Qué pueden detectar las pruebas de penetración de IoT

Las siguientes desafíos de seguridad son comunes entre las arquitecturas de IoT y las pruebas de penetración de IoT son clave para identificarlas.

Contraseñas débiles

Las contraseñas débiles son una de las formas más fáciles para que un atacante acceda al sistema. A pesar de las iniciativas en sentido contrario, las contraseñas débiles ocupa el segundo lugar en la lista de vulnerabilidades comunes de IoT de OWASP. Las pruebas de penetración pueden encontrar contraseñas débiles o fáciles de adivinar.

Debido a que las contraseñas débiles son vulnerables a ataques de fuerza bruta, estas suelen ser las primeras pruebas que se realizan. Los evaluadores también intentarán la interceptación, que tiene más éxito cuando los protocolos de inicio de sesión no están cifrados. Ejecute pruebas internas y externas para las contraseñas. En las pruebas internas, los evaluadores se hacen pasar por empleados, por ejemplo, e intentan atacar la red desde dentro. En las pruebas externas, el evaluador no tiene acceso a la red interna de la empresa.

Servicios de red inseguros

En este caso, el peligro surge cuando los dispositivos están conectados a Internet, algo que se da en el caso de las implementaciones de IoT. Cualquier vulnerabilidad a nivel de red puede exponer la integridad, confidencialidad y disponibilidad de los datos. Nuevamente, se deben realizar pruebas de penetración tanto internas como externas. El objetivo es determinar cuántos datos, si es que hay alguno, pueden verse comprometidos.

La prueba de penetración basada en datos es otra opción. En estos casos, el evaluador utiliza ciertos datos o información sobre el objetivo para obtener acceso.

Considere también realizar pruebas ciegas y doble ciego. En el primero, los evaluadores no tienen información sobre el sistema que intentan piratear. En este último caso, el personal desconoce la realización de la prueba. Esto verifica la seguridad del sistema y el tiempo de respuesta de los miembros del personal.

Componentes obsoletos o mecanismos de actualización descuidados

Todos los dispositivos necesita ser actualizado para permanecer seguro. Pero no todas las actualizaciones se crean de la misma manera. Si no existe un mecanismo de actualización seguro, las actualizaciones pueden hacer más daño que bien, poniendo los dispositivos en riesgo. Para evitar que se produzcan vulnerabilidades, entregue actualizaciones a través de canales seguros y asegúrese de verificarlas antes de aplicarlas. Asegúrese de que los atacantes no puedan revertir una actualización. Los evaluadores pueden utilizar varios tipos de pruebas de penetración en esta etapa, incluidas las internas, externas, basadas en datos y ciegas.

Almacenamiento y transferencia de datos inseguros

La transferencia y el almacenamiento de datos son dos Puntos de vulnerabilidad clásicos. El cifrado débil y la falta de autenticación son los culpables habituales. Además, es posible que sea necesario actualizar los métodos de cifrado y autenticación. Las pruebas de penetración pueden identificar (y así eliminar) dichas vulnerabilidades.

Cómo realizar una prueba de penetración de IoT

La prueba de penetración incorpora las siguientes cinco etapas:

1. Planificación y recopilación de información.
2. Escanear el sistema para comprender cómo responde a los ataques.
3. Obtener acceso explotando vulnerabilidades.
4. Probar cuánto tiempo esas vulnerabilidades permiten que el atacante mantenga el acceso.
5. Analizando resultados.

En la fase de planificación, configure la documentación. Decida qué se hará y determine las expectativas. Define tus objetivos y crea un plan de acción. Además, identificar a las partes interesadas clave y entrevistarlas; serán ellos quienes definan las limitaciones y los resultados deseados.

A continuación, escanee el sistema. El evaluador comprueba diferentes ataques y vectores de amenazas a través de métodos manuales y automatizados. Una vez identificadas las vulnerabilidades, comience a realizar pruebas. El evaluador intenta obtener acceso y, si tiene éxito, monitorea cuánto tiempo se mantuvo el acceso.

Todas estas pruebas le ayudan a determinar el origen y la causa de la vulnerabilidad. Por ejemplo, podría encontrar controles de acceso faltantes, software obsoleto o datos no cifrados.

Analiza los resultados. Determine exactamente dónde y cuándo aparecieron por primera vez las vulnerabilidades, su clasificación de riesgo y los métodos necesarios para corregir el problema.

A pesar de los beneficios de las pruebas de penetración, es posible que los resultados que obtenga no sean los que esperaba. Para evitar esto, asegúrese de establecer las expectativas correctas e identificar a las partes interesadas clave. Muchos se apresuran en la primera etapa y, en cambio, se concentran en las pruebas mismas. Eso es un error. Si el plan es incorrecto y los evaluadores no entienden exactamente lo que deben hacer, se pueden perder datos cruciales.

No te saltes ningún paso, por insignificante que parezca. Las personas adecuadas y las prioridades adecuadas son las claves para el éxito de las pruebas de penetración de IoT.

Laura Vegh es una ingeniera informática apasionada por la escritura. Después de trabajar en el mundo académico durante siete años, cambió de carrera y se convirtió en escritora a tiempo completo.