Fabrieken worden kwetsbaarder, niet veiliger

In 2010 beschadigde het uiterst geavanceerde StuxNet-virus de nucleaire centrifuges die essentieel waren voor het Iraanse kernprogramma. Wat merken we acht jaar later? Fabrieken zijn nog steeds kwetsbaar voor zulke aanvallen, en zelfs minder gerichte malware kan zware fysieke schade veroorzaken. Het kan nochtans anders.

De centrifuges voor de verrijking van uranium in de Iraanse installatie waren niet verbonden met het internet. Toch slaagde een virus er in de toestellen fysiek te beschadigen, en het Iraanse nucleaire programma met enkele jaren te vertragen. Het slechte nieuws? De kwetsbaarheden van toen bedreigen ook vandaag nog de meeste nucleaire installaties. Het nog slechtere nieuws? Nucleaire installaties en andere industriële infrastructuur krijgen met nog meer cybergevaar te kampen dan ooit tevoren. 

Industriële hardware zoals de Iraanse centrifuges draait op heel gespecialiseerde software, Industrial Control Systems (ICS), die werden ontwikkeld in tijden waarin er van cyberdreigingen nauwelijks sprake was. De controlesoftware die machines aandreef, was vaak gebouwd op bedrijfseigen protocollen, die enkel efficiëntie als doel hadden. Over beveiliging dacht niemand na. Waarom ook? Er viel geen internetverbinding in mijlen te bespeuren. Vaak hadden ze niet eens van internet gehoord.

Moeilijk te patchen

Industriële systemen zijn echter ontworpen om lang mee te gaan, waardoor ze ook vandaag in onze geconnecteerde wereld nog volop meedraaien. Daardoor zien we in veel industriële omgevingen een allegaartje van legacy-machines die verbonden zijn met bedrijfsnetwerken, maar geen enkele vorm van ingebouwde beveiliging bezitten. De systemen zijn fragiel, kunnen meestal niet geüpdatet worden, en slaan soms zelfs op tilt wanneer ze input krijgen die ze niet verwachten. De complexiteit van de systemen zorgt er al te vaak voor dat beheerders de risico’s niet correct inschatten, en liever niet prutsen aan iets dat naar hun mening goed werkt. Sommige oude systemen kunnen sowieso niet zomaar van een nieuwe softwareversie voorzien worden, waardoor ze inherent kwetsbaar blijven.

Dat klinkt als muziek in de oren van cybermisdadigers en -terroristen: niet-gepatchte systemen zijn hun favoriete speelterrein. Zelfs niet aan het internet verbonden systemen kunnen dan ten prooi vallen aan gerichte aanvallen. In het StuxNet-voorbeeld van hierboven, bijvoorbeeld, werden via het internet besmette usb-drives de fabriek binnengebracht door een niets vermoedende medewerker, waarna de malware aan de slag kon.

Meer risico

Vandaag zijn industriële systemen niet alleen kwetsbaar voor dergelijke gerichte aanvallen, de steeds verdere netwerkintegratie heeft het risico alleen maar groter gemaakt. Vorig jaar nog toonde het WannaCry-virus aan dat een totaal ongericht stuk malware ernstige schade kan berokkenen aan organisaties door de productie in fabrieken te bevriezen. Updaten dan maar, zegt u? Dat is helaas niet altijd even eenvoudig, zoals hierboven al besproken. 

Dat betekent echter niet dat we ons zomaar moeten neerleggen bij de cyberdreiging die onze industriële infrastructuur in het gezicht staart. Zelfs met een onveilig toestel kunt u toch een sterke beveiliging voorzien. De oplossing gaat schuil onder de naam ‘netwerksegmentering’. Door de industriële infrastructuur op te delen in zones en de communicatie tussen die zones te controleren en beschermen, kunnen organisaties de risico’s beperken, zelfs van industriële controlesystemen die zo vol gaten zitten als Zwitserse kaas.

Meer poorten, meer controle

Netwerksegmentatie betekent in de praktijk dat machines per functie in afgeschermde netwerkdomeinen worden ondergebracht. De communicatie tussen de verschillende zones dient u vervolgens strak te controleren: enkel de toegelaten types netwerkverkeer mogen passeren. Als de centrifuges in Iran in een afgebakend netwerk hadden gezeten, met een firewall die de communicatie met het controlecentrum monitorde, zou de StuxNet-aanval nooit gelukt zijn. De malware mocht vanop de usb-stick proberen te ontdekken of het einddoel was bereikt, maar dan had de firewall deze netwerkscan netjes geblokkeerd. En ook het signaal naar de centrifuges om in overdrive te gaan was op een gesloten firewall geëindigd wegens, niet geïdentificeerd als toegestane standaardcommunicatie.

Maar ook dichter bij huis en met minder geavanceerde aanvallen kan segmentering van pas komen. Denk maar aan de Industroyer-malware die zorgde voor een black-out in Oekraïne, en de Honda-fabriek die stilviel nadat het WannaCry-virus kritieke systemen besmette. Beide incidenten hadden met een netjes gesegmenteerde infrastructuur kunnen worden voorkomen. 

Conclusie

In het huidige cyberlandschap is verouderde hardware geen excuus meer om zomaar risico’s te aanvaarden. Kunt u uwe oude stuursystemen niet updaten, of draait uw controlesoftware noodgedwongen op een verouderde en kwetsbare versie van Windows of Linux? Til dan de beveiliging op netwerk-niveau: scherm kwetsbare toestellen af met een afdoend segmenteringssysteem en zorg er voor dat kwaadaardige code gestopt wordt voor ze het doelwit bereikt.