Araştırmacılar Yeni Bir IoT Güvenlik Açığı Keşfetti

IBM’in bilgisayar korsanlarından oluşan ekibi X-Force Red, uzaktan yararlanılabilecek yeni bir IoT güvenlik açığı keşfetti. Thales ve X-Force Red, kullanıcıların durumdan haberdar olmalarını ve sistemlerini güvenli hale getirecek adımlar atmalarını sağlamak için birlikte çalışıyor.

Tüm dünyada kullanılan internet bağlantılı cihaz sayısının 2025 yılına kadar 55,9 milyara çıkacağı tahmin ediliyor. Bu cihazların birçoğu, fiziksel dünyayı etkileyen ve günlük hayatımızda bize yardımcı olan Endüstriyel Kontrol Sistemlerinin (ICS) parçalarını kapsıyor. Bu sistemleri kötüye kullanma potansiyeli siber suçluların dikkatini ise çoktan çekti. 2020 IBM X-Force Tehdit İstihbarat Index‘e göre, bu sistemlere karşı saldırılar 2018 yılından bu yana yaklaşık %2000 arttı.

Thales, bugün kullanılan milyarlarca akıllı cihazın internete bağlanmalarını, bilgileri güvenli bir şekilde depolamalarını sağlayan bileşenlerin önde gelen üreticilerinden biridir.  Bununla birlikte, Eylül 2019’da X-Force Red, son on yılda internete bağlı milyonlarca cihazda kullanılan Thales’in Cinterion EHS8 M2M modülünde bir güvenlik açığı keşfetti. Daha fazla testin ardından Thales, bu güvenlik açığının EHS8’in aynı ürün serisindeki diğer modülleri (BGS5, EHS5 / 6/8, PDS5 / 6/8, ELS61, ELS81, PLS62) etkileyerek bu güvenlik açığının olası etkisini daha da genişlettiğini doğruladı. Bu modüller, IoT cihazlarında mobil iletişimi sağlayan mini devre kartlarıdır.Daha da önemlisi, genellikle parolalar, şifreleme anahtarları ve sertifikalar gibi gizli bilgiler içeren Java kodunu depolar ve çalıştırırlar. Modüllerden çalınan bilgileri kullanarak, kötü niyetli kişiler potansiyel olarak bir cihazı kontrol edebilir veya yaygın saldırılar gerçekleştirmek için merkezi kontrol ağına erişimi bile elde edebilirler.

Araştırmacılar Yeni Bir IoT Güvenlik Açığı Keşfetti

Güvenlik Açığı Hakkında

EHS8 modülü ve hattındaki diğerleri, 3G / 4G ağları aracılığıyla bağlı cihazlar arasında güvenli iletişim sağlamak için tasarlanmıştır. Bu modülü, şirketlerin parolalar, kimlik bilgileri gibi bir dizi sırrı güvenli bir şekilde saklayabilecekleri güvenilir dijital kutuya eşdeğer olarak düşünebilirsiniz. Bu güvenlik açığı, saldırganların kurumsal sırları çalmasına izin vererek bu işlevi zayıflatır.

X-Force Red, dosyaları veya operasyonel kodu yetkisiz kullanıcılardan gizleyen güvenlik kontrollerini atlamanın bir yolunu ortaya çıkardı. Bu güvenlik açığı, saldırganların milyonlarca cihazı tehlikeye atmasına ve sağlayıcının arka uç ağına dönerek bu cihazları destekleyen ağlara veya VPN’lere erişmesine olanak sağlayabilir. Buna karşılık, fikri mülkiyet (IP), kimlik bilgileri, parolalar, şifreleme anahtarlarının tümü bir saldırgan tarafından kolayca elde edilebilir. Başka bir deyişle, modül tarafından saklanan gizli bilgiler artık gizli olmayabilir. 

X-Force Red Ne Öneriyor?

X-Force Red, riskleri azaltmak ve sorunu çözebilmek için aşağıdaki önerileri sunuyor:

  • Etkilenen modülleri kullanan cihaz üreticilerinin, Thales tarafından sağlanan kılavuzları takip etmesi ve mümkün olan en kısa sürede ürün yazılımı güncellemeleri sunması gerekir. Cihaz kullanıcılarının, modülün en son sürümünü kullandıklarından emin olurken bu güncellemeleri hemen yüklemeleri gerekir.
  • Cihazlarda hangi bilgilerin depolandığını ve başka bir yerde daha güvenli bir şekilde saklanıp saklanamayacağını tekrar düşünün.
  • Oturum açma kimlik bilgilerini yalnızca bir güvenlik katmanı olarak değerlendirin ve sıra dışı davranışları belirlemek için kullanıcıları ve cihazları analiz edin. Bu şekilde, bir siber suçlu bu kimlik bilgilerini çalsa bile, onları tanımlamaya ve durdurmaya yardımcı olacak mekanizmalar olacaktır.
  • IBM Security’nin IoT için X-Force Threat Management gibi, güvenlik ekiplerinin ortamlarını daha iyi anlamasına ve yönetilmeyen cihazlara yönelik tehditlere yanıt vermesine olanak tanıyan bir tehdit yönetimi hizmeti kullanın.
  • Şirketiniz ve cihazlarınız üzerinde, operasyonlarınızdaki güvenlik açıklarını belirleyip düzeltmenize yardımcı olacak düzenli sızma testleri yürütün. Kapsamlı bir şekilde kapsandığınızdan emin olmak için donanım ve yazılım testleri dahil olmak üzere geniş bir test hizmetleri yelpazesi sunan ekipleri arayın. X-Force Red, bu belirli güvenlik açığından ve diğerlerinden kaynaklanan riskinizi azaltmanıza yardımcı olabilecek donanım ve IoT testi sunar.

Kaynak: cyware.com

→diğer siber güvenlik haberleri için

En son haberler

İlgili haberler