Az IP kommunikáció meghekkelhető! Az IP biztonságtechnika IT biztonsági kihívásai


Az út persze az integráció és az IP, de egyre fokozódó kockázatok mellett. Idézet: „Az integrált IP a legkiterjedtebb botnet hálózat Európában, reális fenyegetés”, „Az IoT keretében 2020-ra világszerte 50 milliárd eszköz kerül fel az internetre integrált felhasználással”.
Az IP kommunikáció meghekkelhető! Az IP biztonságtechnika IT biztonsági kihívásai
Az idei Biztonságpiac Konferencia egyik érdekes témája a biztonságtechnikai trendek, a szakmát foglalkoztató legfajsúlyosabb kérdések, a magánbiztonság és a biztonságtechnika erősödő kapcsolatának áttekintése volt pódiumbeszélgetés formájában a szakma reprezentánsainak közreműködésével (dr.Fialka György – MBVE, Bárány Attila Bosch, Tóth Levente – NKE –RTK, Pásztor Tamás – EXTRICO, Pelyák Norbert – Axis, Mádi-Nádor Anett – Cyber Services Zrt).
Néhány kérdés köré sűrítve az elhangzottakat.

A megrendelői oldal elvárásai.

 A megrendelés komplexitása, az egyes megoldások integrációja, a vezérlés és kommunikáció lehetősége, ide értve a távoli elérést is, az üzembiztonság, valamint a technikákat érintően a megbízható szervizelés és alkatrész utánpótlás garantálása.

A hosszú távú biztonságos működtetés kiemelt szempont kell legyen.

Európai minősítéssel rendelkező kamerákat célszerű a nagyobb (pl. önkormányzati térfigyelési) projektek kapcsán beszerezni és figyelni a rendszer fejleszthetőségére, szervizelhetőségére. (Ez pl. jelenleg a régebbi telepítésű térfigyelő rendszerek esetében súlyos probléma) stb. Átgondolt tervezésű projektek kellenek. „Végül is a rendszer olyan lesz, mint a leggyengébb láncszeme”

Adatvédelemi szempontok újragondolása.

 A kamerák kihelyezése, működtetése szempontjából célszerű a rendkívül szigorú adatvédelmi szabályozás szelektív átgondolása, mert nem ritka, hogy a „kád vízzel a gyereket is kiöntjük” (pl. a Teréz körúti robbantást megfigyelő kamera egy üzlet kültéri kamerája volt).

Biztonságtechnikai adatforgalom az interneten.

Míg 10-15 évvel ezelőtt a rendszerek túlnyomóan zártláncúak voltak, ma a távoli megfigyelés, vezérlés, kommunikáció a döntő igény (lásd: feljebb), és nemcsak CCTV vonalon, de beléptetés- behatolás technikában is, ennek okán az online megoldások dominálják a piacot exponenciális tempójú növekedést mutatva. Számos szolgáltatás (köztük sok kényelmi) mobil telefonokra „ültetve”. Közismerten az IoT forradalmát éljük, ahol az eszközök egymással is akár kommunikálni képesek. 2020-ra várhatóan 50 milliárd eszköz lesz az internetre kapcsolva, megkönnyítve   hétköznapjainkat.

Szolgáltatói kínálat az igényekre.

 A szakma elé kell menjen az igényeknek. A CCTV hálózatokba kötött kamerák egyre több intelligens funkciót tudnak (rendszám felismerés, forgalom figyelés, ember számlálás, otthagyott tárgy érzékelés stb.), egyúttal terjed a mobil elérés- vezérlés lehetősége is.  Számos szolgáltatás kerül telepítésre a felhőbe. Egyre nagyobb teret hódítanak a fentebb említett integrált IP megoldások (CCTV-behat.-beléptetés-tűzjelzés).

Integrált IP megoldások kockázatai.

Eddig –mondhatnók- a csupa jó hír, de most jön a „feketeleves”, ti. mi magunk sem gondoltuk, a beszélgetés legalább 2/3-át aztán az IT biztonsági problémák felvetése és áttekintése uralta. Hát van gond rendesen, nézzük.
Az IP kommunikáció meghekkelhető! Az IP biztonságtechnika IT biztonsági kihívásai

  1. A legújabb felmérések szerint (Symantec, Sisco, Kaspersky) az integrált IP megoldások a legkiterjedtebb botnet hálózatok Európában, a malware fertőzések szempontjából a legveszélyeztetettebbek. Magyarország pedig napjainkban ebben a vonatkozásban Európa élvonalában „menetel”
  2.  Nincs 100%-os biztonság, csak idő és szándék kérdése, hogy a rendszerünket feltörjék.  Támadás tehát mindenképpen lesz, de az incidenseket tudni kell kezelni. Erre komoly IT biztonsági szolgáltatói ágazat épül. Tűzfalakat, védelmi szinteket és protokollokat kell kiépíteni. A hekkelési és elhárítási költségek nagyságrendje nem összevethető 100 dollárba kerülő-  már komoly kárt okozó – támadás elhárítási költsége 1000 dolláros nagyságrend.
  3. Át kell gondolni az integráció mértékét is. A magánbiztonság területén célszerű talán csak azokat rendszereket integrált IP-ben üzemeltetni, amelyek villámgyorsan tudják elősegíteni az élőerős beavatkozás sikerét. Azaz nem kell feltétlenül valamennyi rendszert összeintegrálni és ne menjen minden adat a felhőbe. Tudomásul kell venni, hogy a kényelem és biztonság egymással gyakorta fordított arányosságban álló fogalmak.
  4. Komoly problémát jelent az elsődleges jelszavak megváltoztatásának a szükséglete. Amennyiben erre nem jut kellő figyelem, hatványozottan leszünk kitéve támadásoknak. A back door típusú elérések rendkívül elterjedtek, aminek az eredménye, hogy bárki hozzáférhet a kameraképekhez. Ismert olyan weboldal ma is, ahol legalább 120 kamera élő képe minden további nélkül hozzáférhető. Van olyan kínai gyártó amelyik – egyébként nem feltétlen rossz szándékból, hanem a szervizelés könnyítése céljával – alapba is beteszi a back door hozzáférést. Más kérdés aztán, hogy pl. a kritikus infrastruktúrák védelme vonatkozásába a hozzáféréseket korlátozó privacy újra szabályozása indokolt és megkerülhetetlen (terror fenyegetettség).
  5. Nagyobb biztonságot nyújtanak azok a gyártók, akik folyamatos innovációval fejlesztik a technikát, egyúttal megfelelő szintű védelmet is építenek az eszközökbe.
  6. A végponti eszközök védelmére valamennyi tudatos figyelem jut, de az adatok a felhőbe kerülnek, így kitettek a támadásoknak, azaz az IP kommunikáció meghekkelhető, ezért egyre lényegesebb az adatbiztonság kérdése is. A felhő technológiák biztonsági szintjének az emelése halaszthatatlan, de komoly kihívás a szakma előtt.
  7.  Az információátvitel biztonságát a rendszerekkel együtt kell tervezni. Sok átvitel megbízhatósági és biztonsági probléma merül fel az illesztéseknél csatlakozásoknál, kódolásoknál, a csatornavédelem vonatkozásában is.
  8. A felelősségi köröket érintően az IP biztonsági rendszerek IT biztonsági vonatkozásaiban a gyártónak és telepítőnek döntő mértékű a felelőssége a tájékoztatástól egészen az elhárításig terjedő vertikumban. A felelősség a kellő ismeretek hiányába a felhasználóra nem hárítható, ugyanakkor fontos nála is a biztonság tudatosság és igény szint növelése.
  9. A szakterületre az eszközök elvárt biztonsági szintje, illetve az átviteli kérdések vonatkozásába,  egyelőre még nincsenek szabványok, pedig sürgető lenne.
  10.  A technikai hekkelés ha nem etikus a BTK. szerint ma is több éves börtönnel büntethető, ugyanakkor egyre nagyobb szükség merül fel a biztonsági szakértők etikus hekkeri tevékenységére a piacon.

Írta: Keszler László

Kapcsolódó cikkek:
2017-es kulcstrendek az IP alapú biztonságtechnika területén – Dr. Martin Gren szerint
IT biztonság 2017 – „jóslatok”