Miesięcznik informatyków i menedżerów IT sektora publicznego

Tworzymy repozytorium danych o urządzeniach IoT

Projekt VARIoT jest pierwszym projektem służącym identyfikacji urządzeń internetu rzeczy podatnych na ataki przeprowadzonym na tak kompleksową skalę. Rozmowa z dr Anną Felkner, kierownikiem Zespołu Metod Bezpieczeństwa Informacji NASK, koordynatorem europejskiego projektu VARIoT – współfinansowanego przez Unię Europejską z Programu Connecting Europe Facility (CEF)

Naukowa i Akademicka Sieć Komputerowa – Państwowy Instytut Badawczy (NASK) jest koordynatorem projektu Vulnerability and Attack Repository for IoT (VARIoT). Głównym celem tego projektu jest stworzenie usługi, która będzie prezentować informacje dotyczące urządzeń internetu rzeczy (IoT). Proszę powiedzieć, jakie są główne zagrożenia związane z wykorzystaniem urządzeń IoT w odniesieniu do miejskich inteligentnych rozwiązań?

Idea smart cities opiera się na szerokim wykorzystywaniu tzw. inteligentnych przedmiotów. Proszę sobie wyobrazić, że ktoś niepowołany uruchomi jednocześnie wszystkie pralki w Warszawie – nie byłby to problem tylko jednego gospodarstwa domowego, ale też sieci elektrycznej, która nie udźwignęłaby takiego obciążenia. Coraz częściej używamy inteligentnych przedmiotów podczas monitorowania i analizowania natężenia ruchu w mieście w celu dostosowania zmiany świateł. Błąd w tego typu oprogramowaniu może przyczynić się do wypadków. Celowe lub nieumyślne użycie tych urządzeń IoT niezgodnie z ich przeznaczeniem może być bardzo niebezpieczne, a jest możliwe właśnie dzięki niewystarczającym zabezpieczeniom czy pojawianiu się nowych podatności. Celem projektu VARIoT jest przynajmniej częściowe rozwiązanie problemów dotyczących bezpieczeństwa sieci IoT.

Jak udostępnienie tych danych podniesie poziom bezpieczeństwa systemu urządzeń IoT?

Projekt VARIoT pełni dwojaką funkcję. Po pierwsze, ma zapewnić usługę wymiany informacji, które mogą być przydatne do przeciwdziałania zagrożeniom. Po drugie, udostępni informacje zebrane automatycznie z różnych źródeł publicznych, dzięki mechanizmom zaprojektowanym, utworzonym i wdrożonym podczas jego realizacji. Projekt stworzy nowy publiczny poziom świadomości bezpieczeństwa urządzeń IoT w Europie i na świecie, zarówno u producentów tych urządzeń, jak i ich odbiorców. Jest to szczególnie istotne, ponieważ wiele z tych urządzeń zostało zaprojektowanych z niewielkim lub żadnym poziomem bezpieczeństwa. Producenci kierują się przede wszystkim szybkimi harmonogramami wprowadzania produktów na rynek i próbują zmaksymalizować zyski poprzez zmniejszenie kosztów produkcji. Zmiana sposobu myślenia w tym obszarze doprowadziłaby do stopniowej poprawy krajobrazu zagrożeń i podatności w urządzeniach IoT, umożliwiając przedsiębiorstwom w UE i na całym świecie rozwój w bezpieczniejszym środowisku.

W jaki sposób będą pozyskiwane informacje dotyczące IoT?

Ujednolicona baza informacji o podatnościach i exploitach zostanie utworzona na podstawie informacji uzyskanych z wielu źródeł związanych nie tylko z urządzeniami IoT. Na chwilę obecną zostało zidentyfikowanych ponad 100 takich źródeł. Pracujemy nad narzędziami, które pozwolą pobierać i aktualizować te informacje w sposób automatyczny. W ramach projektu będą gromadzone także inne typy użytecznych informacji (ang. actionable information). One również dostarczą wiedzy m.in. na temat podatności, exploitów, a także wskaźników kompromitacji (IoC – Indicators of Compromise) oraz zdarzeń i incydentów bezpieczeństwa związanych ze światem IoT.

Kto i w jaki sposób będzie mógł korzystać z tych danych?

Według mojej wiedzy projekt VARIoT jest pierwszym projektem identyfikacji urządzeń IoT podatnych na ataki przeprowadzonym na tak kompleksową skalę. W ramach projektu większość zebranych danych zostanie udostępniona publicznie bez żadnych kosztów. Będą mogły z nich korzystać zarówno indywidualne osoby, jak i wszelkiego rodzaju instytucje. Pozyskane i odpowiednio wyselekcjonowane dane zostaną udostępnione za pośrednictwem Europejskiego Portalu Danych (EDP), a także innych interfejsów, takich jak platforma wymiany informacji o złośliwym oprogramowaniu (MISP) oraz sieć dystrybucji organizacji Shadowserver – za jej pomocą dane te będą raportowane do krajowych zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) i zweryfikowanych właścicieli sieci.

[...]

Rozmawiała: Katarzyna Wiszniewska

Pełna treść artykułu jest dostępna w papierowym wydaniu pisma. Zapraszamy do składania zamówień na prenumeratę i numery archiwalne.
 
 

Polecamy

Biblioteka Informacja Publiczna

Specjalistyczne publikacje książkowe dla pracowników administracji publicznej

więcej