>> IO Corporativo - ¿qué deben hacer los fabricantes y los clientes? IO corporativa - ¿qué deben hacer los fabricantes y clientes? ¿Qué significa la IO corporativa, y qué es lo que tiene que hacer al respecto? Este compartir, Tiempo, // 02.18.2016 estimado leer ~ 3 Minutos La Internet de las cosas está en todas partes. Por desgracia, la seguridad no viene con él. La forma en la IO se establecen en su mayor momento, hace que la seguridad muy difícil de lograr. La falta de atención a la seguridad es realmente alucinante. Sin embargo, sería fácil asegurar la infraestructura actual mucho mejor. sistemas de aislar es bastante fácil, pero una supervisión adecuada para atrapar el mal comportamiento del sistema se pide. Todo el mundo debería aprender de las telecomunicaciones y otras industrias que suelen tener las cosas bajo control en su mayor parte. Para hacer eso, la seguridad debe ser parte de los requisitos básicos en la construcción de nuevos sistemas. ¿Por qué es entonces tan duro para lograr la seguridad en la IO? Jarno Niemelä de F-Secure laboratorios explica: Una de las razones fundamentales es quela construcción de los dispositivos de la IO es tan barato. Y se hace en gran parte por la creación de empresas que necesitan sacar el producto al mercado rápido y no tienen competencia en materia de seguridad. Incluso con las grandes empresas, la seguridad no es realmente una competencia central o prioridad en el diseño de nuevos productos. Esto es evidente por ejemplo en el caso de la. Cuando se trata de la IO industrial, el panorama se complica aún más. IO es una tendencia creciente en la automatización industrial, y que está impulsado principalmente por el deseo de reducir los costos - después de todo, los ordenadores son más baratos que los controladores dedicados y controladores IO son más baratos que los PC todavía. La comunicación a través de Internet es también una solución rentable. Ya existen varios ejemplos de la vida real de las pesadillas de seguridad industrial de la IO. ¿Por qué es la infraestructura crítica en tan mal estado? Jarno sigue: Todo se reduce a dinero - la seguridad es cara. A menudo, el cliente no incluye requisitos de seguridad en su solicitud de propuesta, y, con el fin de ganar el contrato, el proveedor tendrá en cuentatoda la seguridad. Otro punto es la forma en que los sistemas de control se construyen. El tiempo de actividad es el criterio principal, y cualquier cosa, como la seguridad, que podrían comprometer el tiempo de actividad, es visto como un inhibidor. La gente de seguridad también no siempre entienden las infraestructuras críticas como estas son a menudo hecha a la medida y complejo. Aquí está una lista de Jarno en lo que los fabricantes de la IO deben hacer: actualizaciones seguras de actualizaciones OTA sesión y verificar los paquetes de actualización Utilice TLS para todas las comunicaciones Pin de certificados raíz de establecer contraseñas predeterminadas aleatorias Es preferible utilizar la autenticación de dos factores con teléfono o PC de software utilizan certificados y la criptografía de clave pública Cerrar todos los servicios que no son necesarios SSH pueden ser necesarios para el desarrollo, no en la liberación de construcción Siga el estado de seguridad de todas las bibliotecas 3 ª parte, no importa si la vulnerabilidad se encuentra en su código o biblioteca Además, es importante para aislar cada componente de la otra. ¿Qué pasa con el cliente IO entonces? ¿Hay algo que debe hacer en caso de que seutilizando la IO comprado a proveedores de la IO? Auditoría todos los dispositivos que usted tiene en uso al menos ejecutar un nmap sobre todas las interfaces Si un dispositivo es un cliente, no debe tener puertos abiertos presionar a los fabricantes a mejorar la seguridad Si encuentra algo, reportarlo Si alguien informa de algo, póngase en contacto con el Si el proveedor del proveedor emite actualizaciones, instalarlos lo que es común con un PC, el router y copiadora? Todos ellos deben tener los parches instalados Incluso para el cliente, el aislamiento de los dispositivos IO es una buena práctica en la protección de la automatización de la IO e industrial, ya que la mayoría de fabricación ataques cibernéticos se realizan sobre las empresas de TI. Por ejemplo, comenzó como un ataque de correo electrónico, y continuó como movimiento lateral al horno. El ataque infame en la red eléctrica de Ucrania también comenzó a partir de un ataque a la red de la oficina y continuó adicionalmente a la infraestructura crítica. Incluso hoy en día, el vector más probable para un ataque es una red corporativa comprometida. Por lo tanto, asegúrese de que la red corporativa esresistente a ataques. Puede encontrar instrucciones sobre la seguridad de su red desde nuestro seminario de seguridad cibernética "". La entrada en el blog se basa en una presentación Jarno dio a la República Checa. Salida del material de presentación en su conjunto Compartir este artículo relacionada ← Categoría:,
Deja una Respuesta
