ТЕХНИЧЕСКОЕ ОПИСАНИЕ

IoT Security Assessment

Повышение безопасности взаимосвязанного мира

Проблема

По мере ускорения внедрения устройств Интернета вещей их влияние на критически важные отрасли - инфраструктуру, здравоохранение, автомобильный сектор и государственные системы - становится всё более значительным. Эти устройства обеспечивают работу городов, контролируют здоровье пациентов, управляют критическими системами и защищают конфиденциальные данные, однако всё чаще становятся целями кибератак, создавая серьёзные риски для национальной безопасности, общественной безопасности и непрерывности операций.

Рассмотрим энергосистему. В 2023 году в удалённых терминальных устройствах Siemens (RTU), широко применяемых в промышленных системах управления, была обнаружена критическая уязвимость CVE-2023-28489. Её эксплуатация могла позволить злоумышленникам полностью захватить управление устройствами, изменить критически важные параметры автоматизации, дестабилизировать энергосистемы и вызвать отключения электроэнергии [1].

Помимо энергетики, риски распространяются и на другие жизненно важные и критические системы:

Дополнительный риск связан с непрозрачностью прошивок устройств IoT. Многие устройства создаются на основе сложных многоуровневых программных стеков, которые часто включают сторонние компоненты и программное обеспечение с открытым исходным кодом. Без полного перечня программных компонентов (Software Bill of Materials, SBOM) организациям трудно выявлять и отслеживать уязвимости в своей экосистеме IoT. Уязвимости широко используемых библиотек с открытым исходным кодом, встроенных в прошивку, могут оставаться незамеченными годами и эксплуатироваться злоумышленниками в большом масштабе.

Масштаб угроз огромен. Согласно отчёту за апрель 2023 года, к концу 2022 года количество кибератак, связанных с IoT, превысило 10,54 млн [4]. Эти атаки угрожают людям и операциям, а также создают юридические и репутационные риски для производителей и поставщиков услуг, поскольку требования к безопасности IoT, включая создание и управление SBOM, становятся всё строже.

Для организаций критически важных отраслей обеспечение безопасности устройств IoT, соответствие новым стандартам и управление сложными SBOM могут оказаться чрезмерно трудными задачами. Многим не хватает специализированных знаний, инструментов и ресурсов для их эффективного решения.

Источники

[1] https://www.securityweek.com/critical-siemens-rtu-vulnerability-could-allow-hackers-to-destabilize-power-grid/

[2] https://unit42.paloaltonetworks.com/infusion-pump-vulnerabilities/

[3] https://www.wired.com/story/kia-web-vulnerability-vehicle-hack-track/

[4] Monthly number of IoT attacks global 2022 | Statista

Решение

На фоне растущих киберугроз, ужесточения требований к тестированию безопасности IoT и приближения сроков обязательного соответствия важно заранее оценить готовность к комплексным испытаниям устройств IoT. Отсутствие такой готовности может привести к значительным затратам.

Решение Keysight IoT Security Assessment опирается на многолетний опыт тестирования и исследования безопасности. Оно позволяет просто и экономично повышать кибербезопасность устройств IoT и обеспечивать соответствие различным стандартам маркировки IoT.

Платформа тестирования кибербезопасности IoT автоматизирует проверку через интерфейс point-and-click или API автоматизации. Готовый инструмент оценки выявляет пробелы в безопасности устройств IoT, связанные с требованиями безопасности, соответствия и маркировки. Комплексная оценка включает анализ прошивки для поиска уязвимостей и слабых мест, формирование SBOM для учёта программных компонентов и фаззинг протоколов для выявления проблем, встроенных в цепочку поставок. Система обнаруживает слабые пароли, устаревшее шифрование и другие недостатки безопасности и подходит для широкого спектра сценариев.

Как это работает?

Keysight IoT Security Assessment сочетает статический анализ прошивки с набором динамических проверок. Для статического анализа доступ к устройству не требуется - достаточно двоичного файла прошивки. Для динамического анализа необходим доступ к тестируемому устройству (Device Under Test, DUT).

Чтобы выполнить статический анализ прошивки, пользователь создаёт новый продукт и загружает соответствующий файл или файлы прошивки (рисунок 1). Система автоматически выполняет комплексный анализ и предоставляет подробные результаты. На рисунке 2 показана обзорная страница проанализированной прошивки с ключевыми выводами.

Рисунок 1. Страница загрузки прошивки

Рисунок 2. Обзорная страница прошивки

На рисунке 3 приведён пример пользовательского интерфейса и работы динамических проверок. Пользователь видит последние сценарии тестирования IoT, запускает автоматические испытания одним нажатием, просматривает результаты и повторно запускает неуспешные тесты. Решение также поддерживает автоматизированное тестирование соответствия IoT: определяет наличие уязвимостей, оценивает их критичность и фиксирует прохождение или непрохождение требований. Эти возможности помогают при сертификации устройств IoT.

Демонстрационное видео: https://www.keysight.com/zz/en/assets/3123-1478/demos/healthcare-demo.mp4

Рисунок 3. Главная страница динамических проверок

Ключевые возможности

Keysight IoT Security Assessment применялось для выявления и проверки значимых уязвимостей устройств IoT - от промышленного оборудования, подключённых автомобилей и 5G O-RAN до медицинских устройств. В частности, решение помогло исследователям обнаружить ранее неизвестные недостатки безопасности, способные затронуть миллионы подключённых устройств, после чего Управление по санитарному надзору за качеством пищевых продуктов и медикаментов США (FDA) выпустило срочное уведомление по безопасности.

Архитектура и расширяемость

Рисунок 4. Архитектура IoT Security Assessment

Весь пакет IoT Security Assessment управляется через API, поэтому к нему легко подключать существующие и сторонние модули. Ранее созданные тестовые сценарии можно продолжать использовать под управлением того же API, что и остальные компоненты решения.

Одна из основных возможностей продукта - автоматизированный анализ прошивки. Он выявляет уязвимости непосредственно в исполняемом коде устройства: извлекает SBOM и связанные уязвимости, обнаруживает жёстко заданные учётные данные, создающие риск несанкционированного доступа, находит ошибки конфигурации, слабые или просроченные криптографические ключи и сертификаты, а также неизвестные уязвимости двоичных компонентов прошивки. Это обеспечивает более полную и проактивную оценку защищённости, позволяя выявлять и устранять уязвимости до их эксплуатации.

Другая ключевая возможность - фаззинг: автоматизированный метод тестирования, при котором в устройство передаются недопустимые, некорректные или неожиданные входные данные для выявления дефектов и уязвимостей.

Keysight и Synopsys совместно предоставляют производителям устройств IoT комплексное решение для оценки кибербезопасности. В рамках партнёрства инструмент фаззинга Synopsys Defensics® доступен как встроенная опция Keysight IoT Security Assessment.

Информация об аппаратной платформе

Характеристики аппаратного устройства

IoT Security Assessment поставляется как готовое аппаратное устройство, предназначенное для быстрого развёртывания и установки в среде пользователя. Основные характеристики:

Рисунок 5. Вид аппаратного устройства спереди

Рисунок 6. Вид аппаратного устройства сзади

Нормативные характеристики аппаратного устройства

Поддерживаемые сетевые интерфейсы

Отказ от ответственности за нормативное соответствие

Этот продукт, включая аппаратное устройство и любые встроенные или связанные сторонние радиочастотные приёмопередатчики, используемые для фаззинга Wi-Fi и Bluetooth, может не иметь сертификатов, необходимых для эксплуатации во всех странах и регионах.

Покупатель и конечный пользователь обязаны до развёртывания продукта или его компонентов проверить и обеспечить соответствие всем применимым местным законам, нормативам и требованиям сертификации. Это включает проверку статуса сертификации любых радиочастотных приёмопередатчиков, встроенных в продукт или используемых совместно с ним. Применение несертифицированного оборудования в юрисдикциях, где сертификация обязательна, может привести к нарушению законодательства или нормативных требований.

Производитель не принимает на себя ответственность за развёртывание или использование несертифицированных аппаратных устройств либо радиочастотных приёмопередатчиков с нарушением местных законов и нормативов. За дополнительными разъяснениями по требованиям в конкретном регионе следует обращаться в местный регулирующий орган или к производителю соответствующего приёмопередатчика.

Информация для заказа

947-5990

Устройство Novus Mini Pro для IoT Security Assessment и комплект IoT Security Controller (бессрочная лицензия)

Комплект включает аппаратное устройство Novus Mini Pro IoT Security Assessment (941-1620) и программное обеспечение IoT Security Base Controller (бессрочная лицензия) (983-1103).

983-1105

Keysight IoT Security, модуль атак IPv4 с ПО ATI (подписка на 1 год)

Активирует средства оценки безопасности на базе TCP/IP (модуль атак IPv4). В течение срока подписки включает новые инструменты на основе исследований безопасности ATI, средства обнаружения систем и сервисов, управления уязвимостями, проверки известных слабых мест и выявления новых недостатков или уязвимостей. Модуль работает через любое проводное или беспроводное соединение с поддержкой Ethernet/IP. Требуется лицензия IoT Security Base Controller. Срок лицензии указывается при заказе и приобретается на один год или на целое число лет; цена указывается за одну единицу на один год.

983-1106

Keysight IoT Security, модуль атак WLAN с ПО ATI (подписка на 1 год)

Активирует средства оценки безопасности на базе WLAN. В течение срока подписки включает новые инструменты на основе исследований безопасности ATI, фаззинг радиостека, обнаружение систем и сервисов, управление уязвимостями, проверку известных слабых мест и выявление новых недостатков или уязвимостей. Требуется лицензия IoT Security Base Controller. Срок лицензии указывается при заказе и приобретается на один год или на целое число лет; цена указывается за одну единицу на один год.

983-1107

Keysight IoT Security, модуль атак Bluetooth с ПО ATI (подписка на 1 год)

Активирует средства оценки безопасности на базе Bluetooth. В течение срока подписки включает новые инструменты на основе исследований безопасности ATI, фаззинг радиостека, обнаружение систем и сервисов, управление уязвимостями, проверку известных слабых мест и выявление новых недостатков или уязвимостей. Требуется лицензия IoT Security Base Controller. Срок лицензии указывается при заказе и приобретается на один год или на целое число лет; цена указывается за одну единицу на один год.

983-1109

Keysight IoT Security, модуль атак IPv6 с ПО ATI (подписка на 1 год)

Активирует средства оценки безопасности на базе TCP/IP (модуль атак IPv6). В течение срока подписки включает новые инструменты на основе исследований безопасности ATI, средства обнаружения систем и сервисов, управления уязвимостями, проверки известных слабых мест и выявления новых недостатков или уязвимостей. Модуль работает через любое проводное или беспроводное соединение с поддержкой Ethernet/IP. Требуется лицензия IoT Security Base Controller. Срок лицензии указывается при заказе и приобретается на один год или на целое число лет; цена указывается за одну единицу на один год.

983-1201

IoT Security, модуль анализа прошивки RichOS (подписка на 1 год)

Обеспечивает анализ прошивок RichOS для Linux и Android, формирование SBOM, сканирование CVE, выявление слабых мест прошивки, включая жёстко заданные учётные данные и проблемы конфигурации, и предоставляет практические рекомендации. Включает автоматизированный анализ двоичных файлов для выявления потенциальных уязвимостей. Требуется устройство Novus Mini Pro для IoT Security Assessment и лицензия IoT Security Controller Bundle (947-5990). Срок лицензии указывается при заказе и приобретается на один год или на целое число лет; цена указывается за одну единицу на один год.

983-1202

IoT Security, модуль анализа bare-metal прошивки микроконтроллеров (подписка на 1 год)

Обеспечивает анализ bare-metal прошивок микроконтроллеров. Включает статический анализ кода и целевую эмуляцию для выявления уязвимостей, связанных с использованием API SDK, повреждением памяти, отключёнными функциями безопасности SoC/MCU, устаревшими SDK производителя и RTOS. Требуется устройство Novus Mini Pro для IoT Security Assessment и лицензия IoT Security Controller Bundle (947-5990). Срок лицензии указывается при заказе и приобретается на один год или на целое число лет; цена указывается за одну единицу на один год.

983-1301

Лицензия комплекта IoT Security MSSP Bluetooth (подписка на 30 дней)

Охватывает фаззинг Bluetooth, включая Bluetooth EDR/Classic и Bluetooth LE. Лицензия не продаётся сразу на несколько 30-дневных периодов и не предназначена для перепродажи. MSSP должен постоянно сохранять право собственности и лицензию на все приобретённые лицензии IoT Security Assessment и быть их единственным пользователем.

983-1302

Лицензия комплекта IoT Security MSSP WLAN (подписка на 30 дней)

Включает фаззинг WLAN, в том числе точек доступа и клиентов WLAN. Лицензия не продаётся сразу на несколько 30-дневных периодов и не предназначена для перепродажи. MSSP должен постоянно сохранять право собственности и лицензию на все приобретённые лицензии IoT Security Assessment и быть их единственным пользователем.

983-1303

Лицензия IoT Security MSSP IPv4 (подписка на 30 дней)

Включает фаззинг IPv4. Лицензия не продаётся сразу на несколько 30-дневных периодов и не предназначена для перепродажи. MSSP должен постоянно сохранять право собственности и лицензию на все приобретённые лицензии IoT Security Assessment и быть их единственным пользователем.

983-1304

Лицензия IoT Security MSSP IPv6 (подписка на 30 дней)

Включает фаззинг IPv6. Лицензия не продаётся сразу на несколько 30-дневных периодов и не предназначена для перепродажи. MSSP должен постоянно сохранять право собственности и лицензию на все приобретённые лицензии IoT Security Assessment и быть их единственным пользователем.

983-1015

Комплект Keysight IoT Security для безопасности O-RAN с ПО ATI (бессрочная лицензия)

Комплексный комплект IoT Security для защиты O-RAN. Включает IoT Security Base Controller и модуль атак IP с одним годом обновлений ATI.

Рекомендуемые варианты заказа

Оценка безопасности устройства

Для заказчиков, которым требуется динамическая оценка безопасности устройств:

Анализ прошивки и формирование SBOM

Для заказчиков, которым требуются статический анализ прошивки и формирование SBOM:

Комплексная оценка безопасности - полная функциональность

Конфигурация объединяет динамическую оценку безопасности устройства и статический анализ прошивки: