0 
0 O número crescente de problemas de segurança documentados em dispositivos da Internet das Coisas (IoT) significa que as empresas têm um novo problema de gerenciamento de patches, segurança cibernética, dizem especialistas.
Uma combinação de produtos mais conectados, maior escrutínio por parte dos pesquisadores e regulamentos que exigem a divulgação de vulnerabilidades resultou em uma onda crescente de bugs divulgados. Aqueles encontrados em produtos considerados como parte da Internet das Coisas Estendida (XIoT), por exemplo, saltaram 57% no primeiro semestre do ano, em comparação com os seis meses anteriores, afirmou Claroty em um relatório recente.
Enquanto isso, os dispositivos IoT incorporados saltaram para representar 15% das vulnerabilidades XIoT, acima dos 9% no segundo semestre de 2021.
Esse cenário em rápida expansão de dispositivos e infraestrutura de IoT significa que as empresas precisam garantir visibilidade, não apenas de seus dispositivos de IoT, mas de todos os sistemas que gerenciam esses dispositivos e estar prontas para corrigir rapidamente esses dispositivos, diz Sharon Brizinov, diretora de pesquisa da Claro.
“As redes [tornaram-se] muito mais diversificadas do que nunca, e isso anda de mãos dadas com o fato de que mais pesquisadores de segurança estão procurando por vulnerabilidades do que nunca”, diz ele. “Portanto, mais dispositivos, mais conscientização e mais pesquisadores de segurança investigando esses dispositivos significam que mais vulnerabilidades serão divulgadas”.
Essa tendência só deve continuar, de acordo com especialistas. As empresas precisarão acompanhar seus ativos de IoT e, como a correção de vulnerabilidades normalmente requer uma atualização de software, avaliar se os dispositivos implantados podem ser atualizados facilmente.
Menos fornecedores estão tentando esconder seus problemas de segurança e estão se afastando dos patches silenciosos – um bom desenvolvimento para a segurança, mas que contribui para o “aumento perceptível” no número de vulnerabilidades de IoT divulgadas publicamente, diz Deral Heiland, principal pesquisador de segurança da IoT na Rapid7.
“Se nenhum dado for disponibilizado ao público, os usuários finais não poderão estar cientes de um risco potencialmente sério causado por uma vulnerabilidade e podem atrasar a correção”, observa ele. “Assim, os fornecedores que publicam dessa maneira são um movimento positivo.”
Número crescente de problemas de XIoT
No geral, 747 vulnerabilidades foram divulgadas em dispositivos XIoT entre o início de janeiro e o final de junho, um salto de 57% em relação aos seis meses anteriores, de acordo com o relatório “ State of XIoT Security: 1H 2022 ” da Claroty. Os produtos afetados vieram de 86 fornecedores diferentes e, pela primeira vez, a divulgação proativa por fornecedores tornou-se a segunda forma mais comum de publicação de informações sobre vulnerabilidades, após a divulgação por empresas terceirizadas. Pesquisadores independentes e a Zero Day Initiative foram a terceira e quarta fontes mais comuns de informações sobre vulnerabilidade.
Os fornecedores como um grupo não são necessariamente melhores em segurança – os números são impulsionados por algumas grandes empresas, como a Siemens, que implementaram fortes programas de segurança, diz Brizinov, da Claroty. A Siemens representou a principal divulgação de vulnerabilidades XIoT, em 214, com o segundo sendo Reolink em 87, seguido por Schneider em 52, de acordo com o relatório da Claroty.
“Houve algumas decisões de negócios que levaram a esse resultado – alguns tomadores de decisão que decidem ser honestos”, diz ele. “Eles entendem que é uma informação importante.”
Diferentes iniciativas também alimentaram a crescente taxa de divulgações. A Lei de Melhoria da Segurança Cibernética da Internet das Coisas de 2020 pressionou as empresas que fornecem produtos de IoT ao governo, enquanto um programa focado no consumidor para criar “rótulos nutricionais” de segurança para dispositivos IoT provavelmente levará os consumidores a produtos mais preocupados com a segurança.
Uma definição em movimento da Internet das Coisas
A empresa de inteligência de vulnerabilidades Risk Based Security, agora parte da Flashpoint, também notou um aumento no número de problemas de segurança em produtos que podem ser considerados parte do ecossistema de IoT. A empresa, no entanto, ressaltou que a falta de uma boa definição para dispositivos IoT dificulta o rastreamento da categoria.
Dispositivos de monitoramento industrial, equipamentos de imagens médicas, câmeras de vídeo IP e fechaduras eletrônicas estão todos conectados à Internet e permitem que as comunicações digitais tenham impactos no mundo físico. Em sua publicação de 2020, ” Atividades de Cibersegurança Fundamentais para Fabricantes de Dispositivos de IoT “, o Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) definiu dispositivos de IoT como aqueles que “têm pelo menos um transdutor (sensor ou atuador) para interagir diretamente com o mundo físico e pelo menos uma interface de rede… para fazer a interface com o mundo digital.”
Claroty chama a categoria de Internet das Coisas Estendida e coloca dispositivos de aplicações médicas, industriais e comerciais sob um guarda-chuva. A empresa reconheceu que os produtos incluídos na categoria XIoT podem não estar lá no ano passado porque novos dispositivos foram lançados, conectividade adicionada a produtos anteriores e novos produtos impulsionam a definição de IoT.
Por exemplo, como a manufatura, a infraestrutura crítica e o gerenciamento da cidade adotaram dispositivos conectados, a Siemens e outras empresas de tecnologia de operações (OT) transformaram seus produtos de sistemas de controle industrial para IoT industrial , a segurança cibernética tornou-se uma parte crítica dessa transformação, disse Brizinov, da Claroty. diz.
“No passado, havia uma separação distinta entre TI e OT – poderíamos circundar esses domínios e eles seriam separados”, diz ele. “E então veio a IoT, e esses círculos se cruzaram, então havia alguns dispositivos em TI e OT.”
Outro aspecto crescente da IoT são os dispositivos móveis, como smartphones e tablets. Muitas empresas usam dispositivos móveis como forma de monitorar e controlar sua rede de dispositivos IoT, o que significa que o dispositivo não é o único componente do ecossistema IoT, mas dispositivos móveis e servidores back-end também devem ser incluídos.
Por esse motivo, o Rapid7 considera componentes de nuvem e software de gerenciamento como parte do ecossistema.
“Normalmente, um dispositivo móvel como um dispositivo autônomo não seria considerado IoT”, diz Heiland, da Rapid7. “Ao executar um software projetado para interagir, controlar e/ou gerenciar uma solução de IoT, ele se torna parte do ecossistema de produtos de IoT e deve ser considerado ao avaliar a segurança do produto de IoT.”
FONTE: DARK READING