Toeleveringsketenkwetsbaarheden Bedreigen Industriële IoT-beveiliging

Industriële IoT (IIoT) bedrijven zijn afhankelijk van een betrouwbare toeleveringsketen om grondstoffen en componenten te sourcen die productielijnen draaiend houden. Terwijl deze primaire toeleveringsketens nauwlettend gemonitord worden, levert een tweede, vaak over het hoofd geziene keten de hardware die de IIoT-infrastructuur aandraait. Vanwege beperkte transparantie zijn de herkomst van interne componenten in IIoT-apparaten moeilijk te traceren, en arriveren veel met exploiteerbare beveiligingskwetsbaarheden.

Met een enkel IIoT-apparaat vaak samengesteld uit tientallen wereldwijde leveranciers, vermenigvuldigt het risico van ingesloten kwetsbaarheden. Finite State's 2019 Finite State Supply Chain Assessment rapport merkt op dat componenten door meerdere lagen van leveranciers en integratoren gaan voordat ze op een bord geïntegreerd, getest en verscheept worden door de OEM.

Reële en Veelvoudige Risico's voor IIoT-infrastructuren

Netwerkoperators erkennen toeleveringsketensrisico's, maar het pinpointen van specifieke kwetsbaarheden is uitdagend. IIoT-implementaties strekken zich vaak uit buiten de muren van een fabrikant naar shippers, handelaren en partners. Naarmate het netwerk groeit, neemt de kans toe dat kwaadaardige code propageert – en dat schijnbaar onschuldige firmware open poorten blootlegt.

Matt Wyckhouse, CEO van Finite State, observeert dat veel embedded systemen verborgen kwetsbaarheden bevatten waar asset-eigenaren zich niet van bewust zijn. Een schending kan een foothold worden voor aanvallers om bedrijfssystemen te infiltreren, industriële controlesystemen (ICS), productieprocessen en kritieke bedrijfsdata te compromitteren. Het probleem wordt verergerd wanneer firmware-updates vertraagd of nooit toegepast worden.

ARC Advisory Group's juli 2019 The State of Industrial Cybersecurity enquête vond dat 26% van de respondenten derden-dreigingen, zoals toeleveringsketen- of partnerrisico's, een groot probleem achtte, terwijl 44% ze als een klein probleem zag. Opvallend genoeg konden ransomware (70%) en gerichte aanvallen (68%) gelanceerd worden via een toeleveringsketen-schending.

In dezelfde enquête voelde 28% van de respondenten dat het "zeer waarschijnlijk" of "redelijk waarschijnlijk" was dat hun bedrijfs ICS getarget zou worden. De Irdeto 2019 Global Connected Industries Cybersecurity Survey onthulde dat slechts 17% van de IoT-apparaten die door grote ondernemingen werden gebruikt, het afgelopen jaar aanvalsvrij bleven.

Voor meer over IoT-beveiliging, registreer voor onze IoT Security Summit deze december.

Hoe IIoT-toeleveringsketens Gecompromitteerd Worden

In tegenstelling tot conventionele toeleveringsketen-storingen die productie stoppen, zijn IIoT-schendingen covert, vaak ontvouwend over weken of maanden. Aanvallers compromitteren typisch tier-2 industriële IoT-leveranciers, infiltreren hun websites, en vervangen legitieme firmware met Trojan-versies. Netwerkadministrators downloaden en deployen deze kwaadaardige firmware onwetend, wat aanvallers een foothold binnen de brandmuren van de fabriek geeft.

Eenmaal binnen kunnen aanvallers zich uitbreiden van industriële netwerken naar corporate datanetwerken, wat een multiplier-effect creëert. Oudere apparaten – sensoren en componenten die al een decennium of langer op hun plaats staan – vormen hogere risico's door verouderde ondersteuning en patching. Finite State's onderzoek citeerde een Huawei-component die een 2003 OpenSSL-versie gebruikte, een goed-gedocumenteerde kwetsbaarheid.

Backdoors – ofwel intentionele debug-poorten of verborgen API-toegangspunten – kunnen ook als toeroutes dienen voor kwaadaardige actoren. In veel gevallen laten fabrikanten deze poorten open om support te helpen, ongewild aanvallers een gemakkelijke toegang biedend. Sommige landen kunnen zelfs producten exporteren met intentionele backdoors om intellectueel eigendom te stelen.

Onderzoek van de Tandon School of Engineering van New York University benadrukt dat IoT grotendeels ongeregleerd blijft wat beveiligingsstandaarden betreft. Apparateigenaren hebben weinig controle over upstream toeleveringsketens, en veel leveranciers kunnen hun cybersecurity-praktijken niet openbaren.

Doelstellingen van Kwaadaardige Actoren

Aanvallen mikken vaak op ransomware, wat productie kan stoppen tot een losgeld betaald is. Storingen aan productielijnen – door gewijzigde sensordata of onveilige machine-instellingen – kunnen leiden tot defecte producten en veiligheidsrisico's. Een maart 2020 OT Security Best Practices rapport waarschuwde dat dergelijke schendingen de menselijke veiligheid, het milieu en nationale economieën bedreigen.

Hoog-profiel sectoren – energie, elektriciteitsnetten, olie en gas, en zeker de gezondheidszorg tijdens de pandemie – zijn primaire doelen. Finite State's Wyckhouse merkt stijgende ransomware-aanvallen op ziekenhuizen op, terwijl Adolus's Byres de medische sector identificeert als een nieuwe target-rijke omgeving.

Naast financiële motieven kunnen aanvallers intellectueel eigendom zoeken of de toeleveringsketen als initiële foothold gebruiken om corporate netwerken te infiltreren.

IIoT-toeleveringsketenzwakheden Mitigeren

Effectieve verdediging begint met een uitgebreide inventaris van alle IIoT-apparaten. Volg dit met een toeleveringsketens risicobeoordeling die macro-risico's identificeert – zoals ransomware en datadiefstal – en de specifieke kwetsbaarheden van elk apparaat evalueert.

Overweeg IIoT-verkeer te isoleren via air-gapping om OT van IT-netwerken te scheiden. Evalueer leveranciers op het moment van aankoop; de leveranciersbeveiligingshouding is het meest beoordeelbaar tijdens inkoop. Voor hoog-volume aankopen, stel een formeel vetting-proces in om consistente beveiligingsstandaarden te garanderen.

Eis meer dan een beveiligingsstatement – vraag gedetailleerde beveiligingsrapporten of derde-partij beoordelingen. Beneficieer van publieke bronnen zoals de National Institute of Standards and Technology (NIST) National Vulnerability Database om Common Vulnerabilities and Exposures (CVEs) te cross-referenceren.

Opkomende diensten adresseren deze uitdagingen. Adolus, voortgekomen uit een U.S. Department of Homeland Security initiatief, biedt een database die device lineage, componentherkomst en bekende kwetsbaarheden trackt. Finite State levert firmware-analysetools die verborgen risico's detecteren en risicoprofielen herbeoordelen na updates.