Wiele firm wykorzystuje urządzenia osadzone, które służą niekiedy do obsługi głównej gałęzi biznesowej. Oprócz zastosowań takich jak serwery wydruku lub niewielkie routery komputery osadzone można spotkać w automatyce przemysłowej, w telefonii i transmisji wideo. Są to urządzenia dostosowane do pełnienia konkretnej funkcji w firmie i producenci przez wiele lat dopracowali ich oprogramowanie. Cały nacisk kładziono na niezawodne wykonywanie wyznaczonych zadań, na czym musiało ucierpieć bezpieczeństwo rozwiązania. Niekiedy, zwłaszcza w automatyce przemysłowej, przyjmowano założenie, że bezpieczeństwo całego środowiska należy zapewnić innymi środkami, takimi jak separacja sieci.

Włamanie z routera

Urządzenia osadzone rzadko są pod dokładną kontrolą w firmowej sieci, gdyż nie można w nich zainstalować oprogramowania monitorującego lub uwierzytelniającego (agenta), a zatem nie daje się przeprowadzić uwierzytelnienia urządzenia do firmowej sieci. Jedyne, po czym rozpoznaje się takie urządzenie, to jego adres MAC, statycznie przydzielony adres IP oraz czasami charakterystyka ruchu i komunikacja po SNMP. Oznacza to, że można nie tylko przechwycić całą komunikację urządzenia, ale także użyć jego adresu IP oraz MAC do włamania. Wprowadzenie niedużego komputera (platforma Raspberry Pi się do tego świetnie nadaje) umożliwia sklonowanie adresu MAC oraz IP, przekierowanie całego ruchu do oryginalnego urządzenia i z powrotem, ale także rozpoczęcie ataków kierowanych przeciw firmowej sieci.

Metoda ta w wielu firmach pozostaje niezauważona, gdyż rzadko monitoruje się ruch np. na serwerach wydruku. W normalnych warunkach eksploatacji drukarki serwer wydruku nie powinien zestawiać innych połączeń niż do firmowego serwera plików i drukarek, korporacyjnych serwerów DNS i pocztowego w celu wysłania informacji o zdarzeniach alarmowych oraz ewentualnie do serwisu producenta, w celu sprawdzenia aktualizacji. Zazwyczaj jednak taki serwer wydruku przyjmuje jedynie połączenia przychodzące i wysyła raporty działania drukarki. Z kolei routery oprócz manipulacji ruchem przechodzącym przez urządzenie inicjują także połączenia do serwerów DNS oraz firmowego serwera zapisującego zdarzenia do usługi syslog.

Podmieniony firmware

Urządzenia osadzone nie mogą zostać łatwo zmodyfikowane przez firmowe IT, dla którego stanowią "czarną skrzynkę". Nie można tego powiedzieć o specjalistach do spraw bezpieczeństwa urządzeń, którzy są w stanie złamać zabezpieczenia i wprowadzić podmienione oprogramowanie do samego urządzenia. Atak taki jest groźny, gdyż nie każdy administrator zdaje sobie sprawę z tego, że firmware można łatwo podmienić. Chociaż urządzenie ma ograniczone zasoby procesora i pamięci, można w nim zaimplementować sporo dodatkowej funkcjonalności związanej z siecią.

Specjaliści do spraw bezpieczeństwa zajmujący się audytem wspominali o serwerze proxy zainstalowanym w niewielkim serwerze wydruku, a nawet o punkcie dostępowym wbudowanym w drukarkę z bezprzewodowym modułem sieciowym. Przy braku monitoringu atak za pomocą podrobionego firmware'u jest realny i w wielu organizacjach może nie zostać wykryty przez całe lata. Jedynym sposobem wykrycia niepożądanej funkcjonalności takiego urządzenia po podmianie firmware'u jest albo dokładna kontrola zawartości pamięci EEPROM lub Flash w urządzeniu, albo analiza ruchu sieciowego wychodzącego i przychodzącego do tego urządzenia. W praktyce administratorzy rzadko kiedy sprawdzają poprawność fimware'u, ufając zabezpieczeniom wprowadzanym przez producentów.

Urządzenia osadzone poważniejszych producentów wyposażone są w kontrolę spójności firmware'u, by uniknąć instalacji podmienionego oprogramowania, ale praktyka pokazała, że nawet takie zabezpieczenia udawało się włamywaczom obejść. Z pewnością należy regularnie aktualizować osadzone oprogramowanie, jeśli tylko producent dostarcza poprawki i istnieje możliwość ich wprowadzenia. Jeśli starsza wersja oprogramowania zawiera niewykrytego dotąd konia trojańskiego wprowadzonego przez włamywaczy, nadpisanie nową wersją firmware'u powinno usunąć niepożądany kod.

Brak aktualizacji

Urządzenia osadzone mogą zawierać normalny system operacyjny. Spotyka się w nich zarówno systemy typu UNIX, jak i Windows. Systemy te stanowią część wbudowanego w urządzenie oprogramowania, które było tworzone specjalnie pod kątem obsługiwanych urządzeń. Niektóre aktualizacje, takie jak dodatki Service Pack dla systemu Microsoft Windows, nie były zgodne z niestandardowym oprogramowaniem, a zatem nie można ich zastosować. Jeśli komputer z tym systemem ma niestandardowe peryferia, np. steruje robotem przemysłowym, niezgodnej aktualizacji nie można zastosować.

Ponieważ w zastosowaniach osadzonych podstawowym celem jest stabilność pracy, nie daje się zastosować zabezpieczeń, poprawek ani aktualizacji, które mogłyby zakłócić pracę krytycznego dla firmy urządzenia. Bezpieczeństwo niechronionych komputerów jest poważnie zagrożone, gdyż nie mają one niezbędnych poprawek producenta, bo naruszyłyby one stabilność rozwiązania, a z drugiej strony w oprogramowaniu znajdują się znane już luki.

Przykładem jest ochrona linii produkcyjnej, w której stosowane są roboty przemysłowe sterowane komputerami z systemem Windows 2000 Service Pack 1. System ten dawno stracił wsparcie techniczne producenta i poprawki bezpieczeństwa nie są już przez Microsoft dostarczane. W niektórych urządzeniach pracuje jeszcze starszy system - Windows NT Workstation 4.0 - do którego poprawek nie ma od kilku lat i nie będzie nawet w najdroższym, wydłużonym wsparciu technicznym, oferowanym dla wybranych klientów. Urządzenia takie będą nadal pracować, a zatem należy skorzystać z innych metod zapewnienia im bezpieczeństwa.

Gdy urządzenia osadzone sterują infrastrukturą krytyczną firmy, każdy przestój wiąże się z wysokimi kosztami, dlatego też trzeba zabezpieczyć wrażliwy system przed atakiem bez wprowadzania zmian do stabilnej konfiguracji urządzenia, systemu i aplikacji.

Nieznane oprogramowanie

Nawet jeśli urządzenie zawiera standardowy i nadal obsługiwany system operacyjny, do którego jeszcze wydawane są poprawki, czynnikiem wpływającym na bezpieczeństwo jest specjalizowane oprogramowanie instalowane w tym systemie. Oprócz sterowników do specjalizowanego sprzętu w systemie zdarzają się niestandardowe usługi związane z tym oprogramowaniem. Otwierane są porty sieciowe, instalowane narzędzia, przechowywane zasoby i zestawiane połączenia. W takim oprogramowaniu zazwyczaj znajdują się luki w bezpieczeństwie. Nie zawsze producent spieszy się z wydaniem i dostarczeniem poprawek, gdyż proces ten wymaga uważnego testowania oprogramowania, co zawsze przynosi wysokie koszty. Oczywiście, te koszty należy ponieść, ale w systemach osadzonych, szczególnie związanych z przemysłem, priorytetem jest realizacja żądanej funkcjonalności.