8 passi per rendere i sistemi più sicuri

By Scott Penno

Oggi assistiamo all'ascesa dell'Internet delle cose o IoT, dove letteralmente miliardi di dispositivi sono sempre connessi a Internet e condividono le informazioni e i dati che raccolgono. Può trattarsi di dispositivi semplici come un termostato o una lampadina o di dispositivi più complessi come le telecamere a circuito chiuso e i cosiddetti bidoni intelligenti.

L'interconnessione e la capacità di condividere le informazioni possono portare un'intelligenza e un'efficienza inimmaginabili in passato. Oggi gli edifici possono ottimizzare le loro prestazioni per garantire che non solo soddisfino le esigenze degli occupanti in termini di comfort e sicurezza, ma anche che soddisfino i requisiti ambientali o legali obbligatori. E non è più necessario che il comune invii camion ogni giorno o più volte al giorno per svuotare i cassonetti della spazzatura, perché questi possono contenere più rifiuti (o riciclo) grazie a un compattatore integrato e, quando si stanno riempiendo, contattano il comune per avvisare che devono essere svuotati. Questi sono due semplici esempi di come la connessione e l'intelligenza contribuiscano a migliorare le prestazioni e l'efficienza.

C'è però un aspetto negativo in questo crescente livello di connessione e riguarda la sicurezza. Con l'esplosione di dispositivi interconnessi e la sensibilità di molti di essi, è necessario assicurarsi che questi dispositivi siano connessi con un elevato grado di sicurezza.

Per avere un esempio di cosa potrebbe andare storto quando i cattivi riescono a sfruttare gli exploit in un ambiente IoT, basta guardare il film Die Hard 4.0 con protagonista nientemeno che Bruce Willis. Anche se oggi è un po' datato, il film illustra cosa potrebbe accadere se gli aggressori riuscissero a prendere il controllo di edifici e infrastrutture critiche come i sistemi di controllo del traffico.

Sebbene questo film possa sembrare fantasioso nella sua rappresentazione di ciò che gli hacker potrebbero potenzialmente realizzare, è importante capire che la sicurezza si compone di una serie di contromisure per ridurre o attenuare sia la probabilità di un attacco che la sua gravità. Anche se può sembrare un'affermazione di buon senso, ci sono molte attività comuni o di routine per migliorare la sicurezza che non vengono ancora implementate. Vediamone alcune.

Cambia i nomi utente e le password predefinite. La maggior parte dei dispositivi, se non tutti, ha nomi utente e password predefiniti che possono essere facilmente trovati da chiunque utilizzando un motore di ricerca. Le password predefinite dovrebbero essere cambiate immediatamente e ancora meglio è cambiare, eliminare o disabilitare anche il nome utente predefinito.
Non condividere le password. Ogni utente di un sistema dovrebbe avere il proprio nome utente e la propria password. In questo modo, quando l'utente lascia l'azienda, il suo account può essere semplicemente disattivato o eliminato e non è necessario modificare i dettagli dell'account condiviso per tutti i sistemi a cui l'utente aveva accesso (cosa che in realtà non accade).
Usare un'autenticazione forte. L'uso di password forti, di lunghezza ragionevole, con una combinazione di lettere, numeri e caratteri speciali e che non includano parole del dizionario, garantisce che le password non possano essere facilmente compromesse. Meglio ancora è utilizzare certificati digitali con chiavi generate all'interno di un token o di un dispositivo che non solo garantisce un'autenticazione forte ma anche il non ripudio.
Utilizzare un'autenticazione centralizzata. L'utilizzo di un sistema di autenticazione centralizzato come Active Directory, RADIUS o LDAP semplifica il processo di gestione delle informazioni sugli utenti, in quanto è necessario amministrare un unico sistema anziché più sistemi.
Limitare l'accesso. L'accesso ai sistemi deve essere limitato al livello minimo necessario affinché l'utente possa svolgere le attività che gli competono. Inoltre, i firewall devono essere utilizzati per segregare e isolare i sistemi in modo che un problema o un attacco a un sistema abbia meno probabilità di avere un impatto sugli altri sistemi.
Integrare la ridondanza. La ridondanza deve essere integrata per garantire che il sistema continui a funzionare in caso di guasto o attacco. In molti casi, il costo della perdita di attività è di gran lunga superiore al costo aggiuntivo della ridondanza.
Non dimenticare la sicurezza fisica. La sicurezza è fatta di livelli e uno di questi è l'accesso fisico. Se un aggressore può ottenere l'accesso fisico a un sistema, il suo compito sarà più semplice, quindi assicurati che l'accesso fisico sia disponibile solo per chi ne ha bisogno.
Mantenere i backup. Di tanto in tanto le cose vanno storte. Quando ciò accade, è importante che tu abbia un backup off-line e conservato in un luogo fisico diverso.

Anche se questi passaggi possono sembrare semplici e di buon senso, oggi ci sono molti sistemi IoT in cui il livello di sicurezza in uso lascia molto a desiderare. Ci sono molti altri accorgimenti che possono essere implementati, ma assicurarsi che ognuno dei passi sopra descritti sia stato intrapreso contribuirà a migliorare la sicurezza dei sistemi oggi in uso.