Llegamos a ustedes gracias a:



Reportajes y análisis

Seguridad en la IoT: Por qué preocuparse por los datos falsos

[27/05/2019] Los datos son la base de la Internet de las cosas (IoT, por sus siglas en inglés). Miles de millones de dispositivos alimentan terabytes de datos en sistemas que predicen fallas, controlan edificios y ciudades, e incluso conducen nuestros autos.

Para que las personas estén seguras en un mundo de cosas conectadas a Internet, debemos poder confiar en los datos que provienen de esos dispositivos. ¿Qué sucede si, entre los cientos de terabytes de datos que generan sus dispositivos de IoT, elementos malintencionados están inyectando información falsa para deshacerse de su negocio o causar daños físicos?

La seguridad de la IoT no se ha mantenido, se abren las puertas a las mentiras

Dependiendo de su analista preferido, la cantidad de dispositivos conectados en uso en los próximos años podría variar desde veinte mil millones a cien mil millones. Sin embargo, la seguridad de la IoT ha sido notoriamente deficiente y el malware de la IoT se está volviendo cada vez más sofisticado.

La botnet Mirai -conformada por decenas de miles de impresoras inseguras, cámaras IP, puertas residenciales y monitores para bebés- eliminó grandes franjas de Internet con un ataque de denegación de servicio distribuido (DDOS, por sus siglas en inglés). Ya sea que se centren en el robo de criptomonedas, el envío de malware o ataques DDOS puros, se están descubriendo nuevas variantes de malware enfocado en la IoT con una regularidad alarmante.

¿Qué sucede si, en lugar de simplemente tomar el control de los dispositivos, los atacantes intentan algo más insidioso y manipulan los datos recopilados de los dispositivos de la IoT? Gartner pronosticó que para el 2020, habrá un mercado negro que sobrepasará los cinco mil millones de dólares dedicado a la venta de datos falsos de sensores y videos para permitir la actividad criminal. "Un mercado negro de datos falsos o dañados de video y sensores significaría que los datos pueden verse comprometidos o sustituidos con datos inexactos o manipulados deliberadamente, afirma Ted Friedman, vicepresidente y analista distinguido de Gartner.

Friedman señala que un mercado dedicado a dichos datos aún no ha aparecido; otras firmas de seguridad con las que CSO se puso en contacto están de acuerdo, pero creen que Gartner fue "agresivo en su predicción como advertencia de peligro para los lectores.

Sin embargo, a pesar de que los delincuentes no muestran interés en el área, no significa que no haya una amenaza real. Los investigadores de seguridad están encontrando regularmente nuevas vulnerabilidades, fallas y debilidades en los dispositivos de la IoT -incluyendo ataques que involucran datos falsos o manipulados-, y al menos una instancia de un ataque de datos falsos ha ocurrido.

El daño que pueden generar los datos falsos de IoT

Los efectos del hombre en el medio (MitM, por sus siglas en inglés) o los ataques de inyección de datos falsos (FDI, por sus siglas en inglés) pueden variar tanto en tamaño como en alcance, dependiendo del dispositivo y la industria en la que operan esos dispositivos. En la industria de la salud, por ejemplo, los rastreadores de acondicionamiento físico podrían modificarse para cambiar las primas de los seguros. En el extremo más extremo, la modificación de los datos provenientes de los dispositivos conectados podría hacer que los pacientes reciban un tratamiento o dosis incorrectos. El año pasado, más de cuatrocientos mil marcapasos tuvieron que ser retirados para una actualización de firmware, debido a los temores de que los atacantes causaran un "ritmo inadecuado de la frecuencia cardíaca de los pacientes.

En la industria del petróleo y el gas, donde el mantenimiento predictivo se está convirtiendo en un caso de uso importante en torno a la IoT, la manipulación de sensores podría ocasionar costosas fallas en los equipos. En la fabricación, la manipulación de cualquier sensor involucrado en la automatización de procesos podría, por ejemplo, interferir con las líneas de montaje de ciclo reducido y causar embotellamientos, o arruinar todo lo que involucre una reacción química y potencialmente conducir a productos defectuosos.

Un estudio de IBM en la infraestructura de la ciudad inteligente descubrió que una serie de vulnerabilidades de día cero pueden tener implicaciones peligrosas. "Los atacantes podrían manipular las respuestas de los sensores de nivel de agua para informar sobre inundaciones en un área donde no hay ninguna: crear pánico, evacuaciones y desestabilización, afirmó Daniel Crowley, jefe de investigación de X-Force Red de IBM, en el informe.

"El control de sistemas adicionales podría permitir que un atacante active una serie de alarmas en el edificio, o desencadenar sonidos de disparos en los sensores de audio de la ciudad, lo que aumentaría el pánico. La manipulación de los datos de este sensor, en un contexto agrícola, podría provocar daños irreversibles en los cultivos, dirigidos a una granja específica o a una región entera.

Un ejemplo del mundo real de datos falsos de sensores involucró la suplantación de GPS en la industria naviera. El año pasado, más de veinte barcos en el Mar Negro sufrieron ataques a sus sistemas de GPS -normalmente con una precisión de unos pocos metros- mostrándoles veinticinco millas náuticas de su ubicación real.

En ejemplos menos catastróficos, los modelos de aprendizaje automático requieren enormes cantidades de datos para ser entrenados. Dadas las dificultades que tienen las empresas para eliminar el racismo y el sexismo de sus sistemas de aprendizaje automático cuando utilizan conjuntos de datos legítimos, los conjuntos de datos manipulados podrían causar aún más daño. Los investigadores ya están buscando formas en que los atacantes pueden afectar modelos de aprendizaje automático y redes neuronales, y la posibilidad de contaminar los datos incluso antes de que lleguen a los sistemas de aprendizaje automático podría ser algo muy efectivo.

En el futuro, a medida que las empresas desarrollen redes y comiencen a enviar datos de la IoT a redes de socios o creando flujos de datos públicos, garantizar que los datos se validen y sean confiables se vuelve aún más importante, ya que podría debilitar la confianza en su empresa. "A medida que hay más 'uso compartido', se abre la oportunidad de enviar datos falsos a las operaciones de otras entidades, afirma Friedman de Gartner. "Por esta razón, los controles de calidad en torno a los datos de los sensores se vuelven más importantes en el futuro.

Muchos vectores de ataque de la IoT difíciles de detectar

El rango de formas de modificar o contaminar los flujos de datos de la IoT significa que la superficie de ataque es grande. Atacar directamente a los sensores es el enfoque de menor capacidad de crecimiento, pero el más difícil de detectar y combatir; mientras que atacar a un almacén de datos centralizado es el objetivo de mayor valor y capacidad de crecimiento, pero el más difícil de generar daño y el más fácil de combatir. Entre eso, los atacantes podrían infiltrarse en el dispositivo y cambiar los datos que envía, agregar dispositivos falsificados a una red para enviar sus propios flujos de datos falsos, o apuntar a cualquier dispositivo de procesamiento de borde.

Yasser Shoukry, profesor asistente en la Universidad de Maryland, ha dado varias presentaciones buscando una forma diferente de atacar las redes de la IoT. "Los sensores son un punto muy débil dentro de todo el sistema, y pueden corromper la información o pueden agregar sensores adicionales que no existen en la red real, afirma. "Es un problema muy difícil. El problema es que no tenemos suficiente redundancia. Si no tiene suficiente redundancia, una vez que ataca esos pocos sensores, ha corrompido toda la información proveniente de ese sector de su red.

Los diferentes métodos de ataque que Shoukry ha investigado abarcan desde afectar el sistema de frenos automáticos de un automóvil mediante el uso de un actuador electromagnético e interferir con los giroscopios de los drones, hasta atacar los sistemas de vehículo a infraestructura (V2I, por sus siglas en inglés) falsificando el número de vehículos en la carretera y creando una congestión virtual con autos no presentes. "Puede crear un atasco de tráfico completo dentro de la infraestructura de la ciudad inteligente mediante la manipulación de la información sensorial, afirma.

También ha buscado formas de interferir con la red eléctrica. "La información del sensor se usa para estabilizar la red y, al corromper esa información, se puede desestabilizar toda la red y derrumbarla, afirma Shoukry.

Los sistemas de control industrial (ICS, por sus siglas en inglés) a menudo se encuentran con faltas de seguridad. Un estudio reciente de Trend Micro encontró miles de sistemas de energía y agua expuestos en línea. El malware TRITON apunta específicamente a los ICS, y está diseñado para modificar los controles de seguridad.

Detectar ataques directos a los sensores es casi imposible, y a menudo dejan poco registro digital de la manipulación. Por ejemplo, el año pasado, los investigadores de la Universidad de Michigan encontraron una forma de atacar los acelerómetros usando solo ondas de sonido. En una escala más grande, una encuesta realizada por Kaspersky encontró que casi la mitad de las compañías industriales afirman que no tendrían forma de detectar ataques en sus dispositivos con sistemas de control industrial (ICS).

"En este momento no hay estándares establecidos para la forma en que los sensores capturan datos. Simplemente los capturan y los envían, afirma Bharat Mistry, estratega principal de seguridad de Trend Micro. "Algunas proveedoras pueden hacer túneles con cifrado entre el sensor y el servidor de adquisición de datos, pero los datos en sí no están firmados digitalmente de ninguna manera, por lo que podría recopilar datos de un conjunto de sensores y decir que son de otro conjunto de sensores.

Dado el enorme volumen de datos, es improbable que un humano detecte cualquier manipulación de los datos a menos que cree un aumento grande e inesperado en las métricas, mientras que una máquina simplemente ingesta todo lo que ingresa. La naturaleza no estructurada de gran parte de los datos también puede hacer que la manipulación sea difícil de detectar. Atacar a múltiples sensores dentro de una red para hacer que todos reporten información similar puede hacer que se vean creíbles juntos, incluso si no están sincronizados con otros sensores.

"Es un problema muy difícil, especialmente cuando los datos atacados se juntan, afirma Shoukry. "A menos que pueda realizar una comprobación cruzada de diferentes combinaciones de sensores, es posible que no pueda encontrar un ataque de este tipo.

Si bien los ataques de disrupción de estilo nación-estado -como se vio durante el ataque a la red eléctrica de Ucrania en el 2015 o el ataque de Stuxnet en una instalación nuclear iraní- serían los más probables, Mistry afirma que existen posibilidades de ataques de extorsión. "Los delincuentes pueden incluir fácilmente el miedo, incertidumbre y duda (FUD, por sus siglas en inglés) en la ecuación, e indicar 'sus datos han sido corrompidos, pero no vamos a decirle qué ha cambiado. Pero si nos paga, le haremos saber qué ha cambiado y cómo'.

"Si los delincuentes comienzan a manipular los datos, pero no le indican a una organización lo que ha cambiado, entonces usted se encuentra en una situación de no saber qué hacer, afirma Mistry. "No se sabe cuánto tiempo se han corrompido los datos, qué datos se han manipulado, cuántos productos afectados deben ser devueltos. Puedo ver a muchas organizaciones pagando para averiguar qué datos, de qué sensores y a lo largo de qué línea de tiempo, especialmente si esos datos no pueden recuperarse.

Asegurar la Internet de las cosas

Si bien se conocen pocos ataques que involucran datos falsos de la IoT, no ha habido escasez de ataques normales que involucren cosas inseguras. Tanto los fabricantes de dispositivos, como las compañías que implementan dichos dispositivos, deberían buscar mejorar su seguridad de la IoT.

En el Reino Unido, la agencia de inteligencia Government Communications Headquarters (GCHQ) publicó el Código de Prácticas para la seguridad de la IoT del Consumidor, un documento no obligatorio que brinda orientación sobre cómo, entre otras cosas, no usar contraseñas predeterminadas, tener una política de divulgación de vulnerabilidades, actualizar regularmente e implementar un almacenamiento seguro y comunicación de datos mejoraría la seguridad del dispositivo. El estado de California está tratando de ir un paso más allá y legislar cómo debería ser la buena seguridad de la IoT.

Si bien la seguridad en el campo de la IoT del consumidor sigue faltando, parece que las empresas están comenzando a tomar los problemas más en serio. Una encuesta de 451 Research encontró que más de la mitad de las empresas que despliegan proyectos de la IoT clasificaron la seguridad como su prioridad número uno, y el Ponemon Global Encryption Trends Report del 2018 encontró que el 49% de las empresas están implementando cifrado parcial o extensiva de los datos de la IoT en los dispositivos IoT.

"Muchas empresas están preocupadas por los dispositivos, pero se olvidan de los servicios de adquisición de datos que los rodean, y de los repositorios donde se han agolpado los datos, afirma Mistry de Trend Micro. "Se necesita de verificaciones y balances para asegurarse de que los datos que está usando tengan a su alrededor esa autenticidad, así obtendrá un registro de auditoría desde el sensor hasta el punto de almacenamiento.

Los pasos preventivos para reducir la posibilidad de que los datos de la IoT contaminados ingresen a sus sistemas incluyen datos de encriptación, tanto en reposo como en tránsito, sellos de tiempo y hashing, y la creación de una firma digital para cada registro que se haya recopilado. Mistry afirma que deberíamos tratar nuestros datos de la IoT de manera similar a como manejamos los datos de salud o de pago altamente regulados.

Cuando se trata de detectar ataques, Mistry sugiere asegurarse de que tiene líneas de base bien establecidas para garantizar que cualquier cosa inusual sea más perceptible. Si es posible, contar con un modelo predictivo que se compara constantemente con los resultados reales puede alertarlo sobre discrepancias. "Debido a la ingesta masiva de datos, tendría que tener un poco de vigilancia. Necesita otro conjunto de algoritmos para observar los algoritmos de aprendizaje automático.