Industriële controlesystemen lopen verhoogd cyberrisico midden in VS-Iran spanningen

De recente piek in VS-Iran spanningen heeft het dreigingslandschap voor industriële controlesystemen (ICS) verhoogd. Organisaties die verbonden industriële infrastructuur exploiteren, moeten nu een meer waakzame beveiligingshouding aanhouden.

Eyal Elyashiv, CEO en co-founder van Cynamics, waarschuwde dat de cyber-impact voortvloeiend uit de moord op Iraanse generaal Qasem Soleimani significant kan zijn.

Industrie-analisten merken op dat het verhoogde VS-Iran conflict het algehele cyberrisico verhoogt. Bill Malik, VP of infrastructure strategies bij Trend Micro, stelde: "We hebben geen insider kennis van specifieke aanvalsplannen, maar het is logisch dat stijgende politieke spanningen meer cyberaanvallen kunnen aansturen."

Na de moord gaven talloze cybersecurity-experts en Amerikaanse ambtenaren waarschuwingen over het verhoogde risico op aanvallen van Iraanse geaffilieerde adversaries.

Andrea Little Limbago, Ph.D., chief social scientist bij Virtru, waarschuwde dat de waarschijnlijkheid van kleinere, afleidende cyberaanvallen hoger is dan een volledige cyberoorlog. Ze voegde toe: "Iraans cyberactiviteit – van destructieve aanvallen tot desinformatie – is al langere tijd wijdverspreid. Dat is niet nieuw en niet gelinkt aan de gebeurtenissen van deze week."

Over het afgelopen decennium hebben Iraanse cybercapaciteiten dramatisch uitgebreid. Analisten hebben een reeks aanvallen – inclusief denial-of-service aanvallen op Amerikaanse banken en custom malware gericht op Saudi Aramco – aan Iraanse acteurs toegeschreven. In 2015 beweerden rapporten dat Iraanse hackers de Amerikaanse stroomvoorziening hadden geïnfiltreerd.

Amerikaanse ambtenaren zouden diepbezorgd moeten zijn over Iraans cyberbereik, benadrukte Elyashiv.

Een Department of Homeland Security alert uitgegeven op 4 jan. waarschuwde dat Iran, op zijn minst, aanvallen met tijdelijke verstorende effecten tegen cruciale Amerikaanse infrastructuur kon lanceren.

Op dezelfde wijze benadrukte de U.S. Cybersecurity and Infrastructure Security Agency een verhoogd risico op cyber-spionage en aanvallen tegen financiële, energie-, telecommunicatie- en industriële controlesystemen.

De Amerikaanse Justitie Departement aanklacht in 2016 zeven Iraanse contractanten gelieerd aan de Islamitische Revolutionaire Garde Corps voor cyberaanvallen op diverse banken en een New York dam. De DHS waarschuwde ook voor Iraanse acteurs "verkennen en plannen tegen infrastructuurdoelen en cyber-ingeschakelde aanvallen op een reeks Amerikaanse doelen."

In de industriële sector heeft een hacker-collectief bekend als Advanced Persistent Threat 33, verbonden met Iran, defensie, transport en energie-organisaties getarget, volgens Cyberscoop.

Limbago gelooft dat, gegeven het huidige spanningenniveau, Iran onwaarschijnlijk is om expliciete ICS-kwetsbaarheden te prioriteren op korte termijn. Ze merkte op dat "Iran begrijpt dat destructieve aanvallen op cruciale infrastructuur waarschijnlijk escalatie en vergelding zullen triggeren."

Voormalig CIA Counterterrorism Center executive director Carol Rollie Flynn voorspelt dat Iraanse acteurs zich zullen richten op kleinere cyberaanvallen om vergelding te vermijden.

Limbago suggereert ook dat Iraanse adversaries private-sector organisaties zonder duidelijke IC-verbinding kunnen targeten. Historisch precedent, zoals de aanval op Sands Casino in 2015 vermeend gelinkt aan Iran, ondersteunt deze aanpak.

Desinformatie blijft een kerncomponent van Iraans cyberstrategie. Limbago beschreef deze operaties als "extreem productief en globaal," gericht op het versterken van domestieke steun en het zaaien van anti-Amerikaans sentiment wereldwijd.

Cyberrisico beheren

Ongeacht het veranderende geopolitieke landschap, moeten industriële operators hun verbonden apparaten auditen. Malik adviseert technologie-inventarissen te herzien, kwetsbaarheden te beoordelen en controles toe te passen om aanvalsoppervlakken te verminderen.

Omdat uptime voorop staat, blijven veel industriële omgevingen verouderde, ongepatchte hardware en software gebruiken. Elyashiv waarschuwde dat "organisaties verder moeten kijken dan deze verouderde systemen die momenteel cruciale infrastructuur beschermen, aangezien recente geschiedenis duidelijk toont dat ze gemakkelijk gecompromitteerd kunnen worden."

David Goldstein, president en CEO van AssetLink Global LLC, benadrukte dat het beveiligen van IIoT meer vereist dan hardware en software. "Het antwoord op IIoT-beveiliging zit niet volledig in hardware en software," zei hij.

De Stuxnet-aanval op Iraans Natanz kernverrijkingsfaciliteit benadrukte het belang van fysieke toegangskontroles. In die operatie installeerden dubbele agenten malware op een air-gapped centraal netwerk, wat uiteindelijk ongeveer 1.000 centrifuges vernietigde.

Goldstein benadrukte dat vertrouwen en toegangskontrole cruciaal zijn. Hij vroeg: "Met wie werk je samen, wie vertrouw je, wie heeft credentials om in je systeem te komen, wie heeft fysieke toegang? Vertrouwen tussen acteurs en partners zal steeds belangrijker worden naarmate IoT-systemen alles doordringen."

Naarmate IoT-technologieën zich in industriële contexten verspreiden, blijft een tekort aan cyber-experts die bekend zijn met industriële controlesystemen bestaan. Goldstein merkte op dat de meeste analisten generieke IT-technieken toepassen op industriële IoT, waarbij proprietaire protocollen en update-uitdagingen worden over het hoofd gezien, wat significante kwetsbaarheden oplevert.

Organisaties zoals het Amerikaanse Department of Defense en MITRE Corp. overbruggen deze kloof met frameworks zoals MITRE ATT&CK voor ICs. Malik legde uit dat dit framework fabricanten, eigenaren en operators in staat stelt om aanvalsscenario's te bespreken en kwetsbaarheden consistent te rapporteren over sectoren heen.

Malik benadrukte dat cybersecurity een reis is, geen bestemming. Gegeven de korte-termijn aard van de huidige spanningen, zei hij: "Er is weinig wat IC-fabricanten snel kunnen doen om hun productie-beveiligingshouding te versterken."

Hij identificeerde ook een specifieke kwetsbaarheid: veldonderhoudslinks gebruikt voor diagnostiek kunnen aanvalsvectoren worden. Malik riep leveranciers op klantgegevens te beveiligen, verkeer waar mogelijk te versleutelen, en te zorgen dat software-updates vrij zijn van malware.