Будущее для безопасности интернета вещей и встраиваемых систем: Kaspersky Operating System
Download as PPTX, PDF0 likes1,922 views
Документ рассматривает будущее кибербезопасности интернет вещей (IoT) и встраиваемых систем, акцентируя внимание на проблемах, таких как уязвимости устройств и методы защиты. Представлена операционная система Kaspersky OS, разработанная для специфических требований к безопасности, основанная на микроядре и архитектуре MILS, что обеспечивает надежное изолирование и контроль внутренних коммуникаций. Рассмотрены примеры применения Kaspersky OS в различных сферах, включая сетевое оборудование и автомобили, с акцентом на безопасную обработку данных и управление уязвимостями.
Будущее для безопасности интернета вещей и встраиваемых систем: Kaspersky Operating System
- 1. БУДУЩЕЕ ДЛЯ БЕЗОПАСНОСТИ ИНТЕРНЕТА ВЕЩЕЙ И ВСТРАИВАЕМЫХ СИСТЕМ: KASPERSKY OPERATING SYSTEM
- 2. ИНТЕРНЕТ ВЕЩЕЙ Количество подключенных устройств Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System2 МИЛЛИАРДЫУСТРОЙСТВ 50 40 30 20 10 0 90 92 94 96 98 00 02 04 06 08 10 12 14 16 18 20 ГОД 1992 1,000,000 2003 0.5 МИЛЛИАРДА 2009 IoT INCEPTION 2012 8.7 МИЛЛИАРДОВ 2014 14.4 МИЛЛИАРД 2015 18.2 МИЛЛИАРДА 2017 28.4 МИЛЛИАРДА 2016 22.9 МИЛЛИАРДОВ 2018 34.8 МИЛЛИАРДОВ 2019 42.1 МИЛЛИАРДА 2020 50.1 МИЛЛИАРДА 2013 11.2 МИЛЛИАРДА
- 3. ФУНКЦИОНАЛЬНЫЕ IoT УСТРОЙСТВА НАИБОЛЕЕ УЯЗВИМЫ «Вещи» Сенсоры и актуаторы Обработка Коммуникации Локальная Сеть Gateway(s) Wired/wireless Power line BAN, PAN, LAN Интернет Облачные сервисы Сервера Пользовательский доступ и контроль Бизнес аналитика Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System3
- 4. АТАКИ НА IoT MIRAI Mirai был обнаружен в августе 2016, и наименование пошло от имени одного из модулей, который назывался “mirai.()”. Mirai – это исполняемый модуль Linux, и его основная цель – это камеры наблюдения DVRs, роутеры, Linux сервера и другие устройства, которые используют Busybox, распространённую библиотеку для IoT устройств. BASHLITE Заражает Linux системы и использует их для организации DDoS атак. В 2014 BASHLITE использовал для распространения уязвимость Shellshock для заражения устройств с BusyBox. В 2016 было около 1 миллиона устройств, зараженных BASHLITE. Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System4
- 5. Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System5 ОСНОВНАЯ ПРОБЛЕМА IoT С ТОЧКИ ЗРЕНИЯ КИБЕРБЕЗОПАСНОСТИ Ошибки людей Использование сторонних библиотек и приложений Сложность программного обеспечения (Значительное увеличение количества строк кода) НЕБЕЗОПАСНЫЙ ДИЗАЙН УЯЗВИМОСТИ Желание вывести продукт на рынок как можно быстрее НЕБЕЗОПАСНОСТЬ ОПЕРАЦИОННЫХ СИСТЕМ ОБЩЕГО НАЗНАЧЕНИЯ
- 6. Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System6 ПОЧЕМУ ОС ОБЩЕГО НАЗНАЧЕНИЯ НЕБЕЗОПАСНЫ Монолитная система позволяет любому модулю вызывать напрямую любой другой модуль Эксплуатируя уязвимость есть возможность вызвать другой модуль, несмотря на настройки безопасности Использование стороннего кода Есть возможность получить контроль над системой целиком после эксплуатации всего одной уязвимости Слабые настройки безопасности по разным причинам (недостаток опыта или времени, лень) Огромная поверхность атаки Пользователь Драйвер устройства Библиотеки Команды Приложения Системные вызовы OS … Драйвер устройства Драйвер устройства … Интерфейсдрайверов Таблица перехвата Монолитное ядро ОС Управление процессами Управление памятью Управление файлами Управление инфраструктурой устройств
- 8. Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System8 КАК РЕШИТЬ ПРОБЛЕМУ Создать такое окружение, которое просто не позволит программам исполнить недекларируемые возможности (код) и предотвратит эксплуатацию уязвимостей. ОСНОВНЫЕ ПРИНЦИПЫ БЕЗОПАСНОЙ OS Безопасность, заложенная в архитектуру (Secure by design system) Использование MILS подхода с монитором обращений Микроядро Удовлетворяет специальным требованиям к ОС для встраиваемых систем
- 9. ТРЕБОВАНИЯ К ОС ДЛЯ ВСТРАИВАЕМЫХ СИСТЕМ НЕБОЛЬШОЙ РАЗМЕР И МИНИМАЛЬНОЕ ИСПОЛЬЗОВАНИЕ РЕСУРСОВ Большинство встраиваемых систем ограничены в ресурсах (RAM, ROM, CPU) РЕШЕНИЕ ИЗ КОРОБКИ Большинство встраиваемых систем имеют (почти) уникальные требования к кибербезопасности. Необходимо поддержать эти требования и при этом уменьшить время разработки нового продукта Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System9 СТАБИЛЬНАЯ РАБОТА ДАЖЕ ВО ВРЕМЯ АТАКИ Решение должно быть продумано с т.з. кибербезопасности и векторов потенциальных атак СООТВЕТСТВИЕ ИНДУСТРИАЛЬНЫМ СТАНДАРТАМ Решение должно быть создано и разработано в соответствии с индустриальными стандартами функциональной и кибербезопасности.
- 10. Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System10 KASPERSKYOS // ПЕРВЫЙ ВЗГЛЯД Разработана для встраиваемых, подключенных к сети Интернет устройств со специфическими требованиями к кибербезопасности Основана на микроядре, которое гарантирует контроль всех внутренних коммуникаций Поведение всех модулей описано в политиках безопасности MILS архитектура Разделение и изоляция доменов безопасности Гибкий контроль междоменных коммуникаций посредством Kaspersky Security System (KSS)
- 11. Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System11 KASPERSKYOS // СПЕЦИФИКАЦИЯ Микроядерная операционная система, разработанная с нуля в Лаборатории Касперского Статическая конфигурация безопасности MILS архитектура Разделение функционала приложения и функций кибербезопасности (упрощается разработка приложений, уменьшается время разработки и улучшается качество продукта) Максимальный уровень контроля всей системы благодаря уменьшению гранулярности доменов безопасности (каждое приложение, драйвер, библиотека могут быть отдельным доменом безопасности) Совместима с POSIX API (~98% API) Поддерживает Intel x86, x64 и ARM (v6, v7, v8)
- 12. Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System12 KASPERSKYOS – TRUSTED. FLEXIBLE. SECURE. KasperskyOS может выступать основой для построения доверенной системы в силу своих архитектурных особенностей: ОС не допускает исполнения функций приложений, не декларированных в политиках безопасности Благодаря возможности использования любого типа политик безопасности, возможно использовать KasperskyOS для любых задач. Разработав один раз политику для приложения или модуля, ее можно использовать вновь в будущем Благодаря разделению функций безопасности и функциональной части приложения, возможна параллельная работа над этими частями, что экономит время Позволяет улучшить функциональную безопасность системы за счет использования политик безопасности, в которых описан алгоритм работы ДОВЕРЕННАЯ ГИБКАЯ БЕЗОПАСНАЯ
- 13. ПЛЮСЫ KASPERSKYOS ВРОЖДЕННИЯ БЕЗОПАСНОСТЬ Операционная система KasperskyOS создана безопасной со стадии дизайна и останется таковой за счет использования лучших практик из мира кибербезопасности ГИБКИЕ НАСТРОЙКИ БЕЗОПАСНОСТИ Средства разработки позволяют легко создавать правила поведения системы и комбинировать разные типы политик для контроля взаимодействий. Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System13 УНИВЕРСАЛЬНАЯ МОДУЛЬНАЯ АРХИТЕКТУРА Система построена из слабо связанных модулей, что позволяет легко модифицировать набор модулей и минимизировать время на разработку доверенных модулей РАЗДЕЛЕНИЕ БЕЗОПАСНОСТИ И ФУНКЦИОНАЛЬНОЙ ЧАСТИ МОДУЛЕЙ Безопасная архитектура спроектирована таким образом, чтобы отделить функции безопасности от бизнес-логики приложений; благодаря этому настройка политик безопасности и разработка приложений становятся проще
- 14. РЕАЛИЗАЦИИ KASPERSKYOS Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System14 Мы разработали набор продуктов, которые подходят разным клиентам с различными потребностями. При этом все продукты построены на основе одних и тех же принципов безопасности (разделение и изоляция доменов безопасности и жесткий контроль коммуникаций между ними) KasperskyOS Kaspersky Secure Hypervisor Kaspersky Security System для Linux
- 15. ТЕХНОЛОГИИ КИБЕРБЕЗОПАСНОСТИ, КОТОРЫЕ ПОДХОДЯТ ДЛЯ РАЗНЫХ ПРИМЕНЕНИЙ Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System15 Уровень контроля Количествоработы Kaspersky OS Наиболее безопасное решение (все компоненты изолированы и контролируются) Требуется редизайн и переработка компонент системы Требуется (по крайней мере) портирование приложений Ограниченная поддержка целевых платформ (только встраиваемые системы)
- 16. ТЕХНОЛОГИИ КИБЕРБЕЗОПАСНОСТИ, КОТОРЫЕ ПОДХОДЯТ ДЛЯ РАЗНЫХ ПРИМЕНЕНИЙ Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System16 Level of control Amountofextrawork Kaspersky OS Most secure solution (all components are isolated and controlled) Requires rethinking and redevelopment of architecture of every component Requires (at least) porting of applications or complete rewriting of them Limited support of hardware (embedded systems only) Уровень контроля Количествоработы Хороший уровень безопасности (изоляция ВМ и контроль коммуникаций между ними) Требуется редизайн и переработка архитектуры компонент системы Kaspersky Secure Hypervisor Требуется редизайн и переработка критических функций системы Широкий спектр назначений (не только встраиваемые системы) Kaspersky OS
- 17. ТЕХНОЛОГИИ КИБЕР БЕЗОПАСНОСТИ, КОТОРЫЕ ПОДХОДЯТ ДЛЯ РАЗНЫХ ПРИМЕНЕНИЙ Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System17 Level of control Amountofextrawork Kaspersky OS Most secure solution (all components are isolated and controlled) Requires rethinking and redevelopment of architecture of every component Requires (at least) porting of applications or complete rewriting of them Limited support of hardware (embedded systems only) Level of control Amountofextrawork Good level of security (isolation of VMs and critical functions, limited control of communications) Requires rethinking and redeveloping of applications’ architecture only Kaspersky Secure Hypervisor Requires re/development some critical functions Wide range of hardware supported (not only embedded systems) Kaspersky OS KSS for Linux Хороший уровень безопасности (изоляция контейнеров Linux, контроль коммуникаций между контейнерами) Требуется лишь редизайн архитектуры приложений Минимум доработок Работает на всех версиях Linux с поддержкой контейнеризации Kaspersky Secure Hypervisor Уровень контроля Количествоработы Kaspersky OS
- 18. ТЕХНОЛОГИИ КИБЕРБЕЗОПАСНОСТИ, КОТОРЫЕ ПОДХОДЯТ ДЛЯ РАЗНЫХ ПРИМЕНЕНИЙ Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System18 Наиболее безопасное решение (все компоненты изолированы и контролируются) Требуется редизайн и переработка компонент системы Требуется (по крайней мере) портирование приложений Ограниченная поддержка целевых платформ (только встраиваемые системы) Хороший уровень безопасности (изоляция ВМ и контроль коммуникаций между ними) Требуется редизайн и переработка архитектуры компонент системы и критических функций системы Широкий спектр назначений (не только встраиваемые системы) Хороший уровень безопасности (изоляция контейнеров Linux, контроль коммуникаций между контейнерами) Требуется лишь редизайн архитектуры приложений Минимум доработок Работает на всех версиях Linux с поддержкой контейнеризации KASPERSKYOS SECURE HYPERVISOR KSS FOR LINUX
- 19. ПРИМЕРЫ ИСПОЛЬЗОВАНИЯ Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System19 Сетевое и телекоммуникационное оборудование IoT и индустриальный IoT Современные автомобили PC POS терминалы Расширение безопасности для Linux
- 20. ПРИМЕРЫ ИСПОЛЬЗОВАНИЯ – ТЕЛЕКОММУНИКАЦИОННОЕ ОБОРУДОВАНИЕ Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System20 Безопасная загрузка гарантирует целостность ОС и приложений Изоляция всех компонентов и приложений Минимальный урон от эксплуатации уязвимостей, защита от вредоносного кода Защита важных данных (ключей шифрования) KASPERSKYOS Доверенная платформа Безопасность с самого начала: Сетевые роутеры и свитчи, VPN серверы Интернет Домен безопасности 0 Сетевой драйвер Домен безопасности 1 Сетевой стек Домен безопасности 3 SSH Домен безопасности 2 Web server Домен безопасности 5 Хранилище Домен безопасности 4 Telnet KasperskyOS uCore + KSS Запрос вердикта безопасности на разрешение послатьпринять данные виз другой домен безопасности
- 21. ПРИМЕРЫ ИСПОЛЬЗОВАНИЯ – IoT Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System21 Изоляция всех доменов безопасности Минимизация урона от уязвимостей Защита важных данных (ключей шифрования) Безопасная загрузка 1. Умные камеры наблюдения (CCTV) (обработка изображения на камере и передача не только картинки, но и результатов обработки) 2. Интернет хабы и гейтвеи ПРИМЕР KASPERSKYOS Безопасность с нуля (единственный способ защитить IoT) Подключенные к сети устройства с богатым функционалом (не основанные на MCU) :
- 22. ПРИМЕРЫ ИСПОЛЬЗОВАНИЯ – CONNECTED АВТОМОБИЛИ Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System22 Изоляция информационно-развлекательной системы от критических компонент (advanced driver assistance systems, AUTOSAR) Минимизация урона от эксплуатации уязвимости в одном из доменов Защита важных данных (ключи шифрования, сертификаты, телеметрия, логи) от несанкционированного доступа Безопасная загрузка и защита от несанкционированного изменения компонентов системы Безопасность с нуля Может быть использован в головном блоке, гейтвее или в ECU KASPERSKY SECURE HYPERVISOR
- 23. ПРИМЕРЫ ИСПОЛЬЗОВАНИЯ – РС и ТОНКИЕ КЛИЕНТЫ Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System23 Отсутствие или контролируемый обмен информацией между виртуальными машинами Контроль целостности программного обеспечения Доверенная загрузка Защита от Bootkit и rootkit Контроль доступа ко внешним устройствам Уменьшение стоимости владения (нужен один PC вместо двух) Две виртуальные машины Первая с доступом к конфиденциальной информации (внутренний домен) Вторая с доступом к Сети и публичным сервисам (внешний домен) o Специальный компьютер с двумя жесткими дисками и сетевыми картами Доверенный домен Недоверенный домен Доверенный домен Administrative service Приложение SSL/TLS Хранилище сертификатов Access service Request handshake Give permissions Kaspersky Secure Hypervisor KASPERSKY SECURE HYPERVISOR
- 24. ПРИМЕРЫ ИСПОЛЬЗОВАНИЯ – СЕТЕВОЕ ОБОРУДОВАНИЕ Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System24 Безопасное хранилище для ключей шифрования и сертификатов (защита от несанкционированного доступа как со стороны программного, так и со стороны аппаратного обеспечения) Разделение и менеджмент функциональных модулей, например web и почтовый антивирусы, контентная фильтрация, облачное хранилище (модули могут продаваться и активироваться отдельно с разными лицензиями) VPN серверы UTMs KASPERSKY SECURE HYPERVISOR
- 25. ПРИМЕРЫ ИСПОЛЬЗОВАНИЯ – POS ТЕРМИНАЛЫ Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System25 Обработка данных кредитных карт (защита от несанкционированного доступа к данным карт) Коммуникации с банками и процессинговыми центрами Безопасное хранилище (аудит, безопасная передача доверенных данных менеджменту или регулятору) Перенос важных с т.з. кибербезопасности функций в отдельный безопасный домен Соответствие PA DSS Kaspersky Secure Hypervisor Домен Недоверенное приложение Доверенное приложение Конфиденциальные данные Защита памяти от несанкционированного доступа Запрет модификации Защита страниц памяти KASPERSKY SECURE HYPERVISOR Контроль целостности ПО POS терминала
- 26. ПРИМЕРЫ ИСПОЛЬЗОВАНИЯ – УЛУЧШЕНИЕ БЕЗОПАСНОСТИ ДЛЯ LINUX Kaspersky Lab | Future of embedded and IoT security: Kaspersky Operating System26 Безопасное обновление ПО и конфигурации Разделение обязанностей между компонентами и удаленными агентами Сэндбокс для недоверенного ПО Улучшение уровня кибербезопасности благодаря внедрению контроля междоменных коммуникаций Примеры использования: PLCs / Устройства индустриального интернета вещей IoT оборудование KASPERSKY SECURITY SYSTEM
- 27. QUESTIONS? Kaspersky OS Securing Embedded Communications
Editor's Notes
- #14: Building the system based on loosely coupled modules helps to minimize the amount of trusted code and tailor each solution to the customer’s specific needs
- #23: Secure boot and protection against the unauthorized modification of firmware and software (i.e. malware infection, and unauthorized modifications)