Industriële controlesystemen in gevaar midden in VS-Iran spanningen

Midden in escererende VS-Iran spanningen moeten organisaties die verbonden industriële infrastructuur exploiteren hun cyberverdediging versterken.

"De cyber-impact van de moord op generaal Qasem Soleimani is diepgaand," waarschuwde Eyal Elyashiv, CEO en co-founder van netwerkbeveiligingsfirma Cynamics.

Industrie-analisten merken op dat de recente VS-Iran opvlamming het algehele cyberrisico verbreedt. "We hebben geen insider intel over specifieke aanvallen, maar verhoogde politieke spanningen zullen waarschijnlijk meer cyberaanvallen aansturen," zei Bill Malik, vice-president of infrastructure strategies bij Trend Micro.

Na de dood van Soleimani hebben cybersecurity-specialisten en Amerikaanse ambtenaren alike gewaarschuwd voor de dreiging die Iraanse geaffilieerde adversaries vormen voor industriële controlesystemen.

Sommige experts argumenteren dat aanvallers kleinere, afleidende cyberincidenten kunnen lanceren in plaats van een full-scale cyberoorlog. "Aannemen dat een totale cyberconflict voorbij is, is verfrust," merkte Andrea Little Limbago, Ph.D., chief social scientist bij Virtru, op. "Iraans cyberactiviteit, variërend van destructieve aanvallen tot desinformatie, is al jaren pervasief en niet uniek gebonden aan recente gebeurtenissen."

Over het laatste decennium zijn Iraanse cybercapaciteiten dramatisch gegroeid. Beveiligingsonderzoekers schrijven een reeks aanvallen toe – inclusief DDoS-aanvallen op Amerikaanse banken en custom malware gericht op Saudi Aramco – aan Iraanse acteurs. In 2015 beweerden rapporten ook dat Iraanse hackers de Amerikaanse stroomvoorziening hadden geïnfiltreerd.

"Amerikaanse ambtenaren zouden diepbezorgd moeten zijn over Iraans cyberbereik en capaciteiten," benadrukte Elyashiv.

Ondanks rapporten over een afkoeling in bilaterale spanningen, waarschuwde een DHS-alert uitgegeven op 4 jan. dat Iran "aanvallen met tijdelijke verstorende effecten tegen cruciale Amerikaanse infrastructuur" kon lanceren.

De U.S. Cybersecurity and Infrastructure Security Agency (CISA) vlagde eveneens een verhoogd risico op aanvallen en cyber-spionage tegen strategische sectoren – financiën, energie, telecommunicatie – en merkte een groeiende focus op industriële controlesystemen en operationele technologie op.

Iraanse acteurs hebben een track record van het targeten van Amerikaanse infrastructuur. In 2016 ontketende het Justitie Departement een aanklacht tegen zeven contractanten gelieerd aan de Islamitische Revolutionaire Garde Corps voor cyberaanvallen op meerdere banken en een New York dam. DHS waarschuwde ook dat Iraan-geaffilieerde acteurs "verkennen en plannen tegen infrastructuurdoelen, uitvoerend cyber-ingeschakelde aanvallen op een reeks Amerikaanse sites."

Industriële doelen worden niet gespaard. Cyberscoop rapporteert dat de Iraan-gelinkte hacker-collectief Advanced Persistent Threat 33 herhaaldelijk de defensie, transport- en energiesectoren heeft getarget.

Limbago waarschuwt dat het voorbarig is om te verwachten dat Iran zich op korte termijn zal richten op het exploiteren van industriële controle-kwetsbaarheden. "Als spanningen verder oplopen, kan de strategie verschuiven, maar op dit moment blijft Iraans cyberactiviteit in de grijze zone – beneden outright oorlog," legde ze uit. "Iran weet dat destructieve aanvallen op cruciale infrastructuur vergelding zou provoceren."

Voormalig CIA Counterterrorism Center executive Carol Rollie Flynn voorspelt dat Iran kleinere cyberaanvallen zal lanceren om Amerikaanse vergelding te vermijden. "Ze willen onder de radar blijven," zei ze.

Limbago waarschuwde ook dat Iran private-sector entiteiten zonder duidelijke industriële links kan aanslaan. Ze citeerde een incident in 2015 toen voormalig nationale intelligence directeur James Clapper een aanval op Sands Casino aan Iran toeschreef, als vergelding voor opmerkingen van CEO Sheldon Adelson. "Iran target typisch private bedrijven verbonden met de uitvoerende tak om financiële schade toe te brengen zonder een bredere Amerikaanse reactie te ontbranden," merkte Limbago op.

Desinformatiecampagnes vormen een kern van Iraans cyberstrategie. Limbago beschreef ze als "extreem productief en globaal." "Deze operaties zullen voortduren zowel domestiek, om pro-regering sentiment te versterken, als internationaal, om anti-Amerikaanse narratieven te voeden," voegde ze toe.

Cyberrisico beheren

Ongeacht hoe de huidige spanningen evolueren, biedt het moment industriële infrastructuur-operators de kans om hun verbonden apparaten te auditeren. "We roepen eigenaren en operators van industriële controlesystemen op om hun technologie te inventariseren, kwetsbaarheden te evalueren en controles te implementeren die hun aanvalsoppervlak verlagen," adviseerde Malik.

Industriële entiteiten prioriteren uptime, wat vaak resulteert in vertrouwen op legacy, ongepatchte hardware en software. "Je moet verder kijken dan deze verouderde systemen, want geschiedenis toont dat ze gemakkelijk gecompromitteerd worden," waarschuwde Elyashiv.

Cyberhygiëne blijft essentieel, maar David Goldstein, president en CEO van AssetLink Global LLC, benadrukt de noodzaak voor robuuste fysieke beveiliging. "IIoT-beveiliging gaat niet alleen over hardware en software," zei hij.

Fysieke toegang bleek cruciaal in de Stuxnet-operatie van 2010 tegen Iraans Natanz kernverrijkingsfaciliteit. Dubbele agenten gelieerd aan Amerikaanse en Israelse intelligentiendiensten introduceerden naar verluidt malware in het air-gapped netwerk, wat uiteindelijk ongeveer 1.000 centrifuges uitschakelde.

Goldstein merkt op dat Stuxnet de noodzaak van strikte toegangskontrole en vertrouwen benadrukt. "Met wie je samenwerkt, het vertrouwen dat je in partners stelt, en wie fysieke toegang heeft, zijn cruciale factoren," benadrukte hij.

Met de proliferatie van IoT in de industrie ontstaat een talentenkloof: weinig cyber-experts specialiseren zich in industriële controlesystemen. "Veel analisten passen conventionele IT-tactieken toe op industriële IoT zonder rekening te houden met proprietaire protocollen en update-uitdagingen, wat significante kwetsbaarheden creëert," waarschuwde Goldstein.

Federale agentschappen – inclusief het Department of Defense – en de MITRE Corporation adresseren deze kloof met industriële-controle frameworks zoals MITRE ATT&CK voor IC. "Dit framework stelt fabricanten, eigenaren en operators in staat om aanvalsscenario's te articuleren en kwetsbaarheden consistent te rapporteren over sectoren heen," legde Malik uit. "Alle organisaties zouden het moeten adopteren om hun IC-beveiligingshouding te beoordelen."

Malik benadrukte dat cybersecurity een continue reis is, geen bestemming. "Als de verhoogde spanningen kortstondig zijn, hebben fabricanten beperkte mogelijkheden om hun productiebeveiliging snel te versterken," zei hij.

Hij wees op een cruciale kwetsbaarheid: veldonderhoudslinks. "Wanneer leveranciers toegang krijgen tot hun apparatuur voor onderhoud of foutdiagnostiek, worden die verbindingen potentiële aanvalsvectoren," waarschuwde Malik.

Malik riep leveranciers op klantgegevens te beschermen door verkeer waar mogelijk te versleutelen en software-updates te beveiligen. "Het zou rampzalig zijn als een klein probleem bij één klant een fabrikant dwingt een patch te deployen die ongewild malware introduceert over zijn gehele portefeuille," waarschuwde hij.