IT-Risiken aus dem IoT durch Integration "nicht-klassischer" IT-Systeme

aus SecuPedia, der Plattform für Sicherheits-Informationen

Anzeige
Wechseln zu: Navigation, Suche
Quelle: NTT Security
Veröffentlicht von SecuPedia-Redaktion am 6. Dezember 2018.

Ismaning, 06.12.018 - NTT Security (Germany), ein auf Sicherheit spezialisiertes Unternehmen und "Security Center of Excellence" der NTT Group, warnt vor den Gefahren, die Unternehmensnetzen durch "nicht-klassische" IT-Systeme vor allem aus dem Internet der Dinge drohen: „Vor allem durch das Internet der Dinge (IoT) und die Integration zahlreicher Systeme, die nicht zur klassischen IT gehören, in die Unternehmensnetze sind neue potenzielle Angriffspunkte entstanden. Zentrales Problem dabei: Die meisten Anbieter solcher Systeme, beispielsweise Aufzugbauer oder Hersteller von Haustechnik, sind nicht in der IT-Sicherheitstechnik zuhause - dennoch sind ihre Anlagen und Systeme dafür höchst relevant.“

Es drohen in der Regel demnach zwei Gefahren: Zum einen können die jeweiligen Systeme selbst durch Angreifer gestört, beschädigt oder lahmgelegt werden; zum anderen können die Angreifer die betreffenden Systeme als Sprungbrett - "system hopping" - für das Eindringen in die Unternehmensnetze benutzen, warnt das IKT-Unternehmen.

Nach Auffassung von NTT Security sollten Unternehmen vor allem folgende Szenarien im Auge behalten:

  • Aufzüge als ein Beispiel für das Einsatzspektrum des IoT - „die dadurch mögliche Behebung von Störungen oder Fernwartung erhöhen die Effizienz der Anlagen beträchtlich. Dass Wartungsfirmen, die möglicherweise kein eigenes Sicherheitskonzept haben, damit einen meist nicht kontrollierten Zugang zur IT haben, ist den wenigsten klar.“
  • Moderne Klimaanlagen sind für Wartungszwecke häufig via Internet erreichbar - auf diese Weise biete sich nicht nur ein gefährlicher Zugang zum Unternehmensnetz; „Manipulationen an einer Klimaanlage - beispielsweise im Rechenzentrum - können verheerende Schäden durch Überhitzung oder Systemausfall verursachen.“

  • Brandmeldesysteme werden in Sicherheitskonzepten meist ebenfalls nicht berücksichtigt - „Manipulationen können Betriebsabläufe erheblich stören, beispielsweise durch Fehlalarme; sie können auch beträchtliche Schäden verursachen, etwa durch Aktivierung einer Sprinkleranlage.“

  • Zutrittskontrollsysteme sind oft in die IT-Infrastruktur integriert; damit werde ein Einfallstor geschaffen, über das sich Angreifer nicht nur unbefugten Zutritt, sondern auch Zugang zu den Unternehmensnetzen verschaffen können.
     

  • Stromversorgungvon ihr hängen mehr oder weniger alle Unternehmen ab. „Umso gravierender sind hier die Auswirkungen von erfolgreichen Angriffen; eine unterbrechungsfreie Stromversorgung (USV) oder Power-Management-Systeme werden in den meisten Fällen nicht als mögliche Angriffspunkte wahrgenommen.“
  • Entertainmentsysteme, wie etwa Fernsehgeräte im Konferenzraum werden in vielen Unternehmen betrieben. „Gängige Smart TVs verfügen über eine Verbindung ins Web, die leicht angegriffen werden kann; so können beispielsweise auch die Kameras von Smart TVs aus der Ferne aktiviert werden. Aber die wenigsten Unternehmen haben die Sicherung ihrer Fernsehgeräte auf dem Schirm.“
  • Geräte in Kantinen, wie etwa smarte Kaffeemaschinen, die teilweise über Displays für Awareness-Kampagnen oder allgemeine Firmennews verfügen. „Für die Fehlerbehebung oder zur Nachbestellung von Kaffee haben etliche Hersteller Remote-Zugänge zu den Maschinen; kontrolliert werden diese Zugänge jedoch in der Regel nicht. Da man sich zwar um die Verfügbarkeit der Kaffeemaschine kümmert, jedoch nicht um entsprechende Software-Updates und Sicherheitskonfigurationen, entsteht damit ein weiteres Einfallstor ins Unternehmensnetz.“

"Die IT-Sicherheitsphilosophie fokussiert traditionell auf IT-Systeme und -Netze", erklärt Christian Koch, Senior Manager GRC & IoT/OT bei NTT Security. "Das entspricht jedoch nicht mehr der aktuellen Gefahrenlage: Im Zeitalter des Internet der Dinge ist potenziell alles, was mit Strom betrieben wird, eine via Internet adressierbare Systemkomponente und damit automatisch auch ein mögliches Angriffsziel. Die Unternehmen müssen daher ihr Sichtfeld dringend erweitern und auch diese Risiken ins Auge fassen."

Kategorien E-Mail Service konfigurieren

  • Kriminalität mit IT-Bezug (Malware, Phishing, Identitätsdiebstahl, Cyber-Security)
  • Datenschutz / Datensicherheit

Benutzergruppe

  • Alle Benutzer


Anzeigen