnością część z nich jest regulowana i zatwierdzana przez Food and Drug Administration. I to był jeden z pierwszych obszarów, w których wprowadzono regulacje, które przyniosły prawdziwą różnicę. I gratuluję temu rynkowi dokonania wielkich kroków w kierunku cyberbezpieczeństwa. Czemu? No bo mówimy o urządzeniach na śmierć i życie. Mówimy o urządzeniach, które utrzymują nas przy życiu. Tak więc znowu jest to świetny argument za wprowadzeniem standardów, ulepszeniem gry wszystkich i pokazaniem, że faktycznie możemy tworzyć bezpieczne urządzenia, które zapewniają nam bezpieczeństwo i utrzymują nas przy życiu.

Laur: Mam wrażenie, że kilka lat temu słyszeliśmy historię o zhakowaniu rozruszników serca. Wydaje się więc, że to dobry powód do regulacji.

Rozpoznać: Tak, to było naprawdę wspaniałe, że FDA się tam wzięła. Czy był to brak dbałości o szczegóły, może aby dać wielu producentom korzyść z wątpliwości, myślę, że prawdopodobnie po prostu nie myśleli wystarczająco głęboko o cyberbezpieczeństwie. Idziesz i pozyskujesz niektóre komponenty; idziesz i pozyskujesz jakiś rozwój, a zbyt często przyjmuje się założenia dotyczące tego, czy urządzenia są cyberbezpieczne. I myślę, że tak naprawdę to rozporządzenie zachęciło ludzi i zmusiło ich do zadawania tych trudnych pytań, aby upewnić się, że programiści, z których korzystasz, są cybernetyczni i upewnij się, że chipsety, których używasz, mają rozsądne funkcje bezpieczeństwa, takie jak środowisko realizacji zaufania, bezpieczne przechowywanie, dobre źródło entropii, wszystkie te przydatne rzeczy, których nie dostaniesz, jeśli nie zadasz pytań lub nie określisz w zamówieniu.

Laur: Opowiedz mi więc historię o jednym z twoich ulubionych wyczynów związanych z testowaniem piór.

Rozpoznać: O mój Boże. Gdzie zaczynam?

Laur: Cóż, dałem pewną wskazówkę na początku odcinka z platformą wiertniczą.

Rozpoznać: Ach, więc ostatnio zaczęliśmy przyglądać się morskim. Więc przyglądaliśmy się wysyłce. Jest to obszar, na który branża cybernetyczna nie poświęcała wiele uwagi przez ostatnie kilka lat. Powodem tego jest przede wszystkim to, że statki były nieaktywne. Miałeś Wi-Fi na lądzie i 4g, gdy jesteś na brzegu, ale gdy tylko statek wypłynął, jesteś praktycznie offline.

Tak. Możesz więc kupić telefon satelitarny, ale są one drogie i możesz korzystać z szerokopasmowych satelitów flotowych, ale ich wykorzystanie jest przerażająco drogie. Tak więc właściwie, statek, który wypłynął w morze, był offline. I to wszystko zmieniło się dwa, trzy, cztery lata temu wraz z pojawieniem się VSAT.

Nagle satelity stały się przystępne, a to oznaczało, że statki mogły zacząć być monitorowane pod kątem wydajności, zużycia paliwa, rutyny, wszystkich tych ważnych rzeczy, które oszczędzają pieniądze. Oznaczało to również, że twoja załoga – możesz zatrudnić najlepszą załogę, ponieważ chcieli planów dotyczących danych, chcieli mieć dostęp do mediów społecznościowych, a ty możesz im go dać. Więc masz najlepszych ludzi pracujących na najlepszych statkach, zapewniając najlepszą wydajność. Fantastyczny.

Ale po drodze nikt nie pomyślał o cyber. Tak więc statki były podłączane do Internetu bez zwracania uwagi na bezpieczeństwo i ochronę tego statku. Więc to, co robiliśmy przez ostatnie kilka lat, to praca na statkach, w których operatorzy myślący przyszłościowo mówią: OK, sprawdźmy to.

Świetnym przykładem była wiertnica poszukiwawcza, na którą się przyjrzeliśmy. Była to organizacja, która zajmowała się eksploracją studni na wczesnym etapie. Była samobieżna platforma i miała łączność satelitarną VSAT, więc poproszono nas o sprawdzenie, czy możemy teoretycznie przerwać jej zdolność do wiercenia. Odkryliśmy brak skutecznej segregacji między różnymi sieciami. Mogliśmy więc wiercić sieci kontrolne, moglibyśmy uzyskać dostęp do sieci korporacyjnych, moglibyśmy uzyskać dostęp do sieci załogi, moglibyśmy zobaczyć internet, moglibyśmy zobaczyć wszystko.

I chociaż organizacja podjęła kilka całkiem rozsądnych kroków, aby zabezpieczyć rzeczy, w rzeczywistości załoga działająca często przełamuje tę segregację. Czemu? Ponieważ chcę przesyłać strumieniowo Spotify, gdy pracuję z głowicą wiertniczą, instalują router Wi-Fi, abym mógł korzystać ze Spotify na słuchawkach, gdy jestem na pokładzie. A potem odkryliśmy losowe rzeczy, takie jak podłączenie zdalnego dostępu, dostępne z publicznego Internetu. I co zasadniczo się wydarzyło, to że odkryliśmy w publicznym Internecie bez żadnego uwierzytelnienia, mogliśmy przejąć kontrolę nad silnikiem i innymi krytycznymi systemami na statkach i platformach wiertniczych na całym świecie.

Dosłowne wyłączanie silników, włączanie silników, wpływanie na przekładnię sterową, potencjalnie rozbijanie statków poprzez ingerencję w systemy nawigacyjne, jeśli tego chcieliśmy. Obecnie w tej przestrzeni jest bardzo mało działalności przestępczej, ale zaczyna się ona pojawiać. Zaczynamy pojawiać się sprawy prawne, w których, jeśli przeanalizujesz dokumenty sądowe, zobaczysz dowody ataków.

Kilka lat temu doszło do ataku na superjacht o nazwie Lady May, który został zbadany przez FBI i wyglądało na to, że niektóre systemy kontroli na statku zostały naruszone przez nieznane osoby, prawdopodobnie obce mocarstwa. To już trafiło do prasy, ale pojawia się coraz więcej anegdotycznych historii i historii, które pojawiają się w prasie branżowej na temat statków, które doświadczają takich rzeczy, jak oprogramowanie ransomware w systemach nawigacyjnych lub bezpośrednie i celowe włamania.

Laur: Przerażający.

Rozpoznać: Tak. Smutną rzeczą jest to, że większość z tego brzmi jak scenariusz hakerzy , film, więc tak. hakerzy Ponad 20 lat temu przepowiedziało przyszłość.

Laur: Nie jest science fiction często. Słuchaj, Ken, bardzo ci dziękuję za przyłączenie się do tej niesamowitej rozmowy w Business Lab. Bardzo to doceniam.

Rozpoznać: Dziękuję Ci. Cudownie z tobą rozmawiam.

Laur: Był to Ken Munro, założyciel i partner Pen Test Partners, z którym rozmawiałem z Cambridge w stanie Massachusetts, siedziby MIT i MIT Technology Review, z widokiem na rzekę Charles River. Dziękujemy również naszemu partnerowi Microsoft Security.

To tyle w tym odcinku Business Lab. Jestem twoim gospodarzem, Laurel Ruma. Jestem dyrektorem Insights, działu custom publishing w MIT Technology Review. Zostałyśmy założone w 1899 w Massachusetts Institute of Technology i można nas znaleźć w publikacjach drukowanych w Internecie oraz na dziesiątkach wydarzeń na żywo każdego roku na całym świecie. Więcej informacji o nas i programie można znaleźć na naszej stronie internetowej technologyreview.com .

Ten program jest dostępny wszędzie tam, gdzie otrzymujesz podcasty. Jeśli podobał Ci się ten odcinek, mamy nadzieję, że poświęcisz chwilę, aby nas ocenić i zrecenzować. Business Lab to produkcja MIT Technology Review. Ten odcinek został wyprodukowany przez Collective Next. Dziękuję za słuchanie.

Zagrożenia bezpieczeństwa są wszędzie. Dlatego Microsoft Security zatrudnia ponad 3500 ekspertów ds. cyberprzestępczości stale monitorujących zagrożenia, aby pomóc chronić Twoją firmę. Więcej w microsoft.com/cybersecurity .

ukryć