We use cookies to enhance your experience. By continuing to visit this site you agree to our use of cookies.

Penetrační testování IoT / automotive / embedded Linux zařízení

Pomocí penetračního testu nasimulujeme útok na vaše IoT zařízení a odhalíme jeho zranitelná místa. Na základě výsledku testu vám dodáme srozumitelný report a v případě potřeby pomůžeme s odstraněním zranitelností. Protože IoT zařízení jsou často velmi odlišná, jejich testování vždy flexibilně přizpůsobujeme danému zařízení.

V Auxilium Cyber Security máme zkušenosti s penetračním testováním široké škály vestavných zařízení od armádní jednotky pro ochranu utajovaných informací přes hlavní jednotky do automobilů až po průmyslové routery.

Cíle

Hlavním cílem penetračního testu je odhalit bezpečnostní slabiny vašeho IoT zařízení a navrhnout adekvátní opatření k jejich odstranění.

Metodika penetračního testování IoT/ automotive / embedded Linux zařízení

Pro penetrační testování IoT a vestavných systémů máme k dispozici plně vybavenou testovací laboratoř, kde jsme schopni otestovat různorodá rozhraní vašeho zařízení. Testování vždy přizpůsobujeme danému zařízení, a využíváme některé z následujících scénářů (vektorů útoku):

  1. Attacking device via WiFi
  2. Attacking device via Bluetooth
  3. Attacking device via media player/USB
  4. Attacking device via CAN/UDS
  5. Attacking device via Internet connection
  6. Attacking device via CarPlay/MirrorLink/Android Auto
  7. Attacking device via Internet Browser
  8. Attacking device via physical interfaces + bootloader
  9. Attacking device via update procedure
  10. Attacking device via web administration system
  11. Finding Local Privilege Escalation misconfigurations
  12. Finding outdated/vulnerable components (libraries, etc.)
  13. And much more depending on a device

Penetrační testování vestavných Linux a Android systémů je naší klíčovou specializací. Naše laboratoř je bohatě vybavena mimo jiné laboratorními zdroji, USB2CAN adaptéry a OBDII diagnostikou, USB-UART, multimetry, rootnutými Android a jailbrokntutými iPhone telefony, WiFi a Bluetooth kontroléry a dalším.

UNECE WP.29 and ISO/SAE-21434 (automotive)

Na základě nového standardu Evropská hospodářská komise OSN UNECE WP.29 budou odpovídající opatření v oblasti kybernetické bezpečnosti budou součástí registrace nových vozidel. Tyto pravidla se vztahují na nové registrace v rámci Evropské Unie společně s Velkou Británií, Tureckem, Japonskem, Ruskem, Austrálií a dalšími zeměmi OECD.

OEM registrující nová vozidla na těchto trzích musí prokázat, že mají zaveden odpovídající Cyber Security Management System, který mimo jiné zahrnuje:

  • Zavedené procesy k ověřování, že identifikovaná bezpečnostní rizika jsou náležitě řízena;
  • Zavedení procesy pro testování kybernetické bezpečnosti vozidel;

Auxilium Cyber Security nabízí penetrační testy vozidel či jejich komponent vůči seznamu hrozeb UNECE WP.29 Annex 5. Výstupy našich penetračních testů splňují požadavky certifikace a výsledky společného projektu proto můžete využít v rámci certifikačního procesu.

Náš přístup k penetračnímu testování vestavných zařízení

1. Stanovení základního rámce penetračního testu

První fáze slouží k pochopení potřeb klienta a k detailnímu seznámení se s IoT zařízením, především pak s jeho funkcionalitou a architekturou. Výstupem je detailní pochopení potřeb klienta a stanovení základního rámce penetračního testu – všech rozhraní (vektorů útoku) IoT systému, které bude potřeba otestovat.

2. Vypracování detailní nabídky a její schválení

Na základě pochopení vašich potřeb a požadavků je vypracována detailní nabídka. V rámci nabídky jsou popsány metodiky testování, testovací scénáře, způsob reportování výsledků a především pak rozsah penetračního testu. Dále je zde navrhnut časový rámec potřebný k úspěšnému vykonání penetračního testu. Výstupem této fáze je odsouhlasení finální nabídky.

3. Penetrační testování

Samotné penetrační testování pak probíhá dle stanovených a odsouhlasených požadavků. Během něj naši certifikovaní penetrační testeři odhalí jednotlivé zranitelnosti a předvedou vám, jak tyto zranitelnosti mohou být zneužity případným útočníkem.

4. Reporting

Vašemu týmu doručíme detailní technickou zprávu, která obsahuje ukázky jednotlivých zranitelností, a návrhů na jejich odstranění. V případě potřeby také ochotně dodáme finální zprávu ve formě prezentace, či manažerského shrnutí daného penetračního testu, které bude srozumitelně komunikovat nálezy a rizika s nimi spojené vedení vaší společnosti.

5. Podpora při odstranění zranitelností

Pokud má vaše organizace omezené vývojové kapacity, můžeme poskytnout součinnost a podporu s odstraňováním odhalených zranitelností.

6. Možnost proškolení vývojového týmu

V Auxilium Cyber Security jsme také schopni na základě výsledků penetračních testů vytvořit pokyny pro bezpečné kódování (secure coding guidelines) a připravit vašemu týmu školení na téma bezpečného vývoje.

Proč si vybrat právě nás?

  1. Náš tým se skládá ze zkušených penetračních testerů s certifikáty OSCP, OSCE nebo CISM.
  2. Vlastní výzkum v oblasti kybernetické bezpečnosti.
  3. Dodáme srozumitelný a detailní technický report včetně návrhů na odstranění zranitelností.
  4. Spolupráce může probíhat v češtině, angličtině nebo němčině.
  5. S penetračním testováním podnikové infrastruktury máme zkušenosti od roku 2015.
  6. V případě potřeby vytvoříme na základě výsledků penetračních testů pokyny pro bezpečné kódování nebo proškolíme vývojový tým.

Náš výzkum v oblasti kybernetické bezpečnosti IoT / automotive

  1. [CVE-2021-29507] Improper Input Validation leads to buffer overflow in dlt-daemon
  2. CANdy – automated CAN bus message mapping framework

Vybrané reference v oblasti penetračního testování IoT / automotive

  1. Evropská agentura pro bezpečnost sítí a informací (ENISA): Návrh a implementace počítačového viru pro Linuxové letištní IP kamery. Virus byl určen pro pan-Evropské bezpečnostní cvičení Cyber Europe 2018.
  2. Retia: Penetrační test jednotky pro zpracování a ochranu utajovaných informací včetně webového rozhraní. Detailed reference.
  3. Německý výrobce automobilů: Penetrační test mnoha automotive head unit (chytré autorádio) postavené na Linuxu. Detailed reference.
  4. Advantech B+B SmartWorx: Penetrační test průmyslového routeru postaveného na Linuxu. Detail reference.
  5. Jablotron: Penetrační test systému domácích alarmů.

Telefon

Germany: +49 (0) 7243 - 718 77 55
Czech Republic: +420 739 467 470

LinkedIn

www.linkedin.com

Adresse

Siemensstraße 23
76275 Ettlingen
Germany
Přístavní 1363/1
17000 Prague
Czech Republic