Security für Edge- und Industrial IoT Sicherung verteilter Datengrenzen

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Keeper Security EMEA Ltd.

Edge- und Industrial IoT verändern die Unternehmens-IT – und stellen traditionelle Ansätze zur System- und Datensicherheit in Frage. Anwendungen und Daten verlassen zunehmend den physischen Schutz und den Schutz des Rechenzentrums auf Systemebene und verlagern sich auf die letzte Meile des Unternehmensnetzwerks.

Es wird erwartet, dass die Zahl der IoT-Geräte bis 2022 weltweit auf über 50 Milliarden ansteigen wird, während sie 2018 erst bei rund 21 Milliarden lag. Verantwortlich für diesen Zuwachs werden in erster Linie die IoT-Implementierungen der Industrie sein. Zudem besagt eine Prognose, dass bis 2025 ca. 59 Prozent der Daten aus IoT-Bereitstellungen durch Edge Computing verarbeitet werden. Das bedeutet auch, dass 2023 mehr als die Hälfte der von Industrie und Unternehmen eingesetzten Geräte auf Edge-Computing angewiesen sein wird.

Dies ist eine große Herausforderung: Die Geräte sind leichter zu manipulieren und weisen die gleichen Sicherheitslücken sowie eine unregelmäßige Aktualisierungsfrequenz auf, die traditionell mit Endgeräten von Unternehmen einhergeht. Angreifer wissen das, und so kam es laut Berichterstattung, in der ersten Hälfte des Jahres 2019 zu einem Anstieg der IT-Angriffe, bei denen Malware-Autoren Bot-Armeen auf Endgeräte geschleust oder Daten ins Visier genommen haben.

Container - von wegen sicher geschlossen...

Container sind eine relativ neue Technologie, die sich schnell und weitläufig durchsetzt, jedoch besteht ein gewisses Risiko.

Das Docker- und Container-Orchestrierungssystem Kubernetes hat sich in der IT-Branche etabliert. Dies geht aus dem „Flexera 2020 State of the Cloud-Bericht” hervor: 65 Prozent nutzen Docker und 58 Prozent Kubernetes. Kubernetes ist eine Kernkomponente von Open-Source-Edge-Infrastrukturplattformen wie StarlingX. Da Container einen sehr geringen Platzbedarf haben, eignen sie sich natürlich für das ressourcenbeschränkte industrielle IoT – aber sie stellen auch verlockende Ziele dar.

Container teilen sich den zugrundeliegenden Kernel ihres Host-Gerätes, d.h. sollte schädlicher Code von dort nach außen dringen, kann dies tiefgreifende Auswirkungen sowohl auf andere gehostete Container als auch auf das Host-Gerät selbst haben. Auch weil Container relativ neu sind, haben Entwickler als auch Administratoren Mühe, deren Komplexität zu beherrschen. Zu den Problemen gehören u.a.: schlechter Schutz von Zertifikaten und Schlüsseln und das Vorhandensein von nicht gepatchtem oder nicht sicherem Code. Container sind offen verfügbar, können also mit schädlichem Code infiziert werden, der dann weitergegeben wird. Deswegen enthalten die zehn beliebtesten Docker-Images auch mindestens 30 Sicherheitslücken.

Sicherheit von unten nach oben

Milliarden von Geräten, ein stark verteiltes Edge-Netzwerk, verschiedene Angriffsmethoden und eine Anwendungsarchitektur, die weder ausgereift noch vollständig verstanden wurde, können in der Tat herausfordernde Zeiten für die Daten- und Gerätesicherheit bedeuten. Aber Sicherheit ist möglich. Sicherheit in dieser komplexen Welt bedeutet jedoch, nicht nach einem einzelnen Schutz oder einer Verteidigung zu suchen, sondern verschiedene Methoden zu nutzen, um eine mehrschichtige Tiefenverteidigung (Defense-in-Depth) aufzubauen und diese zentral über die Cloud zu verwalten. Diese Verteidigung fängt am unteren Ende des Stacks an, wo es eine Reihe von Technologien und Verfahren gibt, die man hierzu in Betracht ziehen sollte:

UEFI Secure Boot ist ein Überprüfungsmechanismus, um sicherzustellen, dass der Code echt bzw. unverfälscht ist. Jede, beim Booten geladene Binärdatei wird anhand bekannter Schlüssel in der Firmware überprüft, um zu bestätigen, dass sie von vertrauenswürdigen Anbietern und Quellen stammen. Dies hilft sicherzustellen, dass das Betriebssystem vom BIOS zu GRUB sicher gebootet wird.

Trusted Platform Module (TPM) sind Microchips in Endgeräten, in denen Secrets wie kryptografische RSA-Schlüssel gespeichert werden können. Sie können nur von autorisierten Benutzern gelesen und nicht geändert werden.

Verwaltung von Zertifikaten: Public-Key-Infrastructue (PKI) Zertifikate werden für die Kubernetes-Authentifizierung über Transport Layer Security verwendet, z. B. für API-Endpunkte und Server. Da die Verwendung von Containern zunimmt und Kubernetes-Umgebungen komplexer werden, können die Zertifikate schwierig zu verwalten sein. Die Lösung ist ein automatisiertes System für die Zertifikatsverwaltung. Es reduziert die Komplexität und ist zudem sicherer, da es das manuelle Fehlerpotenzial eliminiert. Für Unternehmen ist es auch wichtig, die Authentifizierung auf Verzeichnisebene zu integrieren - insbesondere Active Directory von Microsoft oder Cert Manager, die beide z.B. von StarlingX unterstützt werden.

Signieren und validieren: Code kann manipuliert werden - sogar der offizielle Code in einem Register. Daher ist es wichtig, ein System zu implementieren, das den Code verifiziert. Docker unterstützt dies mit Signatur-Validierungen auf dem Client, aber es ist wichtig, dies in Kubernetes zu haben - und zwar außerhalb des Clients und der Runtime, um eine zentralere Verwaltung zu gewährleisten. Daran hat die StarlingX-Gemeinschaft gearbeitet.

Container Isolation: Container-Dateisysteme, Prozesse und andere Funktionen können über Namespaces und Cgroups isoliert werden, diese können jedoch verletzt werden. Kata-Container, die von StarlingX verwendet werden, bieten eine starke Workload-Isolation mithilfe der Hardware-Virtualisierung – und damit also eine zweite Verteidigungsschicht.

Pod Security: Pods sind Gruppen von Containern. Mit Pod-Sicherheitsrichtlinien können der Zugriff auf gemeinsam genutzte Host-Ressourcen wie Netzwerk und Speicher gesteuert und in Kubernetes implementiert werden. Es kann schwierig sein, Kubernetes-Policies großflächig zu erstellen und zu verwalten. Daher ist es hilfreich, eine Verwaltungsebene einzusetzen, um das Set-up zu vereinfachen, die Nutzung zu überwachen und die Ausführung zu verwalten. Ein System wie StarlingX bietet Standardeinstellungen und vereinfacht das individuelle Erstellen von Policies und Roles. Mit diesen Standard-Pod-Security-Policies, Roles und Rolebinding können die Pod-Security-Policies von Kubernetes aktiviert werden, ohne versehentlich die Funktionen wichtiger Benutzer zu deaktivieren.

Fazit

Das Edge-Computing expandiert unaufhaltsam, da das industrielle IoT auf dem Vormarsch ist. Aber sowohl die Geräte als auch die Daten der Unternehmen werden durch den Rückzug des klassischen Rechenzentrums gefährdet. Die Sicherung von Edge und Industrial IoT erfordert eine mehrschichtige Tiefenverteidigung: die Verwendung bewährter, vorhandener Tools von der Hardware-Ebene aufwärts ebenso wie die Arbeit mit Containern samt zusätzlicher Automatisierung und die zentralisierte Verwaltung der Cloud.

Über den Autor: Greg Waines ist „Senior Member of Technical Staff“ bei Wind River.

(ID:46935279)