Het Nederlandse beveiligingsbedrijf AXite Security Tools is geselecteerd door de Amerikaanse Transportation Security Administration (TSA). Dit betekent dat de meer dan 450 VS-luchthavens de AX-Box Gatekeeper mogen toepassen. AXite Security Tools ontwikkelde dit ot-beveiligingsproduct in samenwerking met Schiphol.
Menno Cadee is de technisch directeur van AXite Security Tools en als elektrotechnisch ingenieur kent hij operationele systemen (ot) van binnen en buiten. En hij kent de risico’s van het koppelen van ot- aan it-systemen. Die koppeling is nodig omdat reizigers online willen boeken, inchecken, bagage willen registreren, een auto willen reserveren, noem maar op. Cadee trok daarvoor veel op met Ron Wever, cluster manager bagage op Schiphol. ‘Wij hebben veel projecten samengedaan’, zegt Wever. ‘Innige samenwerking leidt tot innovaties. In Nederland hebben we veel vrije denkers en zo brengen we elkaar verder. Op die manier hebben we de AX-Box Gatekeeper samen kunnen ontwikkelen.’
Wie naar ot kijkt, ziet al snel de zwakke schakel: de programmable logic controller (plc). ‘Die heeft een andere architectuur dan pc’s’, legt Cadee uit. ‘Vaak ontbreekt voldoende geheugen om de benodigde security erin te programmeren. Van belang is dat een plc betrouwbaar is, dat het werkproces niet door falen van de plc wordt verstoord. Ook moet de plc voorspelbaar gedrag vertonen. Maar op het vlak van beveiliging houdt het niet over.’ En dat is betreurenswaardig, vindt Wever. ‘Op het laagste controleniveau maakt de plc feitelijk de dienst uit. Zo’n vijf jaar geleden, toen we met AXite Security Tools onderzoek deden naar hoe we toch ot kunnen beveiligen, waren er geen bedrijven die zich bezighielden met ot-security.’
Overschrijven
Uit de samenwerking met Schiphol is een kleine vijf jaar geleden de AX-Box Gatekeeper ontstaan. ‘Wij hebben de plc de plc gelaten en een schil rond de plc weten te bouwen die de digitale beveiliging voor zijn rekening neemt. Daarmee verklein je de risico’s die ontstaan bij het programmeren van plc’s op afstand. De box houdt een plc of een plc-netwerk nauwlettend in de gaten en detecteert afwijkingen in communicatie met gebruikmaking van kunstmatige intelligentie. Bovendien is het mogelijk regels in te stellen voor slim configuratiebeheer op basis van blacklisting, gecontroleerde serviceondersteuning of vast te stellen wat de essentie is van een gekoppeld systeem; wat het behoort te doen, zodat je kunt ingrijpen als het iets anders doet. Het beveiligingsapparaat is eenvoudig te plaatsen tussen het it-netwerk en de te beschermen plc, zogenaamd ‘on the wire’. ‘Het mooie van de oplossing is dat je aan verandermanagement kunt doen’, vertelt Wever. ‘Je weet altijd welke besturingsversie op de plc staat. En als iets niet klopt, kun je het overschrijven en teruggaan naar de vorige versie.’
Schiphol gebruikt de oplossing om zijn passagiers- en bagagesystemen beter te beveiligen. Hoe dat gebeurt, vertelt Wever niet. ‘Ik wil kwaadwillenden niet op gedachten brengen.’ Wel geeft hij aan dat een plc fysiek niet is te benaderen door onbevoegden. ‘Die staan altijd achter slot en grendel.’ Cadee vult aan dat dat op luchthavens wel het geval is. Maar hij ziet genoeg omgevingen waar plc’s open en bloot op de werkvloer staan.
Ronald Reagan
Twee jaar geleden, zo geeft Cadee aan, kreeg AXite Security Tools het verzoek van TSA om mee te doen aan de selectieprocedure voor beveiligingsoplossingen voor vliegvelden en havens. ‘Wij zijn gevraagd in te schrijven voor luchthavens. Wij mochten onze oplossing demonstreren bij de TSA System Integration faciliteit in Arlington, Virginia naast Ronald Reagan Washington National Airport. Na drie weken bleek dat wij inderdaad onbekend en gevaarlijk verkeer kunnen signaleren en blokkeren. Voorts hebben wij testen gedaan op Dallas Love Field Airport in samenwerking met Southwest Airlines. Het was een langdurig proces, een strenge selectieprocedure, we hebben er veel van geleerd. En uiteindelijk zijn we blij met de erkenning van TSA’, zegt Cadee.
TSA is een agentschap van United States Department of Homeland Security. Met nationale, regionale en lokale partners houdt TSA toezicht op de beveiliging van snelwegen, spoorwegen, bussen, massale transitsystemen, pijpleidingen en havens. Maar het grootste deel van de inspanning van TSA zit in beveiliging van luchthavens. Door de erkenning van TSA mogen de meer dan 450 luchthavens in de VS de AX-Box Gatekeeper inzetten om hun beveiliging te versterken. Inmiddels heeft AXite Security Tools behalve kantoren in Den Haag en Schiphol, ook een vestiging in Washington DC.
Augurkenpotjes
Als je de ot van vliegvelden kunt beveiligen, dan kun je dat overal doen, menen Cadee en Wever. ‘Een vliegveld neemt een bijzondere positie in, omdat je daar te maken hebt met de persoonlijke veiligheid van reizigers, maar ook met hun privacy. Het is wat anders dan een plc die een lijn met augurkenpotjes aanstuurt. Als daar iets misgaat, dan wordt alleen het productieproces verstoord. Ook vervelend, maar dat heeft geen persoonlijke consequenties’, aldus Cadee. De AX-Box Gatekeeper kan dan ook volgens hem dienstdoen in elke organisatie met ot’s. Denk aan havens, sluizen, snelwegen (Cadee spreekt van ‘Rijkswaterstaat-achtige omgevingen’), maar ook ziekenhuizen, gebouwbeheersystemen en de maakindustrie.
AXite Security Tools is overigens nog niet klaar met de verfijning van zijn security-box. ‘Wij willen de zero-trust-functionaliteit verder uitbreiden’, zegt Cadee. ‘We willen exact kunnen weergeven welke activiteiten binnen een plc of een plc-netwerk worden uitgevoerd. Bovendien willen we het beter mogelijk maken om legacy-plc’s te beschermen.’ Daar zijn er nog heel veel van, want een plc wordt pas afgeschreven als de end of service is aangekondigd door de fabrikant of wanneer hij het echt niet meer doet. En zijn er dus nog controllers met fabriekseigen besturingssystemen waarvan soms de fabrikant zelfs niet meer weet hoe die in elkaar steken. Daar krijgt AXite Security Tools nog een kluif aan.
