Verbonden apparaten en een afgescheiden netwerk

Een aanvaller die voet aan de grond heeft gekregen in een netwerk, zoekt eerst uit wat daar draait. De kennisbank MITRE ATT&CK beschrijft deze stap: de tegenstander probeert een lijst te krijgen van de diensten die draaien op externe machines en op apparaten in het lokale netwerk, ook die welke kwetsbaar kunnen zijn voor misbruik op afstand⁵. Hier speelt de scheiding van netwerken een rol. CISA beschrijft segmentatie als een middel om te voorkomen dat een indringer zijn aanvallen verspreidt of zich lateraal door een intern netwerk beweegt. In een slecht gesegmenteerd netwerk kan hij zijn bereik uitbreiden tot kritieke apparatuur of gevoelige gegevens³. Een goed gescheiden netwerk kan het incident daarentegen indammen en de gevolgen beperken³.

Het NIST, aan de kant van de fabrikanten, heeft een eigen programma voor de cyberbeveiliging van verbonden apparaten. Daarin publiceert het aanbevelingen voor fabrikanten en voor bedrijven die deze apparaten inzetten⁶. ENISA publiceerde van zijn kant in november 2017 een studie met basisaanbevelingen voor de beveiliging van het internet der dingen⁷.

• Wijzig het oorspronkelijke wachtwoord. De NCSC vraagt dit te doen als het apparaat er een meelevert, en een sterk wachtwoord te kiezen, bijvoorbeeld door drie willekeurige woorden te combineren¹.
• Schakel verificatie in twee stappen in als het apparaat of de bijbehorende app dat aanbiedt¹.
• Schakel toegang op afstand uit als u het apparaat niet buiten uw wifi hoeft te bereiken¹.
• Installeer updates. Activeer automatische installatie als die bestaat, en installeer handmatige updates zodra ze beschikbaar zijn¹.
• Verwijder wat u niet gebruikt. CISA raadt aan onnodige diensten uit te schakelen, omdat ongebruikte diensten en software kwetsbaarheden kunnen veroorzaken². CISA adviseert ook UPnP uit te schakelen wanneer het niet nodig is: volgens CISA kan schadelijke software in het netwerk het gebruiken om de firewall van de router te omzeilen².
• Schakel het beheer op afstand van de router uit, waarmee de instellingen via internet kunnen worden bekeken en gewijzigd².
• Scheid gevoelige onderdelen. CISA raadt aan ze onder te brengen in aparte netwerksegmenten³.
• Let op onbekende verbindingen. CISA stelt voor ongeautoriseerde apparaten die zich op het netwerk aanmelden op te sporen met behulp van de website van de routerfabrikant².
• Voer voordat u een apparaat doorverkoopt of weggeeft een fabrieksreset uit, die ook uw persoonlijke gegevens moet wissen¹.

De eerste valkuil is het apparaat dat wordt geleverd met een wachtwoord dat op internet gedeeld wordt. In het Verenigd Koninkrijk geldt sinds 29 april 2024 een wet: alle verbonden apparaten moeten aan basisvereisten voldoen, waaronder de vermelding van de einddatum van de ondersteuning, en fabrikanten moeten ervoor zorgen dat apparaten niet worden geleverd met standaardwachtwoorden, die gemakkelijk online gedeeld kunnen worden¹. Deze regel geldt voor het Verenigd Koninkrijk. Elders is er geen garantie dat het gekochte apparaat zo is ontworpen.

De tweede valkuil is de aankoop van een apparaat zonder ondersteuning. De NCSC raadt aan de einddatum van de ondersteuning te zien als een houdbaarheidsdatum: daarna is het apparaat gemakkelijker te hacken of kan het ophouden te werken¹. CISA merkt van zijn kant op dat internetproviders apparatuur niet altijd vervangen zodra de fabrikant er geen ondersteuning meer voor biedt³.

De derde valkuil is denken dat het apparaat rechtstreeks uit de doos veilig is. Fabrieksinstellingen zijn vaak te ruim, bedoeld om de installatie te vergemakkelijken en niet om de beveiliging².

De laatste valkuil is vergeetachtigheid. Eenmaal geïnstalleerd worden veel apparaten niet op hetzelfde beveiligingsniveau onderhouden als computers, en eigenaren verwaarlozen ze ook wanneer ze na een aanval naar indringers zoeken³.