M2M: ”Medvetenheten och säkerhetstänkandet är lågt”

Måns Nilsson

david

Machine to machine eller Internet of things är inte framtid – det är en verklighet som växer. Ju fler enheter och system som kopplas upp mot nätet och skickar information sinsemellan, desto fler blir fördelarna och möjligheterna. Men samtidigt växer riskerna.  Många företag har i princip oskyddade system och M2M/IOT-enheter, lätta för obehöriga att komma åt och påverka. David Lindblad är produktansvarig på Tele2 M2M Nordic. Han säger att många kunder inte är medvetna om de säkerhetsbrister som finns med uppkopplade M2M/IOT enheter.

– Hos större och erfarna aktörer finns en mognad, men bland nya eller mindre aktörer är medvetenheten och säkerhetstänkandet lågt. Möjligheten att spara pengar på bekostnad av säkerheten är frestande, säger David Lindblad.

Utmaningen för många företag är alltså att motivera kostnaden för att bygga och testa en lösning som fungerar smidigt och har en hög säkerhetsnivå. Det kan vara lockande att hoppa över den viktiga design- och testfasen, köpa billiga produkter från olika leverantörer och sätta ihop dem. Det leder oftast till lösningar med stora säkerhetsbrister och som inte är driftsäkra för varken kund eller operatör

– För Tele2 är utmaningen inom M2M/IOT att skydda våra övriga kunder från enheter som beter sig på ett onaturligt sätt. Vi måste hela tiden skydda oss mot olika typer av stressattacker som kan leda till att en eller flera basstationer går ned, och i värsta fall att vi får större driftstörningar i viktiga noder som kan påverka massor av kunder, säger David Lindblad.

Shodan, sökmotorn som hittar uppkopplade enheter (inte bara webbservrar) – ser du den som ett hot eller en möjlighet?

– Shodan visualiserar det vi talar om, alltså oskyddade enheter. Sökmotorn visar enheter som är oskyddade utifrån sökparametrar som stad, adress eller koordinater. Jag tycker inte att fokus ska ligga på att stänga ned sökmotorer som Shodan – det är bättre att fokusera på att utveckla säkra M2M/IOT-enheter som inte kommer upp på till exempel Shodan. Det kommer alltid finnas folk som kan hitta osäkra enheter, säger David Lindblad.

Många medier har nyligen rapporterat om stora säkerhetsbrister i olika företags system. Ser du några överdrifter i den här rapporteringen?

– Självklart så arbetar media med mycket duktiga tekniker som vet vilka vanliga säkerhetsbrister som finns i M2M/IOT-enheter. Majoriteten av befolkningen idag har inte kunskaper om detta, men ju mer vetskapen sprids om säkerhetsbrister på nätet desto viktigare blir det att bygga enheter med en bra säkerhetsnivå. Så min rekommendation är att ta dessa artiklar på allvar och se över säkerheten på alla mobila M2M/IOT-enheter.

 

 

Så skyddar du dig – en lägstanivå av säkerhet:

1.       Utveckla M2M/IOT-enheter som det inte går att koppla upp sig mot direkt från internet. Istället ska enheten koppla upp sig mot kundens server. Då förhindrar man att externa aktörer kan kommunicera med enheten direkt på internet.

2.       Ha en nätverkspolicy och följ den slaviskt (som Tele2:s Network Communication Policy)

3.       Skaffa en brandvägg som alla M2M/IOT-enheter kommunicerar mot.  All kommunikation till enheterna ska gå via brandväggen.

4.       David Lindblad: ”Att vi kan leverera ett Virtual Private Network (VPN) till kunden. Det kan antingen göras genom att vi sätter upp en IP-SEC tunnel mot kunden eller att vi installerar en fysisk access till kundens brandvägg.”

– Utöver detta så kan kunderna jobba med olika typer regler som larmar om enheten beter sig onormalt. Detta kan göras i moderna M2M/IOT-plattformar, t ex med hjälp av Tele2:s molnbaserade M2M-plattform Tele2 M2M Control Center. Med hjälp av den kan kunden lägga upp regler som säger att om M2M/IOT-enheten startar om sig för många gånger ska ett larm skickas till kunden. Samma sak om M2M/IOT-enheten har ett onaturligt trafikmönster – då ska den larma kunden, säger David Lindblad.