IoT-Penetrationstests

Demo anfordern

Können IoT-Geräte für Cyberangriffe genutzt werden?

Angreifer arbeiten in der Regel für die breite Masse, beispielsweise bei Distributed-Denial-of-Service-Angriffen (DDOS), bei denen Tausende von E-Mails oder Anfragen an einen Server gesendet werden, um ihn zu verlangsamen oder ganz außer Betrieb zu setzen. In diesem Fall könnten wir in Zukunft mit Situationen konfrontiert sein, in denen Hacker versuchen, so viele Maschinen wie möglich zu „überfluten“, in der Hoffnung, dass einige davon nicht mehr korrekt funktionieren.

Möchten Sie ein tiefgreifendes Verständnis aller modernen Aspekte von IoT-Penetrationstests erlangen?
Lesen Sie diesen Artikel sorgfältig durch und Lesezeichen setzen, um später wieder darauf zurückzugreifen. Wir aktualisieren diese Seite regelmäßig.

Nachdem ein Angreifer Zugriff auf einen Internet-of-Things-Server erlangt hat, kann er die Geräte für eigene Zwecke nutzen, etwa zur Erpressung oder zur Datenexploration für nachfolgende Angriffe auf das Netzwerk mit schwerwiegenden und gefährlicheren Folgen. Vielleicht ist dies der Grund, warum Regierungen über die potenziellen Gefahren des Internets der Dinge im Zusammenhang mit Cyberangriffen sprechen.

Vor einigen Jahren stellte die CIA eine Bedrohung durch einen intelligenten Kühlschrank fest, der als Teil eines Botnetzes für einen DDOS-Angriff genutzt wurde! Und all dies geschah völlig unbemerkt vom Besitzer dieses Kühlschranks, der keine Ahnung hatte, dass sein intelligentes Gerät außer dem Kühlen und der Erhaltung von Lebensmitteln auch schädliche Aktionen ausführen konnte. Lustig, aber wahr.

Die Gartner-Studie stellt fest, dass Cyberangriffe auf das Internet of Things zur Realität geworden sind. Etwa 20 % der von Gartner befragten Organisationen begegneten diesen im Zeitraum von 2015 bis 2018. Laut dem Gartner-Analysten Ruggero Contu berücksichtigen Unternehmen bei der Implementierung des Internet of Things oft weder die Software noch deren Funktionen.

Die IoT-Sicherheit wird zu einer geschäftlichen Priorität, und die Implementierung der besten Cybersicherheitspraktiken und -Tools wird bereits bei der Planung von IoT berücksichtigt. Experten zufolge ist der Hauptwachstumsmotor des betrachteten Marktes die Nachfrage nach Tools und Dienstleistungen, die die Bedrohungserkennung und das Asset-Management verbessern, die Sicherheit von Geräten und Software bewerten sowie Tests zum Schutz von IoT-Systemen vor unbefugtem Zugriff durchführen. Gartner prognostiziert, dass diese Faktoren die Ausgaben für IoT-Sicherheit im Jahr 2021 auf 3,1 Milliarden US-Dollar steigen lassen werden.

Was ist ein IoT-Penetrationstest?

IoT-Penetrationstests werden durchgeführt, um das Problem der Nutzung des Internets der Dinge (IoT) zum Eindringen in Computersysteme zu lösen. Das Internet der Dinge verbreitet sich weltweit aktiv und steht am Anfang einer rasanten Entwicklung. Dies wird durch Faktoren wie 5G-Netze, Industrie 4.0 oder die vierte industrielle Revolution sowie die wachsenden Möglichkeiten der Mikroprozessor-Rechenleistung begünstigt.

Smart Home, Smart Business und der industrielle Bereich von IoT-Geräten weisen ähnliche Implementierungsprobleme auf, nämlich das Fehlen einheitlicher Standards, einschließlich Dokumentationsstandards, hochwertiger Protokollbeschreibungen, hohe Sicherheitskosten sowie mangelnde Mikrochip-Ressourcen für die hochwertige Umsetzung von Verschlüsselung, Authentifizierung und anderen Funktionen.

Bedrohungen, die IoT-Penetrationstests beseitigen können

Traditionell ging man davon aus, dass eingebettete Geräte eigenständig arbeiten und nicht online verbunden sind, sodass sie keinen wirklich zuverlässigen Schutz benötigen. Die digitale Transformation und das Internet der Dinge haben die Situation jedoch grundlegend verändert. Heute sind alle Komponenten miteinander verbunden und erfordern einen umfassenden Schutz vor allen Bedrohungen, darunter:

• Diebstahl und Nutzung vertraulicher Informationen sowie Benutzeranmeldedaten
• Ausnutzung von Schwachstellen in Anwendungen
• Fernzugriff und Angriffe über mobile Geräte
• Ransomware-Angriffe
• Installation nicht autorisierter Firmware
• Datenabfang und Man-in-the-Middle-Angriffe

gemäß dem Prinzip der durchgängigen Informationssicherheit sollte Cybersecurity bereits in der Anfangsphase der Produkt- oder Dienstleistungsentwicklung implementiert und bis zum Ende des Lebenszyklus aufrechterhalten werden. Forscher konzentrieren sich sowohl auf Probleme auf Seiten der Gerätebesitzer als auch auf Probleme für Entwickler. So muss der Benutzer bereits zu Beginn der Nutzung unbedingt das werkseitige Standardpasswort durch sein persönliches Passwort ersetzen, da werkseitige Passwörter in der Regel auf allen Geräten identisch sind. Leider tun dies nicht alle. Da nicht alle Geräte über integrierte Sicherheitsfunktionen verfügen, sollten Besitzer auch darauf achten, externe Antivirensoftware für den Heimgebrauch zu installieren, damit Internetgeräte nicht zu offenen Zugängen zum Heimnetzwerk werden.

Etwa zwei Drittel der analysierten Geräte verschlüsselten den drahtlosen Datenverkehr nicht. Experten stuften die Web-Schnittstelle von mehr als der Hälfte der Geräte aufgrund der unsicheren Zugriffsorganisation und der hohen Risiken durch Cross-Site-Scripting als unsicher ein. Die meisten Geräte verfügen über nicht ausreichend starke Passwörter. Darüber hinaus sammeln mehr als 90 % der Geräte irgendeine Art persönlicher Informationen über den Besitzer.

Insgesamt haben Experten etwa 25 verschiedene Schwachstellen in jedem der untersuchten Geräte sowie in deren Mobil- und Cloud-Komponenten festgestellt. Das Fazit der Experten ist enttäuschend: Ein ausreichend sicheres IoT-Ökosystem existiert noch nicht. IoT-Geräte sind besonders gefährlich im Kontext der Verbreitung gezielter Angriffe (APT).

Im IoT gibt es viele Angriffsmöglichkeiten für Hacker. Die meisten Schwachstellen sind mit dem unsicheren Gesamt-Ökosystem des IoT verbunden:

• Standardisierung von Architektur und Protokollen, Zertifizierung von Geräten;
• Durch Ausnutzung der Schwachstelle eines einzelnen Geräts kann ein Hacker leicht in das gesamte Netzwerk eindringen.
• sensor power supply;
• Verwendung unsicherer Software;
• Standardkonten des Herstellers, schwache Authentifizierung;
• Mangelnde Unterstützung durch den Hersteller zur Beseitigung von Schwachstellen;
• Übergang zu IPv6;
• Es ist schwierig oder unmöglich, Software und Betriebssysteme zu aktualisieren.
• Verwendung von Textprotokollen und unnötigen offenen Ports;
• ungeschützte mobile Technologien;
• Nutzung einer ungesicherten Cloud-Infrastruktur.

Gewährleisten IoT-Penetrationstests eine vollständige Gerätesicherheit?

Alle IoT-Geräte sind potenziell anfällig für Angriffe. Ein Hacker kann jedes Gerät, das ihn interessiert, frei erwerben und dessen Sicherheitssystem analysieren. Im Gegensatz zu herkömmlichen Servern, die in der Regel remote angegriffen werden und ein spezielles Sicherheitssystem besitzen, sind IoT-Geräte anfälliger für unbefugten Zugriff.

Die weit verbreitete Nutzung dieser Geräte bedeutet, dass der Hersteller im Falle einer Kompromittierung eines Geräts nicht in der Lage ist, alle Geräte schnell zurückzurufen oder ihre Sicherheit zu verbessern. Darüber hinaus können Hacker über ein einziges Gerät in das gesamte Netzwerk eindringen. Somit ermöglicht ein einziges Gerät den unbefugten Zugriff auf eine Vielzahl vertraulicher Daten – von Bankdaten über Krankenakten bis hin zu wichtigen Unternehmensinformationen –, da viele Menschen dieselben Geräte zu Hause und am Arbeitsplatz nutzen.

Daher wäre die sicherste Lösung die Verwendung von Asset Discovery, bei der keine mögliche Schwachstelle eines mit Ihrem Netzwerk verbundenen Geräts übersehen wird.

Weitere Ressourcen

• Erfahren Sie mehr über KI-gestütztes Angriffsflächenmanagement mit ImmuniWeb^® Discovery.
• Erfahren Sie mehr über KI-gestützte Penetrationstests für Anwendungen mit ImmuniWeb.
• Erfahren Sie mehr über die Möglichkeiten des ImmuniWeb Partner Programms.
• Folgen Sie uns auf LinkedIn, X, Telegram und WhatsApp