A rotação de senhas pode fazer ou quebrar sua postura de segurança

Este artigo foi contribuído por Roy Dagan, CEO da SecuriThings.

A rotação de senhas é uma primeira linha de defesa basic para dispositivos IoT, incluindo aqueles que suportam recursos físicos, de câmeras de segurança a sistemas de controle de acesso, sistemas de alarme e muito mais. Mas muitos dispositivos IoT vêm com credenciais padrão que nunca são rotacionadas, deixando a porta aberta para que agentes mal-intencionados os comprometam. Na verdade, nossa pesquisa indica que a maioria das organizações não mantém ou alterna as senhas dos dispositivos. Surpreendentemente, o ID de usuário e a senha “Admin/Admin” ainda são provavelmente a credencial mais usada em todos os dispositivos IoT.

A razão? O trabalho necessário para atualizar ou alternar as senhas regularmente em muitos dispositivos não foi amplamente automatizado. Normalmente, a rotação de senhas de dispositivos deve ser realizada manualmente em cada dispositivo. Essa é uma tarefa assustadora para qualquer equipe de operações de IoT que gerencia uma frota de dispositivos IoT, que provavelmente inclui diferentes marcas e tipos. Não é surpresa que muitas equipes de segurança física não consigam lidar com a rotação de senhas.

O que poderia dar errado?

No mundo da segurança física, rotação de senha infrequente aumenta o risco de que ataques cibernéticos em dispositivos IoT vulneráveis ​​coloquem em risco pessoas ou propriedades. As câmeras de vigilância são um exemplo de fácil compreensão. Em um aeroporto, a vigilância por vídeo comprometida pode afetar a segurança dos passageiros e a segurança das operações da aeronave. Em um cassino, vira coisa de filme com George Clooney. Ataques de IoT são comuns e inevitáveis ​​– é “quanto pace”, não “se”. Um estudo de 2019 da Forrester Consulting descobriu que 67% das empresas já havia experimentado um incidente de segurança de IoT.

Mas, na verdade, quem teria como alvo as câmeras de vídeo e por quê?

No início de 2017, dias antes da posse presidencial de Trump, hackers na Romênia tomou mais de uma centena de câmeras de vigilância ao ar livre de Washington, DC. Um electronic mail de unsolicited mail recebido pela polícia de Washington, DC permitiu uma infecção por malware enquanto os hackers dormiam em Bucareste, aparentemente sem saber que tinham como alvo a polícia. Eles acordaram para descobrir que controlavam alguns importantes feeds de vídeo baseados nos EUA – e eram alvo de uma caçada international. Foram necessários três dias para remover todo o device, reiniciar cada câmera e recarregar o device, ressaltando a importância da rotação de senhas para a resiliência cibernética. Este não foi um plano coordenado por mentores ou terroristas. Foi um ataque de força bruta desajeitado; seu sucesso foi um comentário cortante sobre a segurança da IoT.

Atores estatais e sabotadores da infraestrutura

Quatro dias antes dos presidentes Trump e Putin terem seu infame tête-à-tête privado na cúpula de Helsinque de 2018, hackers da china lançou ondas de ataques de força bruta em dispositivos conectados à Web na Finlândia, buscando o controle de qualquer coisa que pudesse coletar inteligência visible ou de áudio. A China não estava sozinha; outras nações também procuravam bisbilhotar. O tráfego destinado a recursos de comando e controle remotos para dispositivos finlandeses aumentou antes da cúpula, atingindo níveis sem precedentes para a Finlândia. Cada falha na instalação e atualização de senhas fortes deu aos ataques de preenchimento de credenciais melhores probabilities de sucesso. A Rússia, por sua vez, foi a provável culpada do ataque cibernético pré-Natal de 2015 que desligou parte da rede elétrica da Ucrânia. O ataque na Ucrânia pode ter sido uma colaboração entre grupos de crimes cibernéticos e a inteligência russa. Ele se baseou em senhas sequestradas, sugerindo que a rotação de senhas poderia ter parado o ataque.

Esses ataques conhecidos são, sem dúvida, apenas a ponta do iceberg, já que as nações investigam a infraestrutura crítica umas das outras, preparando-se para causar estragos e confusão se o dia do conflito desenfreado chegar. O argumento para a rotação de senhas em dispositivos IoT é, acreditamos que você concordará, muito specialty.

Vantagens da automação para conformidade e segurança de frotas de dispositivos IoT

Veja por que a automação é basic para a rotação eficiente de credenciais em dispositivos IoT para manter a segurança e a conformidade:

• Ele permite que as organizações atualizem com eficiência as senhas para qualquer número de dispositivos ou grupos de dispositivos, independentemente de sua localização física.
• Uma plataforma de rotação automatizada de senhas pode usar — ​​e manter — um único repositório de senhas que esteja em conformidade com os mandatos regulatórios e as políticas organizacionais.
• Uma plataforma projetada para frotas de dispositivos heterogêneos (de vários fornecedores) será muito mais eficiente em termos de pace do que a equipe de TI na rotação de senhas em diferentes modelos de dispositivos de diferentes fabricantes.

É surpreendente que as frotas de dispositivos IoT tenham sido construídas em sua escala atual sem que a rotação automatizada de senhas seja estabelecida como um padrão necessário. Um estudo concluiu que tentar apenas essas cinco credenciais padrão – suporte/suporte, admin/admin, admin/0000, usuário/usuário e root/12345 – dá a você ou a qualquer hacker acesso a pelo menos 10% de todos os dispositivos IoT. Isso se traduz em bilhões de alvos indefesos.

As atualizações de senha são urgentes

A rotação abrangente de senhas pode não ser a vanguarda sofisticada da segurança, mas é uma das medidas de segurança de maior ROI possíveis e não deve ser adiada. Uma razão é que é urgente; o dispositivo IoT médio é atacado apenas cinco minutos após se conectar à Web.

Em teoria, a automação da rotação de senhas libera os profissionais de TI para se concentrarem em tarefas de maior valor. Na prática, a maioria das organizações simplesmente não faz atualizações manuais de senhas de dispositivos tediosas. Eles simplesmente os ignoraram, e isso é pior do que fazê-los de forma ineficiente. Enquanto a automação da rotação de senhas pode ser uma atualização dos processos manuais; muitas vezes é, na realidade, a estreia da segurança de senha para um dispositivo IoT e a maneira mais prática de obter conformidade de segurança.

A rotação de senhas é obrigatória

A rotação de senhas não pode esperar por um debate estratégico. É um imperativo tático. Todas as organizações com dispositivos IoT podem ter praticamente certeza de que todos os dispositivos implantados serão direcionados em algum momento. É hora de definir os requisitos e adquirir a capacidade de automatizar a manutenção e o gerenciamento de sua frota de dispositivos. A automação pode lidar com outras operações valiosas, como atualização de firmware e monitoramento da integridade do dispositivo para conformidade de segurança. Esses benefícios apenas aumentarão a força do caso de negócios para abordar a rotação de senhas imediatamente.

Roy Dagan é o CEO da SecuriThings.