Milos Hrncar war mit diesem Beitrag im E&E-Kompendium 2019/2020 als einer von 100 Machern der Elektronikwelt vertreten.
IoT-Geräte mögen im Vergleich zu PCs und Smartphones nicht leistungsstark genug wirken und für Cyberkriminelle und ihre illegalen Aktivitäten auf den ersten Blick wenig reizvoll. Ihre große Anzahl und gravierende Sicherheitsschwachstellen in manchen intelligenten Geräten machen die mangelnde Leistungsfähigkeit jedoch mehr als wett.
Cyberkriminelle nehmen IoT-Netzwerke beispielsweise ins Visier, um Denial-of-Service-Angriffe durch die Einrichtung von Botnets zu ermöglichen. Einige Malware-Modifikationen sind auch darauf ausgerichtet, konkurrierende Malware abzuschalten, eigene Sicherheitslücken zu schließen und anfällige Dienste auf einem Gerät herunterzufahren. Darüber hinaus sind IoT-Malware-Familien anpassungsfähig und entwickeln sich ständig weiter, so können sie auch auf bisher unbekannte Art zur Bedrohung werden.
Embedded-Systeme als Einfallstor
Sogenannte Embedded Systems prägen bereits unseren Alltag: in Fahrkarten-, Geld- und Verkaufsautomaten, Kassensystemen im Handel, in Maschinen und Geräten der Industrie und Medizin oder auch in Transport und Logistik. Sie sind in der Regel geografisch verstreut, schwierig zu verwalten und werden selten aktualisiert. Dementsprechend oft werden sie zum Ziel von Cyberkriminellen.
Embedded-Lösungen müssen daher nicht nur selbst vor Bedrohungen geschützt sein, sondern dürfen Cyberkriminellen auch nicht als Eintrittspunkt in das Unternehmensnetzwerk dienen. Bestehende Sicherheitsvorschriften für eingebettete Geräte neigen dazu, nur virenschutzbasierte Sicherheit oder eine Systemhärtung abzudecken. Das reicht nicht aus. Um eingebettete Systeme wirkungsvoll zu schützen, müssen bewährte Technologien wie Gerätekontrollen und Default Deny mit zusätzlichem Virenschutz für kritische Systeme kombiniert werden.
Wenn wir die Cyberwelt von morgen sicher machen wollen, müssen wir uns von Beginn an Gedanken um die Sicherheit von IoT-Geräten und -Systemen machen. Hierzu setzen wir auf einen Security-by-Design-Ansatz. Dieser bedeutet, dass einerseits die IT-Sicherheitsanbieter, aber auch alle IoT-Hersteller von Beginn an Cybersicherheits- und Datenschutzaspekte bei der Produktentwicklung berücksichtigen. Denn bei der Entwicklung der vernetzten Geräte fehlt leider oftmals der Blick auf mögliche Schwachstellen, die per Design, durch unzulängliche Implementierung oder unsachgemäße Nutzung entstehen. Bei der Entwicklung neuer Anwendungen und Geräte im Embedded-Bereich sollten daher Security-by-Design und eine professionelle Cybersicherheitsstrategie von Beginn an auf der Agenda stehen.
Betriebssystem für sämtliche Sicherheitsbelange
Kaspersky OS ist ein sicheres Betriebssystem, über dessen Architektur Software sicher ausgeführt werden kann, inklusive unsicherer Anwendungen. Es ist sicher „by-design“ und schützt auch im Falle zufälliger Softwarefehler und falscher Nutzeraktionen. Es kontrolliert die Interaktionen im System und kann Anwendungsfunktionen von Security-Funktionen trennen. Sicherheitsregeln lassen sich so einfacher konfigurieren und Anwendungen leichter entwickeln.
Das Betriebssystem kann als Plattform für sämtliche Sicherheitsbelange der angehängten Geräte und eingebetteten Systeme inklusive ihrer speziellen Sicherheitsanforderungen fungieren. Der zentrale Baustein dabei ist das Kaspersky Security System, eine vielseitige Sicherheits-Engine, die eine Definition und Prüfung von Sicherheitsbedingungen für IoT-Anwendungen ermöglicht. Es basiert auf dem Prinzip der Isolierung der Sicherheitskomponenten von den Funktionskomponenten des Informationssystems. Ein IoT- oder IIoT-System kann so sicher und unabhängig von der Implementierung der Funktionskomponenten operieren.
