0 
0 O Freeman Health System tem cerca de 8.000 dispositivos médicos conectados em suas 30 instalações no Missouri, Oklahoma e Kansas. Muitos desses dispositivos têm o potencial de se tornarem mortais a qualquer momento. “Esse é o cenário apocalíptico que todos temem”, diz Skip Rollins, CIO e CISO da rede de hospitais.
Rollins adoraria poder escanear os dispositivos em busca de vulnerabilidades e instalar software de segurança neles para garantir que não sejam invadidos. Mas ele não pode.
“Os fornecedores neste espaço são muito pouco cooperativos”, diz ele. “Todos eles têm sistemas operacionais e ferramentas proprietárias. Não podemos escanear esses dispositivos. Não podemos colocar software de segurança nesses dispositivos. Não podemos ver nada do que estão fazendo. E os fornecedores os entregam intencionalmente dessa maneira. “
Os fornecedores alegam que seus sistemas não podem ser hackeados, diz ele. “E nós dizemos, ‘Vamos colocar isso no contrato.’ E eles não vão.”
Isso provavelmente ocorre porque os dispositivos podem estar repletos de vulnerabilidades. De acordo com um relatório divulgado no início deste ano pela empresa de segurança cibernética Cynerio, 53% dos dispositivos médicos têm pelo menos uma vulnerabilidade crítica. Por exemplo, os dispositivos geralmente vêm com senhas e configurações padrão que os invasores podem encontrar facilmente online ou estão executando versões antigas e sem suporte do Windows.
E os atacantes não estão dormindo. De acordo com a pesquisa da Ponemon divulgada no outono passado , os ataques à IoT ou a dispositivos médicos representaram 21% de todas as violações de saúde – a mesma porcentagem dos ataques de phishing.
Como outros provedores de assistência médica, a Freeman Health Systems está tentando fazer com que os fornecedores de dispositivos levem a segurança mais a sério, mas, até agora, não teve sucesso. “Nossos fornecedores não trabalharão conosco para resolver o problema”, diz Rollins. “É o seu modelo de negócios proprietário.”
Como resultado, existem dispositivos parados em áreas acessíveis ao público, alguns com portas USB acessíveis, conectados a redes e sem como resolver diretamente os problemas de segurança.
Com os orçamentos apertados, os hospitais não podem ameaçar os fornecedores de que vão se livrar de seus dispositivos antigos e substituí-los por novos, mesmo que haja alternativas mais novas e seguras disponíveis. Então, em vez disso, a Freeman Health usa estratégias de mitigação baseadas em rede e outras soluções alternativas para ajudar a reduzir os riscos.
“Monitoramos o tráfego de entrada e saída”, diz Rollins, usando uma ferramenta de monitoramento de tráfego da Ordr. As comunicações com locais suspeitos podem ser bloqueadas por firewalls e o movimento lateral para outros sistemas hospitalares é limitado pela segmentação da rede.
“Mas isso não significa que o dispositivo não possa ser comprometido, pois está cuidando do paciente”, diz ele.
Para complicar ainda mais, bloquear a comunicação desses dispositivos com, digamos, outros países, pode impedir que atualizações críticas sejam instaladas.
“Não é incomum que os dispositivos cheguem à China, Coreia do Sul ou até mesmo à Rússia porque os componentes são feitos em todas essas áreas do mundo”, diz ele.
Rollins diz que não está ciente das tentativas de prejudicar fisicamente as pessoas hackeando seus dispositivos médicos na vida real. “Pelo menos hoje, a maioria dos hackers está procurando um dia de pagamento, não para machucar as pessoas”, diz ele. Mas um ataque de estado-nação semelhante ao ataque cibernético da SolarWinds , que visa dispositivos médicos, tem o potencial de causar danos incalculáveis.
“A maioria dos dispositivos médicos está conectada de volta a um dispositivo central, em um tipo de rede hub-and-spoke”, diz ele. “Se eles comprometessem essas redes, isso comprometeria as ferramentas que usamos para cuidar de nossos pacientes. Isso é uma ameaça real.”
Luta pela visibilidade da IoT
O primeiro desafio da segurança da IoT é identificar quais dispositivos estão presentes no ambiente corporativo. Mas os dispositivos geralmente são instalados por unidades de negócios ou funcionários individuais e estão sob a alçada de operações, prédios e manutenção e outros departamentos.
Muitas empresas não têm uma única entidade responsável por proteger os dispositivos IoT. Nomear alguém é o primeiro passo para controlar o problema, diz Doug Clifton, que lidera os esforços de TO e TI para as Américas na Ernst & Young.
O segundo passo é realmente encontrar os dispositivos.
De acordo com o analista da Forrester, Paddy Harrington, vários fornecedores oferecem varreduras de rede para ajudar as empresas a fazer isso. O Gear da Checkpoint, Palo Alto e outros podem executar verificações passivas continuamente e, quando novos dispositivos são detectados, aplicam-se automaticamente políticas de segurança a eles. “Isso não vai resolver tudo”, diz ele, “mas é um passo na direção certa.”
Ainda assim, alguns dispositivos não se enquadram perfeitamente nas categorias conhecidas e são difíceis de direcionar. “Existe uma regra 80-20”, diz Clifton. “Oitenta por cento dos dispositivos podem ser coletados pela tecnologia. Para os outros 20%, é preciso haver algum trabalho de investigação.”
As empresas que ainda não possuem uma ferramenta de verificação de IoT devem começar conversando com os fornecedores de segurança com os quais já estão trabalhando, diz Harrington. “Veja se eles têm uma oferta. Pode não ser o melhor da categoria, mas ajudará a preencher a lacuna, e você não precisará ter uma tonelada de nova infraestrutura.”
As empresas normalmente usam planilhas para acompanhar os dispositivos IoT, diz May Wang, CTO de Palo Alto para segurança IOT. Cada área do negócio pode ter sua própria lista. “Quando vamos a um hospital, recebemos uma planilha do departamento de TI, do departamento de instalações e do departamento de dispositivos biomédicos – e todas as três planilhas são diferentes e mostram dispositivos diferentes”, diz ela.
E quando Palo Alto executa uma varredura dos ambientes, essas listas geralmente ficam aquém – às vezes por mais de uma ordem de magnitude. Muitos são dispositivos mais antigos, diz Wang, instalados antes dos dispositivos IoT serem reconhecidos como ameaças à segurança. “A segurança de rede tradicional não vê esses dispositivos”, diz ela. “E as abordagens tradicionais para proteger esses dispositivos não funcionam.”
Mas as empresas não podem aplicar políticas de segurança de endpoint ou gerenciamento de vulnerabilidades a dispositivos até que todos sejam identificados. A Palo Alto agora inclui a detecção de dispositivos IoT com aprendizado de máquina integrada em seu firewall de próxima geração.
“Podemos dizer que tipo de dispositivos você tem, que tipo de hardware, software, sistemas operacionais, quais protocolos você está usando”, diz Wang. Os sistemas Palo Alto não podem detectar e obter informações completas sobre cada dispositivo. “Para alguns deles, pode não ser tão detalhado, mas podemos obter a maioria das informações para a maioria dos dispositivos. Isso fornece visibilidade para a descoberta de dispositivos”.
Dependendo de como a tecnologia é implantada, a Palo Alto também pode selecionar dispositivos com base em suas comunicações internas e laterais e sugerir ou implementar automaticamente políticas de segurança para dispositivos recém-descobertos.
Quando os dispositivos IoT usam comunicações celulares, isso cria um problema maior. “Muitos dispositivos IoT são 5G, e isso se tornará um problema ainda maior”, diz ela. “Temos uma divisão trabalhando em segurança 5G. Ela definitivamente oferece mais desafios.”
Espiando dentro da IoT
Depois que os dispositivos IoT são descobertos e inventariados de forma confiável, eles precisam ser gerenciados e protegidos com o mesmo rigor que outros dispositivos de rede. Isso requer gerenciamento de configuração, verificação de vulnerabilidades, monitoramento de tráfego e outros recursos.
Mesmo um dispositivo que não esteja conectado a uma rede externa pode se tornar um ponto intermediário ou esconderijo para um determinado invasor que se move lateralmente pela empresa.
Marcos Marrero, CISO da HIG Capital, enfrentou exatamente esse dilema há um ano.
A HIG é uma empresa global de investimentos com mais de US$ 50 bilhões em capital próprio sob gestão e 26 escritórios em quatro continentes. A empresa tem centenas de dispositivos em suas redes, como câmeras, dispositivos de segurança física e sensores que monitoram temperatura, umidade e energia dentro de suas salas de computadores. A segurança do dispositivo IoT “é um grande problema”, diz Marrero. “E está em constante evolução e ficando maior.”
Como uma empresa financeira, a HIG é extremamente preocupada com a segurança, com a equipe de segurança supervisionando todos os dispositivos instalados em suas redes. “Bata na madeira, não encontramos nenhuma IoT desonesta em nosso ambiente”, diz Marrero.
Mas ser capaz de localizar dispositivos é apenas o começo da jornada. “Depois, há a visibilidade das vulnerabilidades e configurações”, diz ele.
Cerca de um ano atrás, Marrero executou uma varredura de vulnerabilidade em um dos dispositivos de alerta da sala e encontrou portas abertas que não exigem autenticação. A empresa entrou em contato com o fabricante e conseguiu obter instruções sobre como endurecer o dispositivo. “Mas tivemos que pedir por isso – não foi uma informação que nos foi dada logo de cara”, diz ele.
E a varredura de vulnerabilidades que a empresa executou apenas olhou para o dispositivo de fora, diz ele, encontrando portas abertas e tipo de sistema operacional, mas pouco mais. “Há uma série de vulnerabilidades no software de código aberto usado nesses dispositivos”, diz ele.
Para resolver o problema, o HIG recorreu a uma ferramenta de verificação de firmware da Netrise.
“Fizemos uma prova de conceito e carregamos uma das imagens de firmware, e ela devolveu todos esses dados de vulnerabilidade e outras informações”, diz ele. “Isso é o que selou para nós.”
O upload das imagens era um processo manual que levava alguns minutos por imagem. Como havia muitos dispositivos duplicados do mesmo tipo, a empresa teve que carregar menos de 20 imagens no total. Como resultado das verificações, o inventário de vulnerabilidades da empresa aumentou 28%.
“Não tínhamos ideia de que existiam em nosso ambiente”, diz ele. “Sim, nossa tendência de vulnerabilidade teve um pico, mas metade da batalha é saber que você tinha essas vulnerabilidades em primeiro lugar.”
Depois que as vulnerabilidades foram descobertas, a HIG entrou em contato com os fornecedores de dispositivos e tomou outras medidas de mitigação. “Pode estar derrubando o dispositivo se for muito perigoso e representar um risco muito grande para o nosso ambiente”, diz ele, “ou colocar controles adicionais em camadas ao redor dele”.
Por exemplo, alguns dispositivos foram segmentados na rede, com listas de controle de acesso para limitar quais outros sistemas e usuários poderiam acessar esse dispositivo. “Por exemplo, uma câmera de segurança só pode se comunicar com ativos de tecnologia que suportam esse dispositivo”, diz ele. “Isso limita o risco de qualquer exploração negativa.”
Em seguida, quaisquer futuras atualizações de firmware são executadas pela ferramenta Netrise antes de serem implantadas, caso o fabricante tenha introduzido novas vulnerabilidades.
Outras políticas de gerenciamento de IoT que a empresa possui incluem triagem de segurança durante as decisões iniciais de compra.
“Antes de adquirir quaisquer novos ativos, garantimos que eles tenham algum nível de registro que possamos enviar para nosso ambiente de registro centralizado”, diz ele, referindo-se ao sistema de gerenciamento de eventos e informações de segurança (SIEM) da empresa. “O que nosso SIEM faz é pegar todos os diferentes logs que enviamos para ele e correlacioná-los para reduzir o nível de alertas falsos.”
Ocasionalmente, a empresa se depara com dispositivos com níveis de registro muito imaturos, diz ele. “E eu tive que dizer, ‘Nós não estamos comprando isso.'”
Monitoramento e fiscalização
Uma vez que todos os dispositivos são identificados, categorizados por risco e, na medida do possível, corrigidos e atualizados, o próximo passo é criar uma estrutura de monitoramento em torno daqueles com potencial para causar mais danos à empresa.
Em alguns casos, as empresas podem instalar o software de proteção de endpoint nos próprios dispositivos IoT para protegê-los contra ataques maliciosos, monitorar as definições de configuração, garantir que sejam totalmente corrigidos e monitorar atividades incomuns. Isso pode não ser possível para alguns dispositivos mais antigos ou dispositivos proprietários, como equipamentos médicos.
Quando os dispositivos se conectam a uma rede corporativa, essas comunicações podem ser monitoradas quanto a atividades suspeitas.
Pela primeira vez, as empresas estão fazendo uma pausa nesse aspecto da segurança da IoT. De acordo com Palo Alto, 98% do tráfego de IoT não é criptografado. Além disso, os dispositivos IoT normalmente fazem a mesma coisa repetidamente.
“Pegue um termostato, por exemplo”, diz Wang, de Palo Alto. “Ele deve apenas enviar a temperatura e pronto. Não deve falar com outros servidores. Isso é uma coisa boa – torna mais fácil para os modelos de IA construir uma linha de base de comportamento.”
IoT e o futuro de confiança zero
À medida que as empresas mudam para arquiteturas de confiança zero, é importante não esquecer os dispositivos conectados.
Princípios de confiança zero e segurança por design devem ser usados para proteger dispositivos e aplicativos associados. Isso começa com controles de proteção, como identificação e autenticação de dispositivos, bem como atualizações confiáveis de dispositivos com resistência à violação da cadeia de suprimentos, diz Srinivas Kumar, vice-presidente de soluções de IoT da fornecedora de segurança DigiCert. As comunicações também precisam ser seguras, acrescenta.
Uma das organizações do setor que trabalha na proteção de dispositivos IoT criando padrões de autenticação e criptografia é a WI-SUN, fundada há cerca de 10 anos para se concentrar especificamente em dispositivos usados por serviços públicos, cidades inteligentes e agricultura.
As medidas de segurança incorporadas aos padrões WI-SUN incluem certificados para autenticação de dispositivos à medida que eles se conectam a uma rede, criptografia para garantir que todas as mensagens sejam privadas e uma verificação de integridade da mensagem para evitar ataques man-in-the-middle.
As crescentes tensões geopolíticas significam que proteger esses medidores – e outros dispositivos essenciais para operações de infraestrutura crítica – é cada vez mais urgente. “Se você tem sensores de verificação de integridade estrutural em uma ponte ou ferrovia e alguém aparece e bloqueia todos os sensores, você teria que fechar a cidade, e isso causaria uma enorme quantidade de caos”, diz WI-SUN presidente e CEO Phil Beecher.
E isso é apenas o começo, diz David Nosibor, líder de soluções de plataforma e chefe do projeto SafeCyber na UL Solutions, antiga UL. “Desde interrupções nas cadeias de suprimentos até perda de alimentos, água ou energia, esses impactos podem se estender muito além das organizações afetadas”, diz ele.
Enquanto isso, os invasores estão ficando cada vez mais sofisticados, diz ele, e há uma escassez de especialistas em segurança cibernética na força de trabalho. Além disso, além de tudo isso, há uma onda de regulamentações à medida que os legisladores acordam para os riscos.
“Esses desafios estão interligados”, diz Nosibor. “E muitas organizações, infelizmente, lutam para acompanhar a complexidade.”
FONTE: NETWORK WORLD