Internet Rzeczy: odpowiadasz za to, czego używasz

Kilka miesięcy temu masowy atak DDoS uderzył w dużego dostawcę adresów DNS, firmę Dyn. Atak zakłócił działanie wielu dużych, globalnych usług internetowych: takich serwisów jak Twitter, Netflix, Spotify, Airbnb, Reddit, Etsy i SoundCloud. Najciekawsze było to, że w ataku użyte zostały urządzenia należące do Internetu Rzeczy (IoT).

Problem ten miał dwie składowe: urządzenia łączące się z internetem nie były odpowiednio zabezpieczone, a ich właściciele mieli mało wymagające podejście do cyberbezpieczeństwa.

W ataku szkodliwy program Mirai zainfekował oprogramowanie układowe urządzeń IoT, połączył je w botnet, którego następnie użył do ataku typu rozproszona odmowa usługi (DDoS), który wyłączył dostępność usług firmy Dyn. Proceder nie był wcale wyszukany: przestępcy wykorzystali domyślne hasła i loginy, które można łatwo znaleźć na stronach producentów. Innymi słowy, metoda ta działa na urządzeniach, które używają powszechnie znanych wartości domyślnych, niemożliwych do samodzielnej zmiany przez właścicieli, którzy zresztą i tak nie byli zainteresowani zmianą konfiguracji.

Pierwszy problem jest błędem producentów. Drugi — błędem właścicieli urządzeń.

Mirai potajemnie połączył urządzenia IoT użytkowników domowych i korporacyjnych. Choć nie możemy zmusić do tego użytkowników prywatnych, od firm oczekiwalibyśmy, że właściwie zabezpieczają one swoje urządzenia mogące łączyć się z internetem. Zapewnianie bezpieczeństwa IoT to duże wyzwanie, ale możliwe do zrealizowania: jeśli wszyscy zmienimy hasła domyślne w swoich urządzeniach IoT, atakujący będą mieli spore problemy w utworzeniu takiego botnetu. Powinniśmy to zrobić w ramach społecznej odpowiedzialności.

Ktoś może powiedzieć, że przecież to już jest historia: jednak trzeba pamiętać, że nieustannie pojawiają się autorzy programów szpiegujących, które wykorzystują taką samą drogę infekcji.

Nasze zalecenia obejmują trzy podstawowe kroki:

• wykonuj audyt urządzeń, które mogą łączyć się z Siecią,
• zmieniaj ustawienia domyślne (zwłaszcza dotyczy to małych i średnich firm korzystających z ruterów przeznaczonych dla konsumentów),
• wszędzie włącz ochronę hasłem.

Bezpieczeństwo to sprawa, która dotyczy każdego z nas. Odrób więc swoją lekcję, aby zwiększyć bezpieczeństwo świata.