La vulnerabilidad de Internet de las Cosas (IoT), un riesgo para las empresas

Edgar Vásquez Cruz, Intel Security

La reducción del tamaño de los componentes electrónicos y la disminución de sus precios han permitido, gradualmente, añadir características inteligentes a las máquinas y conectarlas a Internet, desde aquellas usadas para enfriar el aire en las casas u oficinas hasta las que permiten el funcionamiento de grandes trenes.

A este cambio tecnológico se le denomina comúnmente Internet de las Cosas (IoT), lo que junto a Big Data, Ciudadano Inteligente, computación en la nube y Seguridad es una de las cinco grandes tendencias en TI.

Y es precisamente gracias al IoT que hoy podemos cuidar de mejor forma nuestra salud utilizando un weareable, es decir, un dispositivo que recopile información sobre nuestra presión arterial y los pasos que hemos dado en un día; podemos conocer la relación entre el consumo de combustible de nuestro auto y los kilómetros recorridos en cada ocasión para calcular las mejores opciones con el objetivo de contaminar menos y ahorrar más; también podemos usar drones para capturar información que permita a las compañías constructoras elegir el mejor sitio para edificar o a las autoridades para saber si se cumple con el reglamento de construcción.

Para lograr esto, es necesario agregar a cada una de las máquinas: sensores, una Unidad Central de Procesos (CPU) y una conexión a Internet, a partir de lo cual además de existir en el mundo físico el equipo también tendrá presencia en la web con su propia dirección IP y las vulnerabilidades a las amenazas informáticas que tienen cualquier otra máquina.

Las estimaciones del número de “cosas” conectadas a Internet en el futuro varían; sin embargo, se calculan que serán entre 26 mil y 212 mil millones de unidades conectadas al IoT en 2020.

Riesgos del IoT, una amenaza oculta

Todos los desarrollos que se realizan en el Internet de las Cosas (IoT) pueden agruparse en dos grupos de acuerdo con sus funciones: o son dispositivos que recogen información mediante sensores del ambiente en el que se encuentran para transmitirla de manera constante o bien reciben instrucciones vía Internet y realizan alguna actividad en el sitio donde estén ubicados, aunque también de manera viable pueden realizar ambas funciones.

En cualquiera de los casos existen dos puntos que deberían preocuparnos: la privacidad y la seguridad. En el primer punto se trata de preguntarnos ¿quién puede tener acceso a los datos recolectados por cualquier dispositivo y para qué?; mientras que en el segundo, la interrogación es ¿quién podría decirle qué hacer?, por ejemplo en lo referente a las funcionalidades de un ferrocarril o una central atómica.

Ataques en el IoT, ¿qué tanto sabemos?

Entre las amenazas más probables contra los dispositivos conectados al IoT figuran los códigos llamados zero-day, los cuales tienen la capacidad de aprovechar las vulnerabilidades existentes en los nuevos programas o plataformas creadas por los fabricantes de dispositivos, quienes usualmente no prevén los riesgos. Un claro ejemplo son las televisiones inteligentes, las cuales son capaces de transmitir las conversaciones de los usuarios por el mismo micrófono por el que reciben instrucciones.

Asimismo, otra área de riesgo la constituyen los dispositivos médicos, los que conectados en red poco a poco se vuelven parte del tejido del Internet de las Cosas. Estos accesorios son aquellos que pueden llevarse puestos, que pueden ingerirse de manera temporal o que incluso pueden introducirse en el cuerpo humano para curar ciertas enfermedades o proporcionar medicamentos. Ante este escenario, Intel Security publicó La Internet de las Cosas en la atención sanitaria: oportunidades y riesgos, un resumen del informe The healthcare Internet of things rewards and risks en el que se hace un interesante análisis sobre si ocurrieran fallos de gran impacto en tales accesorios, la sociedad sin duda alguna opondría resistencia para su utilización, lo que –remarca el documento- retrasaría su despliegue en años o décadas.

Por Edgar Vásquez Cruz, Intel Security

Tomado de: Diario TI

Aumenta popularidad de IoT y WordPress para ataques DDoS

Ataques DDoS. Imagen tomada de: Vanguardia.com

Kaspersky Lab ha hecho público su Informe de Inteligencia DDOS del Q4 de 2015, un período que se caracteriza por la reducción del número de países hacia los que se dirigen los ataques, así como por los nuevos canales de ataque utilizados por los ciberdelincuentes. 

Se lanzaron ataques DDoS a blancos ubicados en 69 países del mundo (10 menos que en el Q3). Al igual que en el trimestre anterior, la gran mayoría de los ataques (94,9%) se llevaron a cabo en sólo 10 países, manteniéndose China, Corea del Sur y los EE.UU. en el top 3 de los países más afectados.

El ataque DDoS más largo duró 371 horas (el equivalente a 15,5 días) – lo que supone un récord del año 2015. La popularidad de las bots de Linux también continuó creciendo – de 45,6% a 54,8% de todos los ataques DDoS registrados en el Q4 de 2015.

Asimismo, los sucesos del trimestre demuestran que los cibercriminales que organizan ataques DDoS no sólo utilizan las botnets clásicas, formadas por equipos de trabajo y PC personales, sino que también usan todos los recursos que tengan vulnerabilidades (aplicaciones web, servidores y dispositivos del Internet de las Cosas). Junto con los nuevos vectores que representan los ataques DDoS “reflejados”, en un futuro próximo veremos un nuevo aumento de su potencia, así como la aparición de redes de bots compuestas por nuevos tipos de dispositivos vulnerables.

Destaca el creciente número de botnets formadas por dispositivos “Internet de las cosas”. En octubre de 2015, los expertos registraron un gran número de solicitudes HTTP (hasta 20.000 solicitudes por segundo) cuyo origen eran cámaras de vigilancia. Los analistas identificaron alrededor de 900 cámaras en todo el mundo que formaban parte de una botnet y se utilizaron para lanzar ataques DDoS. .

Los analistas de Kaspersky Lab detectaron también un nuevo tipo de ataque a los recursos web del sistema de gestión de contenidos de WordPress (CMS). La potencia de uno de esos ataques DDoS ascendió a 400 Mbit/s y duró 10 horas. Los ciberatacantes utilizaron una aplicación web comprometida sobre WordPress, así como una conexión HTTPS cifrada para impedir cualquier filtrado de tráfico.

“A pesar de que el número de recursos atacados ha descendido, observamos que la complejidad y el poder de los ataques DDoS no han disminuido con el tiempo. Por desgracia, los DDoS siguen siendo una herramienta efectiva y asequible para el cibercrimen ya que hay vulnerabilidades de software que se puede utilizan para penetrar en los servidores. También hay usuarios que no protegen sus dispositivos, lo que aumenta las posibilidades de que se infecten por bots. Por nuestra parte, estamos comprometidos a proporcionar a las empresas información sobre la amenaza DDoS, porque pueden y deben ser combatidas”, comenta Evgeny Vigovsky, jefe Protección DDoS, Kaspersky Lab.

Para ver mayor información sobre el informe de clic aquí. 

Tomado de: Diario TI

Gartner anuncia era post-móvil y post-app

Internet de las cosas. Imagen tomada de: cdnnet.kalooga.com

Aunque no se trata de una lista clasificada en orden de importancia, el primer lugar corresponde indudablemente a lo que Gartner denomina “device mesh”, o “malla de dispositivos”. Con ello, la empresa se refiere al volumen cada vez mayor de endpoints utilizados por las personas, ya sea con el fin de tener acceso a aplicaciones o información, o para interactuar con otras personas, redes sociales, gobiernos y organizaciones.

Como ejemplo de tales endpoints, Gartner va más allá del smartphone tradicional e incluye tecnología vestible, dispositivos para consumidores y hogares, unidades autopropulsadas y los sensores de Internet de las Cosas.

A juicio de la empresa, este conjunto de elementos constituye el mundo post-móvil, donde el enfoque ha sido trasladado hacia el usuario móvil, rodeado por las redes completas de distintos dispositivos que interactúan y cooperan entre sí, incrementando su valor agregado total o dando forma a una experiencia más integral para el usuario.

Otra tendencia a la que Gartner asigna gran importancia para 2016 y en los años siguientes, es la experiencia del usuario respecto de su entorno, misma que fluye de forma aerodinámica entre las unidades y los distintos “canales” de interacción, que utilizan y fusionan entornos físicos, virtuales y electrónicos cuando el usuario se traslada de un lugar a otro.

Aprendizaje automático

Gartner asigna gran importancia al aprendizaje automático y las a redes neurales que hacen posible crear sistemas que pueden por cuenta propia percibir el entorno. Esto ha hecho posible definir algunas máquinas actuales como “inteligentes”. Según Gartner, este ámbito experimenta actualmente un intenso desarrollo, por lo que conviene a las empresas definirse ante él, con el fin de aprovecharlo como ventaja competitiva.

Dispositivos inteligentes

A juicio de Gartner, los avances en aprendizaje automático resultarán en la creación de un gran número de dispositivos, que incluirán robots, vehículos autónomos y asistentes personales virtuales que en mayor o menor grado, actuarán con autonomía.

La edad post-app

A juicio de Gartner, durante los próximos cinco años el mundo entrará en un período post app, donde las versiones futuras de Siri, Cortana y Google Now podrán ofrecer interfaces y procedimientos más dinámicos y contextuales, que permitirán a las personas disponer de más tiempo que dedicar a actividades propias de los humanos. Con todo, Gartner precisa que tales sistemas se encuentran actualmente en una etapa rudimentaria, por lo que en los próximos 20 años se verá su verdadera capacidad.

Impresoras 3D

Recientemente, algunas fuentes han considerado que la impresión 3D es “un fenómeno de moda” que desaparecerá con el paso del tiempo. Gartner no se alinea con tal percepción. A su juicio, hasta 2019 se verá un crecimiento anual medio del 64,1% en las entregas de material impreso en 3D por parte de empresas, lo que requerirá innovación en las líneas de producción y cadenas de suministro, que permitan aprovechar la tendencia.

Información en todas las cosas

“Todo lo que se encuentra en la red produce, utiliza y transfiere información”, escribe Gartner al plantear su concepto de “Information of Everything”, o “información de todo”, según el cual será posible utilizar información que anteriormente ha estado aislada, incompleta, ininteligible o no disponible, junto con ser posible darle sentido y provecho mediante técnicas de clasificación de datos y análisis.

El informe completo está disponible en el sitio de Gartner.

Tomado de: Diario TI

Con IoT, los usuarios finales se están convirtiendo en el objetivo de los ciberdelincuentes

Neil Campbell, Responsable General de Seguridad de Dimension Data

Fiat Chrysler Automobile (FCA) anunció que querría actualizar 1,4 millones de vehículos en los Estados Unidos para instalar un software que pudiera prevenir que hackers obtengan el control del vehículo remotamente, incluyendo volante y otros sistemas de los coches. La brecha de seguridad permitió a los hackers tomar el control de los sistemas de Chrysler, y fueron capaces de tomar el control de un Jeep.

Este hack indica dos cosas. En primer lugar, Internet of Things (IoT) o el Internet de las Cosas va a crear – y de hecho ya ha creado – más oportunidades para que los hackers invadan tanto la privacidad como, en casos como éste, aumenten el riesgo de daño de objetivos ‘blandos’, como en la reputación y en los ingresos, a acciones que pongan en riesgo incluso la vida. En segundo lugar, muchas industrias bien establecidas, que aún no han tenido que lidiar con la seguridad de TI para evitar serias amenazas, adoptarán masivamente procesos, servicios y tecnologías de seguridad.

Vamos a ver muchos más ejemplos como el incidente de Jeep, pues estas industrias están siendo inspeccionadas tanto por la comunidad de investigación de seguridad TI, como por la comunidad de ciber-delincuencia.

Con la tendencia de IoT impulsando innovación y conectividad dentro de su gama de productos o servicios, las industrias que están moviéndose hacia este tipo de exposiciones por primera vez, tendrán que involucrarse más estrechamente con proveedores de servicios de seguridad que ayuden a afrontar estos nuevos riesgos que tienen entre manos.

Lo que es más interesante es que estamos viendo a los usuarios finales convertirse en objetivos populares de la ciber-delincuencia. Esto es porque los trabajadores están, cada vez más, acostumbrados a tener acceso en tiempo real a datos de la empresa, y como resultado también se vuelven objetivos de los delincuentes que pueden así acceder a todo lo que su víctima tiene acceso, incluso tomar el control de la identidad de la persona.

Las organizaciones deben monitorizar continuamente su infraestructura de TI y la industria de Seguridad de TI – no sólo por las amenazas, sino por los nuevos enfoques para la gestión de estas amenazas. Además, las organizaciones han de reconocer que las personas pueden ser tanto el eslabón más fuerte como el más débil cuando se trata de seguridad.

Por Neil Campbell, Responsable General de Seguridad de Dimension Data

Tomado de: Diario TI

Alianza lanza programa para asegurar Internet de las Cosas

Internet de las cosas. Imagen tomada de: cdnnet.kalooga.com

En su forma actual, el desarrollo de dispositivos para Internet de las Cosas implica que los desarrolladores no sólo deben preocuparse por el software, el dispositivo y la aplicación, sino también por la seguridad de los datos, lo que según la organización Online Trust Alliance constituye una preocupación innecesaria. Para tal efecto, OTA ha lanzado un programa marco de confiabilidad de IoT (documento PDF de 5 páginas).

Craig Spiezle, director ejecutivo y presidente de OTA declaró: “Es algo que la industria necesita; los desarrolladores necesitan esta guía prescriptiva. Los minoristas necesitan entender donde poner la atención, y los consumidores necesitan orientación sobre qué cosas deben tener presente al comprar un dispositivo IoT”.

El programa marco ha sido diseñado para asistir a los fabricantes, desarrolladores y minoristas del sector IoT con el fin de reducir el nivel de exposición ante ataques y vulnerabilidades de los dispositivos IoT, como asimismo fomentar mejores prácticas en el sector.

Según Spiezle, la organización tiene presente que el software está expuesto a vulnerabilidades, presentes y futuras, y que “lo que ahora constituye una característica, mañana puede convertirse en una amenaza”. En tal sentido, dijo que el primer paso es reconocer la situación, y el segundo es preguntarse cómo actualizar el sistema y cómo notificar al consumidor que su dispositivo está fallando o contiene una vulnerabilidad.

El director ejecutivo de OTA indicó que el programa marco incluye recomendaciones sobre prácticas adecuadas, incluyendo políticas de privacidad “inteligibles y disponibles”, cifrado de todos los datos personales identificables, divulgación de políticas de recolección de datos antes de la compra del dispositivo, como asimismo el compromiso de informar al usuario si éste tendrá la posibilidad de borrar sus datos del sistema, o hacerlos anónimos.

Aparte de sus mejores prácticas, OTA proporcionará herramientas y metodologías para asistir a los desarrolladores, junto con diseñar un código de conducta y un programa de certificación.

En su sitio, la organización sugiere a los usuarios aportar comentarios para el marco propuesto, antes del 14 de septiembre. OTA indica que es muy posible que el programa tenga carencias, pero que se ha buscado el pragmatismo sobre lo que es posible implementar a corto plazo. “En su forma actual, el programa debería ser un marco que permita a los desarrolladores orientar su trabajo, pero indudablemente valoramos sus comentarios y opiniones sobre nuevos elementos que consideren necesario incorporara al proyecto”.

Tomado de: DiarioTI