Pruebas de penetración de IoT

¿Pueden los dispositivos IoT utilizarse para ataques cibernéticos?

Los atacantes tienden a trabajar para las masas, por ejemplo, en ataques de denegación de servicio distribuido (DDOS), en los que se envían miles de correos electrónicos o solicitudes a un servidor para ralentizarlo o inutilizarlo por completo. En este caso, en el futuro, es posible que nos enfrentemos a situaciones en las que los hackers intenten «llenar» el mayor número posible de máquinas con la esperanza de que algunas de ellas no funcionen correctamente.

¿Desea tener un entendimiento profundo de todos los aspectos modernos de las pruebas de penetración del IoT?
Lea atentamente este artículo y guardar como favorito para consultarla más tarde, actualizamos regularmente esta página.

Una vez que un atacante obtiene acceso a un servidor del Internet de las cosas, puede utilizar los dispositivos para sus propios fines, para extorsión o para explorar datos con el fin de realizar ataques posteriores a la red, con consecuencias más graves y peligrosas. Quizás esta sea la razón por la que los gobiernos hablan de los peligros potenciales del Internet de las cosas asociados a ciberataques.

Hace varios años, la CIA detectó una amenaza proveniente de una nevera inteligente que se utilizó como parte de un botnet para llevar a cabo un ataque DDOS. Y todo esto ocurrió completamente sin que el propietario de la nevera se diera cuenta, quien no tenía idea de que su dispositivo inteligente podía realizar acciones perjudiciales, además de enfriar y conservar alimentos. Divertido pero cierto.

El estudio de Gartner señala que los ciberataques al Internet of Things se han convertido en una realidad. Alrededor del 20% de las organizaciones encuestadas por Gartner los experimentaron en el periodo comprendido entre 2015 y 2018. Según el analista de Gartner Ruggero Contu, al desplegar el Internet of Things, las empresas a menudo no prestan atención al software, ni a sus características.

La seguridad del IoT se está convirtiendo en una prioridad empresarial y la implementación de las mejores prácticas y herramientas de ciberseguridad ya se tiene en cuenta al planificar el IoT. Según los expertos, el principal motor del crecimiento del mercado en cuestión es la demanda de herramientas y servicios que mejoren la detección de amenazas y la gestión de activos, evalúen la seguridad de los equipos y el software, así como pruebas para proteger los sistemas IoT frente a accesos no autorizados. Gartner predice que estos factores impulsarán el gasto en seguridad del IoT hasta los 3.100 millones de dólares en 2021.

¿Qué son las pruebas de penetración del IoT?

Las pruebas de penetración de IoT se llevan a cabo para resolver el problema del uso del Internet de las cosas (IoT) para penetrar en los sistemas informáticos. El Internet de las cosas se está extendiendo activamente por todo el mundo y se encuentra en los inicios de un auge de desarrollo. Esto se ve facilitado por factores como las redes 5G, la Industria 4.0 o la Cuarta Revolución Industrial, así como por el creciente poder de cómputo de los microprocesadores.

Los hogares inteligentes, las empresas inteligentes y el segmento industrial de los dispositivos IoT presentan problemas de implementación similares, a saber, la falta de normas uniformes, incluidas las normas de documentación, descripciones de alta calidad de los protocolos, alto costo de la seguridad y falta de recursos de microchips para la implementación de alta calidad del cifrado, autenticación y otros.

Amenazas que las pruebas de penetración de IoT pueden ayudar a eliminar

Tradicionalmente, se ha considerado que los dispositivos embebidos funcionan por sí mismos y no están conectados a internet, lo que significa que no necesitan realmente protección confiable. Sin embargo, la transformación digital y el Internet de las Cosas han cambiado radicalmente la situación. Ahora todos los componentes están interconectados y requieren una protección integral contra todas las amenazas, incluyendo:

• Robo y uso de información confidencial y credenciales de usuario
• Explotación de vulnerabilidades en aplicaciones
• Acceso remoto y ataques a través de dispositivos móviles
• Ataques de ransomware
• Instalación de firmware no autorizado
• intercepción de datos y ataques de hombre en medio

De acuerdo con el principio de seguridad de la información de extremo a extremo, la ciberseguridad debe establecerse en la fase inicial del desarrollo de un producto o servicio y mantenerse hasta el final de su ciclo de vida. Los investigadores se centran tanto en las cuestiones que afectan a los propietarios de los dispositivos como en las que afectan a los desarrolladores. Por lo tanto, al inicio del funcionamiento, el usuario debe sustituir necesariamente la contraseña predeterminada de fábrica por una personal, ya que las contraseñas de fábrica suelen ser las mismas en todos los dispositivos. Lamentablemente, no todo el mundo lo hace. Dado que no todos los aparatos tienen funciones de seguridad integradas, los propietarios también deben encargarse de instalar software antivirus externo para uso doméstico, de modo que los dispositivos conectados a Internet no se conviertan en puertas abiertas a la red doméstica.

Aproximadamente dos tercios de los dispositivos analizados no cifraron el tráfico inalámbrico. Los expertos consideraron que la interfaz web de más de la mitad de los dispositivos era insegura debido a la organización insegura del acceso y a los altos riesgos de cross-site scripting. La mayoría de los dispositivos tienen contraseñas que no son lo suficientemente fuertes. Además, más del 90 % de los dispositivos recopilan algún tipo de información personal sobre el propietario.

En total, los expertos han contado alrededor de 25 vulnerabilidades diferentes en cada uno de los dispositivos estudiados y en sus componentes móviles y en la nube. La conclusión de los expertos es decepcionante: aún no existe un ecosistema IoT suficientemente seguro. Los dispositivos IoT son especialmente peligrosos en el contexto de la propagación de ataques dirigidos (APT).

En el IoT, existen muchas oportunidades para que los hackers lancen ataques. La mayoría de las vulnerabilidades están relacionadas con el ecosistema inseguro del IoT en general:

• estandarización de arquitectura y protocolos, certificación de dispositivos
• Usando la vulnerabilidad de un dispositivo, es fácil para un hacker acceder a toda la red;
• fuente de alimentación del sensor;
• uso de software inseguro;
• Cuentas estándar del fabricante, autenticación débil.
• falta de apoyo del fabricante para eliminar vulnerabilidades;
• Transición a IPv6;
• Es difícil o imposible actualizar el software y el sistema operativo.
• utilizando protocolos de texto y puertos abiertos innecesarios;
• uso de tecnologías móviles no protegidas
• Uso de infraestructura en la nube insegura.

¿Las pruebas de penetración de IoT garantizan la seguridad completa de los dispositivos?

Todos los dispositivos IoT son potencialmente vulnerables a ataques. Un hacker puede comprar libremente cualquier dispositivo que le interese y estudiar su sistema de seguridad. A diferencia de los servidores convencionales, que suelen ser atacados de forma remota y cuentan con un sistema de seguridad especializado, los dispositivos IoT son más susceptibles al acceso no autorizado.

El uso generalizado de estos dispositivos significa que, si uno de ellos se ve comprometido, la empresa fabricante no podrá retirar rápidamente todos los dispositivos ni mejorar su seguridad. Además, los hackers pueden penetrar en toda la red a través de un solo dispositivo. Así, un solo dispositivo proporcionará acceso no autorizado a una amplia gama de datos confidenciales, desde datos bancarios hasta historiales médicos, e incluso información corporativa importante, dado que muchas personas utilizan los mismos dispositivos en casa y en el trabajo.

Por lo tanto, la solución más segura sería utilizar asset discovery, con la que no se pasará por alto ninguna posible vulnerabilidad de ningún dispositivo conectado a su red.

Recursos adicionales

• Aprenda más sobre la gestión de la superficie de ataque con IA con ImmuniWeb^® Discovery
• Más información sobre pruebas de penetración de aplicaciones con IA en ImmuniWeb.
• Más información sobre las oportunidades del programa de partners de ImmuniWeb.
• Síganos en LinkedIn, X, Telegram y WhatsApp.