Avesta Hojjati
Não é segredo que as empresas de todos os setores estão adotando rapidamente as soluções de Internet das Coisas (IoT). Porém, em meio a todo esse exagero, é fácil esquecer que as tecnologias de IoT ainda não atingiram a maturidade. Na pressa para a adoção, muitos fabricantes e outros usuários não consideraram totalmente a segurança como parte de sua estratégia. Em ambientes IoT, a segurança não se trata apenas de proteger os dados, mas também abordar as vulnerabilidades que são inerentes a muitos dispositivos IoT.
Por exemplo, com bombas de infusão e outros dispositivos médicos, o foco frequentemente tem sido na funcionalidade primária do dispositivo, ao invés de segurança. Em uma casa ou escritório, os dispositivos inteligentes geralmente empregam proteção de segurança leve e barata que não é tão robusta quanto a segurança corporativa. Se um alto-falante ou aparelho inteligente estiver usando um nome de usuário ou senha padrão, ou se empregar um protocolo de autenticação fraco, um hacker pode sequestrar o dispositivo e usá-lo como um gateway para uma rede doméstica ou de pequena empresa. Esse tipo de risco é apenas a ponta do iceberg.
Em “All Things Considered: An Analysis of IoT Devices on Home Networks” (Kumar, Deepak, et al. 28º USENIX Security Symposium, 2019), uma análise empírica em grande escala revelou 83 milhões de dispositivos IoT em 16 milhões de lares em todo o mundo. Uma olhada nos perfis de segurança de eletrodomésticos, consoles de jogos, vigilância, wearables, assistentes de voz e outros dispositivos mostrou sérias preocupações de segurança. Muitos dispositivos usavam senhas fracas e credenciais administrativas padrão que frequentemente não eram alteradas pelos usuários.
Novas ameaças exigem uma nova abordagem de segurança
Apesar das crescentes preocupações com a segurança, a boa notícia é que os governos regionais e nacionais em todo o mundo estão introduzindo legislação para ajudar a mitigá-los. A nova lei SB-327 da Califórnia exige que os fabricantes eliminem as senhas padrão para os dispositivos, e o Reino Unido agora tem um esquema de certificação para rotular dispositivos compatíveis com um “padrão Secure By Design”, que pode ajudar os fabricantes a melhorar a segurança da marca como um diferencial competitivo.
Embora a regulamentação do governo seja um primeiro passo forte para melhorar a segurança, ainda há muito mais a ser feito à medida que adotamos as melhores práticas de segurança de IoT. A inteligência artificial (IA) e o aprendizado de máquina (ML) podem ajudar, permitindo-nos prever ameaças. Abordagens aprimoradas de IA (Figura 1) serão capazes de ir um passo além de detectar dispositivos comprometidos e aplicar técnicas de segurança baseadas no aprendizado para identificar proativamente os dispositivos que podem representar um risco.
A segurança IoT eficaz é baseada na identificação de padrões por meio da coleta de dados de uma variedade de dispositivos ao longo do tempo. Em ambientes de IoT maiores, como manufatura, um dos desafios mais significativos em ambientes de IoT é o volume de dados que está sendo gerado constantemente. Esses dados estão sempre mudando e é um desafio gerenciar com ferramentas analíticas tradicionais.
As técnicas impulsionadas por IA e ML podem fornecer suporte para diferentes métodos analíticos para detectar variações e anormalidades em dados de grande escala. Por exemplo, um algoritmo de ML devidamente treinado pode identificar um padrão de tráfego de dados suspeito e alertar proativamente uma equipe de TI ou segurança, sem a necessidade de intervenção humana. Concedido, haverá uma fase de treinamento durante a qual um indivíduo de TI precisaria rotular o tráfego malicioso em comparação ao tráfego normal.
A IA também pode ser usada para aumentar a segurança física de campi de negócios e outros ambientes. Por exemplo, ao coletar dados de sensores ambientais em um prédio, junto com dados de reconhecimento facial de câmeras conectadas, uma organização pode obter insights sobre se uma pessoa autorizada conseguiu entrar. Dito isso, a privacidade desempenha um grande fator nessa abordagem. Trabalhando juntos, os sistemas de vigilância e aplicativos de IA podem comparar imagens em tempo real a um banco de dados para controlar o acesso a áreas sensíveis.
Ficando um passo à frente dos cibercriminosos
Em última análise, compreender e interromper os ataques de IoT exige a coleta de grandes volumes de dados, analisando-os de perto para determinar qual atividade é maliciosa e empregando planejamento eficaz, implantação adequada e monitoramento completo. Novas tecnologias e vulnerabilidades estão em constante desenvolvimento, e AI e ML podem ajudar a identificar vulnerabilidades antes que sejam exploradas.
Avesta Hojjati é o chefe de P&D da DigiCert, onde gerencia o desenvolvimento avançado de produtos de segurança cibernética. Antes de ingressar na DigiCert, Hojjati fazia parte das equipes de segurança da Symantec e do Yahoo, além de operar sua própria startup de segurança cibernética. Ele se concentra em criptografia aplicada, blockchain, criptografia pós-quântica e segurança de IoT. Hojjati obteve seu diploma de mestre em ciência da computação com ênfase em segurança pela Universidade de Illinois em Urbana Champaign e recentemente concluiu sua tese de doutorado sobre aplicações de blockchain e IoT na manufatura.