Oggetti connessi e rete isolata

Un attaccante che si è introdotto in una rete cerca prima di tutto che cosa vi si trova. La base MITRE ATT&CK descrive questa fase: l'avversario tenta di ottenere l'elenco dei servizi in esecuzione su macchine remote e sui dispositivi della rete locale, compresi quelli che potrebbero essere vulnerabili a uno sfruttamento da remoto⁵. È qui che conta la separazione delle reti. La CISA descrive la segmentazione come un modo per impedire a un intruso di propagare i propri attacchi o di spostarsi lateralmente in una rete interna. In una rete segmentata male, l'intruso può estendere il proprio controllo fino ad apparecchiature critiche o a dati sensibili³. Una rete separata correttamente può invece contenere l'incidente e ridurne l'effetto³.

Il NIST, dal lato dei produttori, porta avanti un programma dedicato alla cybersicurezza degli oggetti connessi. Vi pubblica raccomandazioni per i produttori e per le aziende che impiegano questi oggetti⁶. L'ENISA, da parte sua, ha pubblicato nel novembre 2017 uno studio di raccomandazioni di sicurezza di base per l'Internet delle cose⁷.

• Cambi la password iniziale. L'NCSC chiede di cambiarla se il dispositivo ne fornisce una e di sceglierne una robusta, per esempio combinando tre parole a caso¹.
• Attivi la verifica in due passaggi se l'oggetto o la sua app la offre¹.
• Disattivi l'accesso remoto se non ha bisogno di raggiungere l'oggetto da fuori dal suo Wi-Fi¹.
• Installi gli aggiornamenti. Attivi l'installazione automatica, se esiste, e installi quelli manuali non appena vengono proposti¹.
• Elimini ciò che non serve. La CISA raccomanda di disattivare i servizi inutili, perché servizi e software non usati possono creare vulnerabilità². Consiglia anche di disattivare UPnP quando non è necessario: secondo la CISA, un software dannoso presente nella rete può servirsene per aggirare il firewall del router².
• Disattivi la gestione remota del router, che permette di consultarne e modificarne le impostazioni da Internet².
• Separi gli elementi sensibili. La CISA raccomanda di distribuirli in segmenti di rete distinti³.
• Controlli le connessioni sconosciute. La CISA suggerisce di individuare i dispositivi non autorizzati che entrano nella rete, usando il sito del produttore del router².
• Prima di rivendere o regalare un oggetto, faccia un ripristino di fabbrica, che deve cancellare anche i suoi dati personali¹.

La prima insidia è il dispositivo venduto con una password condivisa su Internet. Nel Regno Unito una legge si applica dal 29 aprile 2024: tutti gli oggetti connessi devono rispettare requisiti di base, fra cui l'indicazione della data di fine supporto, e i produttori devono assicurarsi che i dispositivi non siano venduti con password predefinite, che possono essere condivise facilmente online¹. Questa regola vale per il Regno Unito. Altrove nulla garantisce che l'oggetto acquistato sia stato concepito così.

La seconda insidia è l'acquisto di un oggetto senza supporto. L'NCSC invita a considerare la data di fine supporto come una data di scadenza: oltre quel termine, il dispositivo è più facile da violare o può smettere di funzionare¹. La CISA osserva da parte sua che i fornitori di accesso non sempre sostituiscono un'apparecchiatura quando il produttore non la supporta più³.

La terza insidia è credere che l'oggetto sia sicuro appena uscito dalla scatola. Le configurazioni di fabbrica sono spesso troppo permissive, pensate per facilitare l'installazione e non per la sicurezza².

L'ultima insidia è la dimenticanza. Una volta installate, molte apparecchiature non sono mantenute allo stesso livello di sicurezza dei computer, e i proprietari le trascurano anche quando cercano intrusi dopo un attacco³.