Система и способ обеспечения безопасности IoT-устройств посредством шлюза
SYSTEM AND METHOD FOR SECURING IoT DEVICES THROUGH A GATEWAY

Область техники
Изобретение относится к технологиям обеспечения информационной безопасности для IoT-устройств, а более конкретно, к системам и способам выявления вредоносных приложений и зараженных IoT-устройств.
Уровень техники
В настоящее время всё большее количество устройств оказывается подключено к сети Интернет (компьютеры, смартфоны, бытовая техника). При подключении устройств к сети Интернет пользователи получают возможность обновления самих устройств, наблюдения за статусом работы устройства (например, холодильника) и интегрирования самого устройства в так называемую концепцию “умный дом” (англ. Smart house). Упомянутая концепция позволяет управлять подобными “умными” вещами (устройствами) из одной точки, проверяя статус работы таких вещей, настраивать их под свои личные нужды. Концепция “умного дома” затрагивает и другую концепцию под названием Интернет вещей (англ. Internet of Things, IoT), которая подразумевает взаимодействие вышеуказанных вещей уже без прямого участия человека.
В настоящее время пользователями широко используются маршрутизаторы, которые позволяют создавать беспроводные сети (кстати, смарт-устройства работают и по проводным сетям), которые в свою очередь позволяют подключать другие умные вещи к Интернету. Многие маршрутизаторы (роутеры, от англ. router) поддерживают возможность создания так называемых неоднородных (гетерогенных) сетей. В качестве примера можно привести сеть из устройств (“умных” вещей), часть из которых соединена с роутером через беспроводную сеть Wi-Fi, а другая часть – через Bluetooth.
Неудивительно, что с ростом количества устройств, которые имеют возможность сетевого взаимодействия, начало расти и количество попыток злонамеренного использования подобных устройств. Значимой проблемой является распространение вредоносных программ, которые заражают IoT-устройства. Ввиду того, что подобные устройства зачастую не имеют высокопроизводительной вычислительной платформы (как правило, это небольшие платформы на базе архитектуры ARM) и работают под управлением небольшой операционной системы (ОС) или простого загрузчика, которые используют малое количество ресурсов, использование каких-либо политик безопасности или антивирусных приложений является избыточным.
Также IoT-устройства могут порождать большой объём трафика, чем пользуются создатели ботнетов. В качестве примера можно привести ботнет Hide'n'Seek, который использует p2p-инфраструктуру, что ещё больше затрудняет его обнаружение.
Стоит отметить, что повсеместное использование IoT-устройств может сопровождаться вторжением в личную жизнь людей. С одной стороны, человек может доверять ряду устройств наблюдение за данными, которые могут прямо или косвенно относиться к его личной информации, – пульс, расход калорий (“умный” фитнес-браслет), частота звонков (“умные” часы), температура и влажность в доме (“умные” приборы, такие как термометр и гигрометр с обратной связью) и другие. Хотя от использования информации от таких устройств напрямую зависит уровень и качество сервиса, не все люди готовы мириться с передачей всей или хотя бы части информации в сеть Интернет.
Одной из последних проблем можно назвать также вопросы безопасности, связанные с функционированием “умной” техники в рамках “умного” дома. Например, недопустимо, чтобы температура воздуха поднималась выше 23-25 градусов Цельсия в теплое время года, даже если настройки позволяют поднять температуру выше. Кроме того, этим могут воспользоваться и злоумышленники, выведя из строя ряд датчиков и сменив настройки.
Подобные проблемы могут быть катастрофическими в том случае, если используются уязвимости для индустриального Интернета вещей (англ. Industrial Internet of Things, IIoT). В это определение входит многоуровневая система, включающая в себя датчики и контроллеры, установленные на узлах и агрегатах промышленного объекта, средства передачи собираемых данных и их визуализации и анализа. Если один из подобных узлов будет скомпрометирован, то вполне возможен отказ в обслуживании не одного устройства или набора устройств в доме, но даже изменение работы или отказ критически важной инфраструктуры в рамках целого города (например, системы управления городским траффиком или работы городских камер).
Известны патентные публикации, которые раскрывают возможные решения по обеспечению информационной безопасности, связанной с IoT-устройствами. Например, в публикации US20180041546 раскрывается дизайн безопасности для IoT-систем на основании желаемых пользователем характеристик. Публикация US20180040172 раскрывает мониторинг взаимодействия транспортного средства с IoT-устройством и анализ возможных информационных рисков. Однако в приведенных публикациях не раскрывается комплексный подход для решения задач информационной безопасности вкупе с обеспечением безопасности и корректной работы IoT-устройств, а также обеспечения необходимого уровня конфиденциальности.
Анализ предшествующего уровня техники позволяет сделать вывод о неэффективности и в некоторых случаях о невозможности применения предшествующих технологий, недостатки которых решаются настоящим изобретением, а именно системой и способом обнаружения посредством роутера вредоносных приложений, способных заразить IoT-устройства.
Раскрытие изобретения
Технический результат настоящего изобретения заключается в повышении безопасности IoT-устройств посредством шлюза.
Согласно одному из вариантов реализации предоставляется система обеспечения безопасности IoT-устройств (далее – устройств), содержащая:
по меньшей мере один шлюз, включающий средство анализа и средство перехвата, который взаимодействует по меньшей мере с одним устройством и по меньшей мере с одним сервисом безопасности, при этом средство перехвата выполняет:  получение информации о взаимодействии устройств с по меньшей мере одним из: другим устройством, сервисом, сервером; выявленное средством анализа действие для обеспечения безопасности на основании киберугрозы, определенной средством анализа, при этом действие для обеспечения безопасности применяется по меньшей мере к одному из: к устройству в сети; к сети в целом;
при этом средство анализа, предназначено для: определения киберугрозы посредством взаимодействия с сервисом безопасности на основании данных, полученных от средства перехвата и сервиса безопасности; в зависимости от определенной киберугрозы выявления действия для обеспечения безопасности;
по меньшей мере один сервис безопасности, предназначенный для предоставления данных средству анализа, при этом данные содержатся по меньшей мере в одной базе данных из: базе данных, связанных с устройствами; базе данных с описанием киберугроз.
Согласно другому варианту реализации предоставляется система, в которой действием для получения информации о взаимодействии устройств с другими устройствами, сервисами и серверами является: перехват DNS/HTTP/HTTPS-запросов от устройств; извлечение из перехваченных запросов данных о доменах и URL; перехват входящего трафика на устройства на заранее предопределенный набор TCP/UDP-портов; проверка наличия на устройстве открытых TCP/UDP-портов, обеспечивающих удаленный доступ к устройству.
Согласно еще одному из вариантов реализации предоставляется система, в которой действием для обеспечения безопасности, которое применяется к сети в целом, является: блокирование соединения устройства с другими устройствами; блокирование соединения устройства с доменами и URL.
Согласно еще одному из вариантов реализации предоставляется система, в которой действием для обеспечения безопасности, которое применяется к устройству в сети, является: перезагрузка устройства; обновление пароля устройства; обновление прошивки устройства; проверка доступа к устройству по портам Telnet/SSH; проверка доступа к устройству по паролям.
Согласно еще одному из вариантов реализации предоставляется система, в которой для определения киберугрозы посредством взаимодействия с удаленным сервером безопасности на основании данных, полученных от средства перехвата, выявляют описание устройства, при этом описание содержит по меньшей мере тип устройства, производителя устройства, модель устройства, прошивку устройства; получают информацию об устройстве от сервиса безопасности, при этом информация содержит по меньшей мере порты Telnet/SSH устройства, разрешенные домены и URL для устройства, а также разрешенные для взаимодействия устройства в сети; проверяют домены и URL из перехваченного трафика по базе доменов и URL, используемых вредоносными приложениями для устройств на основании предоставленных сервисом безопасности данных; проверяют домены и URL из перехваченного трафика по базе доменов и URL, используемых вредоносными приложениями для устройств на основании предоставленных сервисом безопасности данных.
Согласно еще одному из вариантов реализации предоставляется система, в которой действие для обеспечения безопасности, которое применяется к устройству в сети, выявляется следующим образом: в случае выявления наличия открытых портов Telnet/SSH на устройстве и/или возможности соединения с устройством по паролю выносят решение по проверке возможности подключения к устройству с использованием базы известных слабых паролей на основании предоставленных сервисом безопасности данных; в случае определения устройства со слабым паролем выносят решение о смене пароля устройства; в случае получения от сервиса безопасности информации о выходе новой прошивки устройства выносят решение об обновлении прошивки.
Согласно еще одному из вариантов реализации предоставляется система, в которой действие для обеспечения безопасности, которое применяется к сети в целом, выявляется следующим образом: в случае обнаружения в исходящем трафике устройства доменов и/или URL из упомянутой базы выносят решение о блокировании соединений с данными доменами и URL; в случае выявления аномалий в перехваченном трафике устройства выносят решение о блокировке соединений, связанных с аномалией.
Согласно еще одному из вариантов реализации предоставляется система, в которой база данных, связанных с устройствами, содержит описание устройств, прошивки устройств, слабые пароли для устройств.
Согласно еще одному из вариантов реализации предоставляется система, в которой база данных с описанием киберугроз содержит домены и URL, используемые вредоносными приложениями для устройств, характерные для устройств открытые порты Telnet/SSH.
Согласно еще одному из вариантов реализации предоставляется система, в которой средство анализа запрашивает сервис безопасности о том, какое действие для обеспечения безопасности необходимо выполнить.
Согласно еще одному из вариантов реализации предоставляется способ обеспечения безопасности IoT-устройств посредством шлюза, в котором: с помощью средства перехвата, которое размещено на по меньшей мере одном шлюзе, получают информацию о взаимодействии по меньшей мере одного устройства с по меньшей мере одним из: другим устройством, сервисом и сервером; с помощью средства анализа, которое размещено на по меньшей мере одном шлюзе, определяют киберугрозы посредством взаимодействия с сервисом безопасности на основании данных, полученных от средства перехвата, при этом сервис безопасности, предназначен для предоставления данных средству анализа, при этом данные содержатся по меньшей мере в одной базе данных из: базе данных, связанных с устройствами; базе данных с описанием киберугроз; с помощью средства анализа в зависимости от определенной киберугрозы выявляют действие для обеспечения безопасности, при этом действие для обеспечения безопасности применяется к по меньшей мере одному из: к устройству в сети; к сети в целом; с помощью средства перехвата выполняют выявленное средством анализа действие для обеспечения безопасности на основании киберугрозы, определенной средством анализа.
Согласно еще одному из вариантов реализации предоставляется способ, в котором действием для получения информации о взаимодействии устройств с другими устройствами, сервисами и серверами является: перехват NS/HTTP/HTTPS-запросов от устройств; извлечение из перехваченных запросов данных о доменах и URL; перехват входящего трафика на устройства на заранее предопределенный набор TCP/UDP-портов; проверка наличия на устройстве открытых TCP/UDP-портов, обеспечивающих удаленный доступ к устройству.
Согласно еще одному из вариантов реализации предоставляется способ, в котором действием для обеспечения безопасности, которое применяется к сети в целом, является: блокирование соединения устройства с другими устройствами; блокирование соединения устройства с доменами и URL.
Согласно еще одному из вариантов реализации предоставляется способ, в котором действием для обеспечения безопасности, которое применяется к устройству в сети, является: перезагрузка устройства; обновление пароля устройства; обновление прошивки устройства; проверка доступа к устройству по портам Telnet/SSH; проверка доступа к устройству по паролям.
Согласно еще одному из вариантов реализации предоставляется способ, в котором для определения киберугрозы посредством взаимодействия с удаленным сервером безопасности на основании данных, полученных от средства перехвата, выявляют описание устройства, при этом описание содержит по меньшей мере тип устройства, производителя устройства, модель устройства, прошивку устройства; получают информацию об устройстве от сервиса безопасности, при этом информация содержит по меньшей мере порты Telnet/SSH устройства, разрешенные домены и URL для устройства, а также разрешенные для взаимодействия устройства в сети; проверяют домены и URL из перехваченного трафика по базе доменов и URL, используемых вредоносными приложениями для устройств на основании предоставленных сервисом безопасности данных; проверяют домены и URL из перехваченного трафика по базе доменов и URL, используемых вредоносными приложениями для устройств на основании предоставленных сервисом безопасности данных.
Согласно еще одному из вариантов реализации предоставляется способ, в котором действие для обеспечения безопасности, которое применяется к устройству в сети, выявляется следующим образом: в случае выявления наличия открытых портов Telnet/SSH на устройстве и/или возможности соединения с устройством по паролю выносят решение по проверке возможности подключения к устройству с использованием базы известных слабых паролей на основании предоставленных сервисом безопасности данных; в случае определения устройства со слабым паролем выносят решение о смене пароля устройства; в случае получения от сервиса безопасности информации о выходе новой прошивки устройства выносят решение об обновлении прошивки.
Согласно еще одному из вариантов реализации предоставляется способ, в котором действие для обеспечения безопасности, которое применяется к сети в целом, выявляется следующим образом: в случае обнаружения в исходящем трафике устройства доменов и/или URL из упомянутой базы выносят решение о блокировании соединений с данными доменами и URL; в случае выявления аномалий в перехваченном трафике устройства выносят решение о блокировке соединений, связанных с аномалией.
Согласно еще одному из вариантов реализации предоставляется способ, в котором база данных, связанных с устройствами, содержит описание устройств, прошивки устройств, слабые пароли для устройств.
Согласно еще одному из вариантов реализации предоставляется способ, в котором база данных с описанием киберугроз содержит домены и URL, используемые вредоносными приложениями для устройств, характерные для устройств открытые порты Telnet/SSH.
Согласно еще одному из вариантов реализации предоставляется способ, в котором средство анализа запрашивает сервис безопасности о том, какое действие для обеспечения безопасности необходимо выполнить.
Краткое описание чертежей
Дополнительные цели, признаки и преимущества настоящего изобретения будут очевидными из прочтения последующего описания осуществления изобретения со ссылкой на прилагаемые чертежи, на которых:
Фиг. 1
На  приведена схема IoT-экосистемы (инфраструктуры).
Фиг. 2
отображает систему обеспечения безопасности IoT-устройств посредством шлюза.
Фиг. 3
отображает схему способа обеспечения безопасности IoT-устройств посредством шлюза.
Фиг. 4
представляет пример компьютерной системы общего назначения, c помощью которой может быть реализовано настоящее изобретение
Описание вариантов осуществления изобретения
Объекты и признаки настоящего изобретения, способы для достижения этих объектов и признаков станут очевидными посредством отсылки к примерным вариантам осуществления. Однако настоящее изобретение не ограничивается примерными вариантами осуществления, раскрытыми ниже, оно может воплощаться в различных видах. Сущность, приведенная в описании, является ничем иным, как конкретными деталями, необходимыми для помощи специалисту в области техники в исчерпывающем понимании изобретения, и настоящее изобретение определяется в объеме приложенной формулы.
IoT-устройства («умные» вещи) – повседневные устройства и вещи, такие как часы, камеры, холодильники, диктофоны, браслеты, пульсометры, термостаты и другие, которые имеют доступ в Интернет (или локальную сеть) через различные виды соединений, такие как Wi-Fi или Bluetooth. Данные вещи создают сетевые соединения, получают и обрабатывают входящий трафик, имеют интерфейс для взаимодействия (API, англ. Application Programmable Interface), что позволяет не только следить за параметрами вещи (устройства), но также настраивать её. Кроме того, к IoT-устройствам можно отнести и ряд сетевых устройств, такие как усилители сигнала или медиаприставки.
IoT-устройства находят своё применение в различных областях, таких как автотранспорт (англ. automotive), потребительские товары (например, умные часы), объекты инфраструктуры (различные датчики, например датчик влажности или датчик температуры), медицина (например, кардиостимулятор с возможностью отправки данных о своей работе на локальный сервер), умный дом (англ. smart home/building) и другие. IoT-устройства объединяются в инфраструктуру, которая позволяет выполнять задачи на уровне не только отдельного человека или домохозяйства, но и на уровне городов или государств.
IoT-устройства используются для различных целей, и их компрометация/кража/повреждение могут привести к различным последствиям для пользователя и всей инфраструктуры в целом.
Киберугроза - угроза потери данных или нарушения работы вычислительной системы или сети в результате кибератаки.
Кибератака - несанкционированное воздействие на вычислительную систему или сеть специальными программными или аппаратными средствами с целью нарушения её работы, получения секретной информации и т. п.
Фиг. 4
Под средствами системы и удаленным сервером в настоящем изобретении понимаются реальные устройства, подсистемы, компоненты, группы компонентов, реализованные с использованием аппаратных средств, таких как интегральные микросхемы (англ. application-specific integrated circuit, ASIC) или программируемые вентильные матрицы (англ. field-programmable gate array, FPGA), или, например, в виде комбинации программных и аппаратных средств, таких как микропроцессорная система и набор программных инструкций, а также на нейроморфных чипах (англ. neurosynaptic/neuromorphic chips). Функциональность указанных средств системы может быть реализована исключительно аппаратными средствами, а также в виде комбинации, где часть функциональности средств системы реализована программными средствами, а часть - аппаратными. В некоторых вариантах реализации часть средств или все средства могут быть исполнены на процессоре компьютера общего назначения (например, который изображен на ). При этом компоненты (каждое из средств) системы могут быть реализованы в рамках как одного вычислительного устройства, так и разнесены между несколькими связанными между собой вычислительными устройствами.
Фиг. 1
На  приведена схема IoT-экосистемы (инфраструктуры).
110
110
110
150
120
120
130
120
110
130
IoT-устройства  (далее по тексту – устройства) могут быть как носимыми предметами для людей (смартфон, умные часы и т.д.), так и датчиками внутри транспортного средства или дома, а также различными датчиками на предприятии. Устройства  получают, обрабатывают и передают информацию (например, данные о температуре) другим таким же устройствам  и устройствам  (например, умные часы могут быть сопряжены со смартфоном, используя протокол Bluetooth) либо посредством шлюза (точки доступа) . Шлюз  может быть домашним роутером или иным сетевым устройством (таким как концентратор или коммутатор), предназначенным для передачи данных платформе  по сети. Шлюз  может поддерживать различные протоколы передачи данных, например для некоторых устройств  может использоваться протокол ZigBee, а для соединения с платформой  - Ethernet-соединение.
130
130
140
110
150
110
140
120
110
150
Под облачным сервисом  (англ. cloud service) понимается один или несколько удаленных серверов обработки данных. В рамках облачного сервиса  работают приложения , которые позволяют обрабатывать и интерпретировать данные с устройств . Пользователи могут использовать отдельные устройства  (это могут быть смартфоны, персональные компьютеры и т.д.) для управления устройствами  либо напрямую, либо через приложения . Как правило, один или несколько шлюзов  с подключенными устройствами  и  образуют персональную сеть (англ. PAN, Personal Area Network).
110
130
140
110
В качестве примера можно привести платформу умного дома от компании Xiaomi. Устройствами  могут быть лампы освещения Yeelight Smartbulb, сетевой фильтр Mi Smart Power Plug, средство управления Mi Smart Remote Center. Для обработки данных с указанных устройств используется собственная платформа  Mi Eco Cloud, которая позволяет использовать различные приложения  (в том числе и сторонние) для обработки данных и управления устройствами .
Фиг. 2
отображает систему обеспечения безопасности IoT-устройств посредством шлюза.
110
110
110
110
Производители IoT-устройств  очень часто не заботятся об их безопасности, делая выбор в пользу простоты настройки и использования конечными пользователями: устанавливают стандартные логины/пароли для доступа к консоли управления на все выпущенные устройства одной модели, вовремя не обновляют установленные на них библиотеки с известным уязвимостями и т.д. Все это позволяет злоумышленникам получать удаленный контроль над данными устройствами  и использовать скомпрометированные устройства  либо как составную часть бот-сетей, либо для получения приватной информации о пользователе устройства  с целью последующего шантажа, либо для других злонамеренных целей.
110
Специфика данных устройств  (нестандартная прошивка или операционная система, малое количество памяти, отсутствие предусмотренной производителем штатной установки стороннего ПО, автономная работа без возможности постоянной зарядки) не позволяет установить на них полноценные защитные и антивирусные решения.
120
110
110
110
Настоящее изобретение предлагает установку защитного решения на шлюзе  (роутере, коммутаторе), через который устройства  в домашней сети пользователя выходят в Интернет, что позволяет минимизировать вероятность и последствия заражения устройств , а также выявить зараженные устройства  в домашней сети.
110
130
140
120
121
122
160
170
Система обеспечения безопасности IoT-устройств посредством шлюза содержит по меньшей мере одно устройство , взаимодействующее с облачным сервисом  и приложениями  посредством по меньшей мере одного шлюза , который в свою очередь содержит средство перехвата  и средство анализа , которое взаимодействует с сервисом безопасности  и приложениями безопасности .
121
110
110
150
130
190
110
120
110
110
110
150
120
130
190
Средство перехвата  предназначено для получения информации о взаимодействии устройств  с другими устройствами , устройствами , сервисами и серверами (облачным сервисом  и/или вредоносным сервером ) путем перехвата входящего и исходящего трафика устройств , подключенных к шлюзу . Стоит понимать, что в случае, если устройство  было заражено до установки решения, предлагаемого настоящим изобретением, или скомпрометировано после, например было заражено путем прямого подключения к нему (злоумышленник в отсутствие пользователя подключил флеш-накопитель с вредоносным приложением/скриптом к устройству или подключился к устройству  напрямую со своего устройства  посредством кабеля или беспроводного соединения, но минуя шлюз ), то оно будет  взаимодействовать не только с облачным сервисом , но и с по меньшей мере одним удаленным вредоносным сервером .
110
130
190
140
121
110
130
110
150
121
При взаимодействии устройства  с облачным сервисом , вредоносным сервером и приложениями  возникает трафик (обмен данными). Средство перехвата , как было упомянуто выше, выполняет действия для получения информации о взаимодействии устройств  с по меньшей мере одним из: облачным сервисом , удаленным вредоносным сервером, другими устройствами  и устройствами . При этом средство перехвата :
110
- перехватывает DNS/HTTP/HTTPS-запросы от устройств  в домашней сети пользователя;
- извлекает из них домены и URL;
110
110
160
- перехватывает входящий трафик на устройства  на заранее предопределенный набор TCP/UDP-портов (портов Telnet/SSH и других служб, обеспечивающих удаленный доступ к устройству ), при этом упомянутый набор портов может быть изменен по информации, полученной от сервиса безопасности ;
110
- проверяет наличие открытых TCP/UDP-портов (портов Telnet/SSH и других служб, обеспечивающих удаленный доступ к устройству) на устройствах .
121
122
122
Кроме того, средство перехвата выполняет выявленное средством анализа  действие для обеспечения безопасности на основании киберугрозы, определенной средством анализа , при этом действие для обеспечения безопасности применяется к по меньшей мере одному из:
110
- к устройству  в сети;
- к сети в целом.
121
Средство перехвата  для выполнения действия для обеспечения безопасности, которое применяется к сети в целом, выполняет меньшей мере одно из:
110
122
- блокирует соединения устройства  с доменами и URL по решению средства анализа ;
110
110
122
- блокирует соединения устройств  с другими устройствами  по решению средства анализа .
121
110
Средство перехвата  для выполнения действия для обеспечения безопасности, которое применяется к устройству  в сети, выполняет меньшей мере одно из:
110
122
- перезагружает устройство  по решению средства анализа ;
110
122
- обновляет пароль устройства  по решению средства анализа ;
110
122
- обновляет прошивку устройства  по решению средства анализа ;
110
122
122
- проверяет доступ к устройству  по портам Telnet/SSH, полученным от средства анализа , и возвращает средству анализа  результат проверки;
110
122
122
- проверяет доступ к устройству  по паролям, полученным от средства анализа , и возвращает средству анализа  результат проверки.
121
122
122
123
190
190
190
190
190
120
123
110
123
122
160
122
Полученная средством перехвата  информация передается средству анализа  для выявления возможных проблем обеспечения информационной безопасности и киберугроз в сети. Средство анализа  связано с базой данных , в которой хранится описание устройств и описание удаленных вредоносных серверов . Описание удаленных вредоносных серверов  может содержать по меньшей мере URL удаленных вредоносных серверов , а также дополнительно сертификаты и цепочки сертификатов удаленных вредоносных серверов , свертки по http-ответам или страницам удаленных вредоносных серверов . В общем случае в связи с ограниченным количеством памяти на шлюзе  база данных  содержит наиболее актуальные данные по устройствам  пользователя. Стоит отметить, что информацию для заполнения базы данных  средство анализа  получает от сервиса безопасности  (пример будет рассмотрен ниже). Средство анализа  выполняет по меньшей мере следующие действия для определения киберугроз:
110
110
110
110
110
110
110
110
- выявляет описание устройства  (например, посредством запроса к устройству  по номеру порта, открытия веб-страницы по адресу устройства , прочими известными из уровня техники способами), описание в общем случае содержит тип устройства  (например, веб-камера), производителя устройства  (например, Xiaomi), модель устройства  (например, XVV-B10) и в предпочтительном варианте реализации прошивку устройства  (версию программного обеспечения устройства );
110
160
110
110
110
110
- получает информацию об устройстве  от сервиса безопасности  в случае выявления нового устройства  в сети, при этом информация содержит по меньшей мере порты Telnet/SSH устройства , разрешенные домены и URL для устройства , а также разрешенные для взаимодействия устройства  в сети (например, веб-камера может взаимодействовать с другими камерами или с IP-видеорегистратором и сама отправлять запросы на инициализацию);
123
110
- проверяет домены и URL из перехваченного трафика по базе доменов и URL (является частью базы данных ), используемых вредоносными приложениями для устройств ;
110
123
- проверяет перехваченный трафик по базе хэшей вредоносных приложений для устройств  (является частью базы данных ).
122
Также средство анализа  в зависимости от определенной киберугрозы выявляет действия для обеспечения безопасности. Примеры рассмотрены ниже:
110
150
122
160
- в случае обнаружения в исходящем трафике доменов и/или URL из упомянутой базы выносит решение о блокировании соединений с данными доменами и URL и передает решение средству перехвата, при этом устройство  вероятно заражено, о чем в одном из вариантов реализации может быть предупрежден пользователь (например, путем отправки предупреждения на устройство пользователя  посредством e-mail, push-уведомления и прочих известных способов получения информации, а также средство анализа  может передавать данные для оповещения пользователя сервису безопасности );
110
110
110
- в случае обнаружения во входящем трафике на устройство хэшей вредоносных приложений для устройства  выносит решение о блокировании передачи трафика и в одном из вариантов реализации оповещает пользователя устройства ;
110
110
110
123
121
- в случае выявления наличия открытых портов Telnet/SSH на устройстве  и/или возможности соединения с устройством  по паролю выносит решение по проверке возможности подключения к устройству  с использованием базы известных слабых паролей (является частью базы данных ) и передает его средству перехвата ;
110
110
121
110
110
110
- в случае обнаружения вероятно зараженного устройства  выносит решение о перезагрузке устройства , если возможность такой удаленной перезагрузки присутствует, и передает решение средству перехвата , при этом стоит отметить, что зачастую вредоносное приложение, в силу ограниченного объема постоянной памяти устройства  и специфичных для производителя протоколов прошивки устройства , не прописывается в постоянную память, а выполняется в оперативной памяти устройства ;
110
110
110
121
- в случае обнаружения вероятно зараженного устройства  или устройства  со слабым паролем выносит решение о смене пароля устройства , если возможность такой смены существует, и передает решение средству перехвата ;
110
160
110
121
- в случае обнаружения вероятно зараженного устройства или в случае получения от сервиса безопасности  информации о выходе новой прошивки устройства  выносит решение об обновлении прошивки, если возможность такой перепрошивки существует, и передает решение средству перехвата ;
110
110
121
- в случае выявления аномалий в перехваченном трафике устройства  (в данном случае устройство  вероятно заражено) выносит решение о блокировании соединений, связанных с аномалией, передает решение средству перехвата  и в одном из вариантов реализации предупреждает пользователя об этом.
110
110
110
110
110
110
Аномалия – выявленное отклонение в трафике устройств  за период времени. Например, при фактическом переборе паролей извне возрастает число соединений с устройствами  с разных IP-адресов. Такие устройства  можно считать вероятно зараженными в рамках настоящего изобретения, так как вероятность подбора пароля, даже если он был изменен, существует. Устройства  зачастую из-за свой простоты не имеют никакой защиты от перебора паролей, не выставляют таймауты после нескольких некорректных попыток ввода пароля (например, 30 секунд после трех некорректных вводов пароля), поэтому подбор пароля осуществляется сравнительно быстро, и необходимо сделать невозможным сам подбор пароля. В данном случае необходимо заблокировать соединения и предупредить пользователя об этом. Другой пример – устройство  сканирует IP-адреса сети и пытается соединиться с другими устройствами . В данном случае необходимо заблокировать соединения и предупредить пользователя об этом.
122
122
160
В одном из вариантов реализации в случае, если средство анализа  не выявило действие для обеспечения безопасности, средство анализа  запрашивает сервис безопасности  о том, какое действие необходимо выполнить.
160
122
160
160
160
123
123
Сервис безопасности  взаимодействует со средством анализа .В общем случае облачный сервис безопасности  представляет собой сервис на удаленном сервере, при этом сервис безопасности  может быть облачным сервисом (англ. cloud service), сервисом в локальной сети (англ. on promise). Сервис безопасности  предоставляет данные для базы данных , которая содержит данные, связанные с устройствами, и данные с описанием киберугроз. В одном из вариантов реализации база данных  может быть разделена на две базы данных (база данных, связанных с устройствами, и база данных с описанием киберугроз).
Данными, связанными с устройствами, являются:
110
- описание устройств  (рассмотрено выше);
110
- прошивки для устройств ;
110
- слабые пароли для устройств .
Данными с описанием киберугроз являются:
110
- домены и URL, используемые вредоносными приложениями для устройств ;
110
110
-  характерные для устройств  открытые порты Telnet/SSH (нужно понимать, что порты могут различаться в зависимости от текущей прошивки устройства ).
110
170
110
Стоит отметить, что база данных доменов и URL, используемых вредоносными приложениями для устройств , в предпочтительном варианте реализации формируется с помощью приложений безопасности , в качестве которых могут быть применены заранее настроенные виртуальные машины, специально размещенные в сети Интернет без защитных решений, эмулирующие устройства  и содержащие все известные уязвимости, используемые вредоносными приложениям для взлома. Такие виртуальные машины – это так называемые IoT-Honeypot.
170
В рамках настоящего изобретения слабые пароли – это как пароли, не соответствующие требованиям безопасности уровня техники (например, слова из словаря без заглавных букв, цифр и/или спецсимволов), так и так называемые «заводские» пароли от производителя, пароли для входа по умолчанию (admin:admin), утекшие в сеть Интернет пароли (например, в публикациях об уязвимостях в прессе, из баз данных паролей известных утечек, распространяемых в «темных» сегментах Интернета, являющихся скрытыми сетями, соединения в которых устанавливаются только между доверенными узлами с использованием нестандартных протоколов и портов, например в DarkNet). В одном из вариантов реализации слабые пароли могут быть получены с помощью упомянутых приложений безопасности  – IoT-HoneyPot.
160
110
122
В одном из вариантов реализации сервис безопасности  выполняет оповещение пользователя устройства по данным от средства анализа .
160
122
122
110
160
160
В одном из вариантов реализации сервис безопасности пополняет базы данных на основании данных от средства анализа . Так, например, если средство анализа  выявило открытые порты на устройстве , ранее неизвестные сервису безопасности , или передало данные об аномалии с использованием неизвестных ранее доменов и URL, то данные могут быть проанализированы сервисом безопасности  и добавлены в базы данных для дальнейшего использования.
121
122
160
Стоит отметить, что средство перехвата  и средство анализа  могут быть выполнены как в виде компонента антивирусного решения, так и в виде решения EDR (англ. Endpoint Detection and Response), например Kaspersky EDR (https://www.kaspersky.com/enterprise-security/endpoint-detection-response-edr). При этом принятие решения о действии для обеспечения безопасности происходит в сервисе безопасности .
Фиг. 3
отображает схему способа обеспечения безопасности IoT-устройств посредством роутера.
310
121
120
110
110
121
Фиг.2
На этапе  с помощью средства перехвата , которое размещено на шлюзе , получают информацию о взаимодействии устройства  с по меньшей мере одним из: другим устройством , сервисом, сервером. Средство перехвата  подробно рассмотрено при описании .
110
110
В одном из вариантов реализации действием для получения информации о взаимодействии устройств  с другими устройствами , сервисами и серверами является:
110
- перехват DNS/HTTP/HTTPS-запросов от устройств ;
- извлечение из перехваченных запросов данных о доменах и URL;
110
- перехват входящего трафика на устройства  на заранее предопределенный набор TCP/UDP-портов;
110
110
- проверка наличия на устройстве открытых TCP/UDP-портов, обеспечивающих удаленный доступ к устройству .
320
122
120
160
121
160
122
На этапе  с помощью средства анализа , которое размещено на по меньшей мере одном шлюзе , определяют киберугрозы посредством взаимодействия с сервисом безопасности  на основании данных, полученных от средства перехвата , при этом сервис безопасности  предназначен для предоставления данных средству анализа , при этом данные содержатся по меньшей мере в одной из баз данных:
110
- базе данных, связанных с устройствами ;
- базе данных с описанием киберугроз.
122
160
Фиг.2
Средство анализа  и сервис безопасности  подробно рассмотрены при описании .
122
160
121
110
110
110
110
110
110
160
110
110
110
160
110
160
В одном из вариантов реализации с помощью средства анализа для определения киберугрозы посредством взаимодействия с удаленным сервером безопасности  на основании данных, полученных от средства перехвата , выявляют описание устройства , при этом описание содержит по меньшей мере тип устройства , производителя устройства , модель устройства , прошивку устройства ; получают информацию об устройстве от сервиса безопасности , при этом информация содержит по меньшей мере порты Telnet/SSH устройства , разрешенные домены и URL для устройства , а также разрешенные для взаимодействия устройства в сети; проверяют домены и URL из перехваченного трафика по базе доменов и URL, используемых вредоносными приложениями для устройств на основании предоставленных сервисом безопасности  данных; проверяют домены и URL из перехваченного трафика по базе доменов и URL, используемых вредоносными приложениями для устройств  на основании предоставленных сервисом безопасности  данных.
110
110
110
110
В одном из вариантов реализации база данных, связанных с устройствами , содержит описание устройств , прошивки устройств , слабые пароли для устройств .
110
110
В еще одном из вариантов реализации база данных с описанием киберугроз содержит домены и URL, используемые вредоносными приложениями для устройств , характерные для устройств  открытые порты Telnet/SSH.
330
122
На этапе  с помощью средства анализа  в зависимости от определенной киберугрозы выявляют действие для обеспечения безопасности, при этом действие для обеспечения безопасности применяется по меньшей мере к одному из:
110
- к устройству  в сети;
- к сети в целом.
110
В одном из вариантов реализации действием для обеспечения безопасности, которое применяется к устройству  в сети, является:
110
- перезагрузка устройства ;
110
- обновление пароля устройства ;
110
- обновление прошивки устройства ;
110
- проверка доступа к устройству по портам Telnet/SSH;
110
- проверка доступа к устройству по паролям.
В еще одном из вариантов реализации действием для обеспечения безопасности, которое применяется к сети в целом, является:
110
110
- блокирование соединения устройства  с другими устройствами ;
110
- блокирование соединения устройства с доменами и URL.
110
В еще одном из вариантов реализации действие для обеспечения безопасности, которое применяется к устройству  в сети, выявляется следующим образом:
110
110
110
160
- в случае выявления наличия открытых портов Telnet/SSH на устройстве  и/или возможности соединения с устройством по паролю выносят решение по проверке возможности подключения к устройству с использованием базы известных слабых паролей на основании предоставленных сервисом безопасности  данных;
110
110
- в случае определения устройства со слабым паролем выносят решение о смене пароля устройства ;
160
110
- в случае получения от сервиса безопасности  информации о выходе новой прошивки устройства выносят решение об обновлении прошивки.
В еще одном из вариантов реализации действие для обеспечения безопасности, которое применяется к сети в целом, выявляется следующим образом:
110
- в случае обнаружения в исходящем трафике устройства доменов и/или URL из упомянутой базы выносят решение о блокировании соединений с данными доменами и URL;
110
- в случае выявления аномалий в перехваченном трафике устройства  выносят решение о блокировке соединений, связанных с аномалией.
122
160
В еще одном из вариантов реализации средство анализа  запрашивает сервис безопасности  о том, какое действие для обеспечения безопасности необходимо выполнить.
340
121
122
122
На этапе  с помощью средства перехвата  выполняют выявленное средством анализа  действие для обеспечения безопасности на основании киберугрозы, определенной средством анализа .
Фиг. 4
20
21
22
23
21
23
24
25
26
20
24
представляет пример компьютерной системы общего назначения, персональный компьютер или сервер , содержащий центральный процессор , системную память  и системную шину , которая содержит разные системные компоненты, в том числе память, связанную с центральным процессором . Системная шина  реализована, как любая известная из уровня техники шинная структура, содержащая в свою очередь память шины или контроллер памяти шины, периферийную шину и локальную шину, которая способна взаимодействовать с любой другой шинной архитектурой. Системная память содержит постоянное запоминающее устройство (ПЗУ) , память с произвольным доступом (ОЗУ) . Основная система ввода/вывода (BIOS) , содержит основные процедуры, которые обеспечивают передачу информации между элементами персонального компьютера , например, в момент загрузки операционной системы с использованием ПЗУ .
20
27
28
29
30
31
27
28
30
23
32
33
34
20
Персональный компьютер  в свою очередь содержит жесткий диск  для чтения и записи данных, привод магнитных дисков  для чтения и записи на сменные магнитные диски  и оптический привод  для чтения и записи на сменные оптические диски , такие как CD-ROM, DVD-ROM и иные оптические носители информации. Жесткий диск , привод магнитных дисков , оптический привод  соединены с системной шиной  через интерфейс жесткого диска , интерфейс магнитных дисков  и интерфейс оптического привода  соответственно. Приводы и соответствующие компьютерные носители информации представляют собой энергонезависимые средства хранения компьютерных инструкций, структур данных, программных модулей и прочих данных персонального компьютера .
27
29
31
56
23
55
Настоящее описание раскрывает реализацию системы, которая использует жесткий диск , сменный магнитный диск  и сменный оптический диск , но следует понимать, что возможно применение иных типов компьютерных носителей информации , которые способны хранить данные в доступной для чтения компьютером форме (твердотельные накопители, флеш карты памяти, цифровые диски, память с произвольным доступом (ОЗУ) и т.п.), которые подключены к системной шине  через контроллер .
20
36
35
37
38
39
20
40
42
20
46
47
23
48
47
Компьютер  имеет файловую систему , где хранится записанная операционная система , а также дополнительные программные приложения , другие программные модули  и данные программ . Пользователь имеет возможность вводить команды и информацию в персональный компьютер  посредством устройств ввода (клавиатуры , манипулятора «мышь» ). Могут использоваться другие устройства ввода (не отображены): микрофон, джойстик, игровая консоль, сканнер и т.п. Подобные устройства ввода по своему обычаю подключают к компьютерной системе  через последовательный порт , который в свою очередь подсоединен к системной шине, но могут быть подключены иным способом, например, при помощи параллельного порта, игрового порта или универсальной последовательной шины (USB). Монитор  или иной тип устройства отображения также подсоединен к системной шине  через интерфейс, такой как видеоадаптер . В дополнение к монитору , персональный компьютер может быть оснащен другими периферийными устройствами вывода (не отображены), например, колонками, принтером и т.п.
20
49
49
20
Фиг. 4
Персональный компьютер  способен работать в сетевом окружении, при этом используется сетевое соединение с другим или несколькими удаленными компьютерами . Удаленный компьютер (или компьютеры)  являются такими же персональными компьютерами или серверами, которые имеют большинство или все упомянутые элементы, отмеченные ранее при описании существа персонального компьютера , представленного на . В вычислительной сети могут присутствовать также и другие устройства, например, маршрутизаторы, сетевые станции, пиринговые устройства или иные сетевые узлы.
50
20
50
51
20
54
54
23
46
Сетевые соединения могут образовывать локальную вычислительную сеть (LAN)  и глобальную вычислительную сеть (WAN). Такие сети применяются в корпоративных компьютерных сетях, внутренних сетях компаний и, как правило, имеют доступ к сети Интернет. В LAN- или WAN-сетях персональный компьютер  подключен к локальной сети  через сетевой адаптер или сетевой интерфейс . При использовании сетей персональный компьютер  может использовать модем  или иные средства обеспечения связи с глобальной вычислительной сетью, такой как Интернет. Модем , который является внутренним или внешним устройством, подключен к системной шине  посредством последовательного порта . Следует уточнить, что сетевые соединения являются лишь примерными и не обязаны отображать точную конфигурацию сети, т.е. в действительности существуют иные способы установления соединения техническими средствами связи одного компьютера с другим.
В заключение следует отметить, что приведенные в описании сведения являются примерами, которые не ограничивают объем настоящего изобретения, определенного формулой. Специалисту в данной области становится понятным, что могут существовать и другие варианты осуществления настоящего изобретения, согласующиеся с сущностью и объемом настоящего изобретения.