Перейти к основному содержимому

Безопасность IoT

ОБЯЗАТЕЛЬНОДЛЯ НОВИЧКОВ
Разработчику Инженеру

Безопасность IoT​

Internet of Things (IoT) — всё, что получило IP и "умную" прошивку — камеры, роутеры, телевизоры, медоборудование, датчики на заводе, браслеты. Для атакующего это те же этапы lifecycle, но часто без привычной ОС, с дефолтными паролями и редкими патчами.

Ботнет Mirai (Вирусы и вредоносные программы) показал масштаб: тысячи устройств с admin:admin → DDoS на DNS-провайдера. Вендоры часто переоценивают "безопасность" устройств, пока на IoT Village и meetup'ах те же модели ломают за часы.

Чем IoT отличается от сервера​

ФакторСервер / облакоТипичный IoT
Патчичасто автоматическиредко или никогда
РесурсыCPU/RAM с запасомограниченные MCU
ЭкспозицияDMZ, firewallдомашний Wi‑Fi, прямой UPnP
Жизненный цикл3–5 лет10+ лет без обновлений
Физический доступЦОДкоробка на стене, розетка

Атака может идти по любому уровню OSI — от перехвата радиоканала до API приложения.

Как взламывают IoT​

  1. Сетевой анализ — что устройство шлёт при старте; открытые порты; Telnet/HTTP admin.
  2. Дефолтные учётки — словари Mirai (root/root, admin/password).
  3. Известные CVE в прошивке или чипе (один баг — целый класс устройств).
  4. MITM — слабый или отсутствующий TLS на облачном API.
  5. Физический взлом — разбор корпуса, UART/JTAG, чтение flash, подмена прошивки.
  6. Supply chain — backdoor на заводе или в OTA-канале.

Типовой порядок расследования бытового IoT: документация → sniff трафика → scan → admin console → reverse API → при необходимости пайка к debug-портам.

UPnP и проброс портов

Домашний роутер, сам пробросивший порт камеры в интернет, превращает IoT в публичную мишень. На периметре — deny by default, без универсального UPnP в prod-сегментах.

Защита для вендора и разработчика прошивки​

Базовое правило: относитесь к IoT как к обычному компьютеру и примените накопленные уроки ИБ:

  • Secure SDLC — threat modeling, code review, fuzzing; см. Безопасность на ранних этапах разработки.
  • Минимальная поверхность — закрыть лишние порты и сервисы, убрать debug в release.
  • Уникальные credentials на устройство (не один пароль на партию).
  • Подписанные OTA-обновления и канал патчей на весь срок жизни устройства.
  • Сильная криптография — TLS 1.2+, проверка сертификата, secure boot где возможно.
  • Минимизация данных — не собирать то, что не нужно; шифровать хранимое.
  • Пентест до релиза и bug bounty без наказания за ответственный disclosure.
  • OWASP IoT Top 10 — чек-лист типовых ошибок (дефолтные пароли, небезопасные интерфейсы, отсутствие обновлений).

Стандарты для ориентира — ETSI EN 303 645, NISTIR 8259, ISO/IEC 27400.

Защита для эксплуатации и DevOps​

Дом и офис

  • Сменить дефолтный пароль до подключения к сети.
  • Отдельный VLAN или SSID "IoT" без доступа к рабочим ПК (121 Zero Trust).
  • Отключить неиспользуемые cloud-функции камеры.
  • Регулярно проверять firmware updates у вендора.

Корпоративная среда

  • Инвентарь IoT так же, как серверов (CMDB, agentless scan).
  • Блокировка исходящих C2 на firewall.
  • Мониторинг аномального трафика с VLAN IoT в SIEM.

Разработчик, подключающий устройство к своему API

  • Mutual TLS или per-device token с отзывом.
  • Rate limit и device provisioning через защищённый канал.
  • Не хранить master-key прошивки в git (8.03).

Чек-лист​

Покупка / ввод в эксплуатацию

  • Есть политика обновлений от вендора минимум N лет?
  • Пароль по умолчанию сменён; удалённый доступ выключен, если не нужен?
  • Устройство в сегменте без lateral path к AD/базам?

Разработка устройства / edge

  • Threat model (STRIDE) на прошивку и облако.
  • Secure boot / signed firmware (если угроза физического доступа).
  • Secrets не в образе; ключи в TPM/SE или factory provisioning.
  • План отзыва compromised batch по device ID.

Источники​

Содержание