Proactieve strategieën om productiecyberaanvallen te voorkomen

Fabrikanten moeten worstelen met de "Black Hats" van de cyberwereld om processen veilig te houden

Het is geen kwestie van of, maar wanneer je gehackt wordt.

Zo zeggen cybersecurity-experts, aanhalend de recente golf van ransomware-aanvallen, inclusief de beruchte "Wanna Cry"-malware die vorige lente wereldwijd ontplofte, gebruikersdata versleutelde tot ze betaalden - of een manier vonden om hun systemen te ontgrendelen.

Om steeds slimme cybercriminelen te bestrijden, moeten productieoperaties zich wenden tot een sterke combinatie van cybersecurity-softwareoplossingen en "geharde" hardware in hun fabrieksautomatiseringsbesturing en netwerkapparatuur, en ook nieuwere cybersecurity-standaarden en best practices implementeren. Met deze tools in handen hebben fabrikanten een betere kans om aanvallen te voorkomen, of ze op te lossen nadat ze gebeurd zijn.

De holistische aanpak

Recente aanvallen als Wanna Cry, of de grote storing in Oekraïne met de Petya-malware die in 2016 opduikte, hebben kritieke infrastructuur getikt, inclusief utiliteiten en andere overheidsinstallaties. "Wanneer aanvallen gebeuren, bloeden ze meestal uit vanaf de site," zei Ken Modeste, principal engineer bij UL LLC (Northbrook, IL). Vergeleken met die in Oekraïne, hebben installaties in de VS en de rest van Noord-Amerika meer steun van de FBI en andere overheidsinstanties om kritieke operaties weer draaiende te krijgen, voegde hij toe.

Vorig jaar lanceerde UL het UL Global Cybersecurity Assurance Program (UL CAP) dat helpt veiligheids- en prestatierisico's te mitigeren die komen met de proliferatie van netwerkapparaten in het Industrial Internet of Things (IIoT). UL CAP helpt bedrijven beveiligingsrisico's te identificeren volgens de UL 2900-serie cybersecurity-standaarden en suggereert methoden om risico's in industriële besturingssystemen, medische apparaten, automotive, gebouwautomatisering, en andere gebieden te minimaliseren.

"Standaarden die we in onze tests hebben gebouwd, zijn [gebaseerd op bedrijven] best practices," zei Modeste. Gebruik van hardcoded wachtwoorden - die in apparaten ingesloten zitten en niet gewijzigd kunnen worden - is een voorbeeld van wat niet te doen, voegde hij toe. "Dat is een fundamentele fout," zei hij. "Ransomware komt binnen in organisaties via phishing-methodes. Ze klikken erop en die malware begint te propageren. Dat is hoe ransomware de meeste tijd binnenkomt."

Het trainen van werknemers in cybersecurity-veiligheid is een grote sleutel om cyberaanvallen te weerhouden. "Training is een monumentale manier om dit probleem op te lossen. Phishing is een groot probleem. De slechterik doen fysieke recognitie," zei Modeste. "De odds staan hun voordeel."

Recente ransomware-aanvallen hebben de kwetsbaarheden van industriële omgevingen blootgelegd, stelde Henning Rudoff, head of plant security services bij Siemens PLM Software (Plano, TX). "Om installaties, systemen, machines en netwerken te beschermen tegen cyberdreigingen, is het noodzakelijk om een holistische, state-of-the-art industriële beveiligingsconcept te implementeren - en continu te onderhouden - zoals beschreven, bijvoorbeeld, door IEC 62443," zei Rudoff. "Met toenemende digitalisering wordt industriële beveiliging steeds belangrijker.

"Industriële beveiliging is een kernelement van de Digital Enterprise, de Siemens-benadering op weg naar Industry 4.0," merkte Rudoff op. "In tegenstelling tot eerdere gerichte aanvallen op gefocuste doelen, zijn huidige ransomware-aanvallen breed en kunnen elke operator van industriële netwerken beïnvloeden."

Siemens bestrijdt cyberdreigingen op veel fronten, inclusief de creatie van zijn CSOC (Cyber Security Operations Centers) wereldwijd met beveiligingsoperaties in München, Lissabon, en Milford, OH, waar industriële beveiligingsspecialisten faciliteiten wereldwijd monitoren op beveiligingsincidenten en reageren met passende tegenmaatregelen (zie "Securing Manufacturing Data in the Cloud," Manufacturing Engineering, juli 2016.)

Wat meer kunnen bedrijven doen om hackers te voorkomen van het storen van productieoperaties of infiltreren van overheidsfaciliteiten en utiliteitsinfrastructuur? "Alle niveaus moeten simultaan en onafhankelijk beschermd worden - variërend van het plantmanagementniveau tot het veldniveau en van toegangcontrole tot kopieerbeveiliging," zei Rudoff. "Dit is waarom de Siemens-benadering voor uitgebreide bescherming verdediging biedt door alle niveaus heen - defense in depth." Dit is gebaseerd op de aanbevelingen van ISA99/IEC 62443, de leidende standaard voor beveiliging in industriële toepassingen.

Om dit te doen, ondergaan Siemens' producten en oplossingen continue ontwikkeling om ze veiliger te maken, voegde Rudoff toe. Voor zijn eigen industriële producten heeft Siemens een industriële holistische beveiligingsconcept (HSC) gedefinieerd, gebaseerd op IEC 62443, zei hij. "De HSC beschermt integriteit en bewaart vertrouwelijkheid van de ontwikkel- en productieomgeving. HSC-maatregelen zijn gedefinieerd en gemonitord in ontwikkel- en productieafdelingen langs de levenscyclus van producten, oplossingen en diensten."

Siemens' HSC heeft vijf hefbomen: bewustzijn, state-of-the-art functionaliteit, procesverbetering, incidentafhandeling, en beveiliging van de producten, oplossing, dienst en beveiliging in de omringende IT-infrastructuur, voegde Rudoff toe. "Siemens heeft een IEC 62443-certificering ontvangen van de Duitse TÜV [Association for Technical Inspection] voor zijn ontwikkelprocessen in de divisies Digital Factory en Process and Drives, wat zijn toewijding aantoont om de eigen ontwikkelprocessen te beschermen. Daarnaast zijn industriële systemen als PCS 7 gecertificeerd volgens IEC 62443-standaarden."

Het zo snel mogelijk toepassen van productupdates en het gebruik van de nieuwste productversies wordt ten zeerste aanbevolen, zei Rudoff. "Naast het veiliger maken van onze eigen industriële producten, biedt Siemens geavanceerde beveiligingsfuncties voor onze automatiseringsproducten, en onze eigen netwerkbeveiligingsproducten en beveiligingsdiensten. Beveiligingsfuncties van S7-controllers omvatten bijvoorbeeld know-how-bescherming van PLC-programmablokken, kopieerbeveiliging, toegangsbeveiliging en communicatie-integriteit. Netwerkbeveiligingsproducten van Siemens [zoals de Scalance- en Ruggedcom-lijnen] ondersteunen use cases voor remote toegang, het bouwen van gedemilitariseerde zones, veilige redundantie en celbescherming," zei Rudoff.

Siemens Plant Security Services vertegenwoordigt een holistische benadering, zei hij. Dreigingen en malware worden in een vroeg stadium gedetecteerd, kwetsbaarheden geanalyseerd, en uitgebreide beveiligingsmaatregelen geïnitieerd. "Continue monitoring geeft plantoperators transparantie over de beveiliging van hun industriële faciliteit."

Integratie van veiligheid met cybersecurity

De mondiale dreiging van ransomware heeft de industrie's zelfgenoegenheid beëindigd. "NotPetya heeft met succes Oekraïne's kritieke infrastructuur getikt en meer dan 80 andere landen beïnvloed; het zwaarst getroffen waren Duitsland, Rusland en het VK," merkte Crosby van Spohn Security Solutions op, die zei dat 49% van de VS-bedrijven speciale IT/databeveiligingsprogramma's hebben. "In Europa waren de hoogste percentages die ik zag 37% voor het VK en 34% voor Duitsland. Gegeven hoe NotPetya werkt, is er een mogelijkheid dat andere aanvallen zullen gebeuren met inloggegevens die tijdens de Mimikatz-fase [een tool die door hackers gebruikt wordt] geoogst zijn. Gebaseerd op een Tripwire-enquête, zullen de meeste organisaties niet veel beter voorbereid zijn als dat gebeurt dan ze waren voordat WannaCry en NotPetya in mei en juni raakten."

In de Petya/NotPetya-aanvallen was wijdverspreide versleutelende malware gericht op distributed denial of service (DDoS) aan die bedrijven die beïnvloed waren, merkte Lee Lane, chief product security officer voor Rockwell Automation Inc. (Milwaukee). "Dat deed echte schade aan bedrijven als Maersk, FedEx, en een paar life science-bedrijven. Met denial of service, roepen ze een bode servers aan om doelen tegelijk aan te vallen. Het zou een andere aanvalsstijl zijn, maar het zou een enorme impact hebben," zei Lane. "Ze komen binnen en stoppen het einddoel ervan te opereren."

Dergelijke shutdowns niet alleen de direct beïnvloede bedrijven handicappen, maar hebben ook een kettingreactie-effect, zei hij. "Denk aan wat [er zou gebeuren] zonder je productie-ERP [enterprise resource planning] software," zei Lane. "Het zou alle orders, alle productieplannen, en informatie over waar je naar toe stuurt wegnemen."

De kwaadaardige code - of het nu ransomware, DDoS, of zero-day malware is, zoals de Stuxnet-code die dormient is en in een vertraagde toestand ligt totdat geactiveerd - wordt ingezet door een breed scala aan cyberaanvallers. "Er zijn veel zogenoemde 'bad actors', alles van naties die Lockheed of andere defensiebedrijven willen tikken, tot een die veel mensen missen: insiders, werknemers binnen een bedrijf," zei Lane.

Terrorgroepen als ISIS en hacktivisten richten zich ook op cruciale infrastructuur als energienetten en utiliteiten, zei hij. "Een recent IBM security intelligence-rapport noteerde dat van 2015 tot 2016, er een 110% toename was in het aantal aanvallen, en dat is nog maar wat gerapporteerd is," voegde Lane toe.

Rockwell Automation, exclusief gericht op industriële automatisering, ontwikkelt niet alleen de hardware en software betrokken bij het integreren van veiligheid met beveiliging, maar biedt klanten ook consultancy op industriële veiligheid, automatisering en cybersecurity. "Je hebt de juiste mensen, processen, en de juiste tools nodig," zei Lane, "en hetzelfde zou gelden voor cybersecurity. Je moet mensen hebben die beschikbaar zijn om je netwerken te verdedigen."

Het identificeren en documenteren van assets is een sleutelstartpunt, zei hij. "Cyberdreigingen zijn echt, op de vlucht, en kunnen materiële schade aanrichten," merkte Lane op. "Je moet de kritikaliteit van de asset identificeren en wegen." Het gebruik van het National Institute of Standards and Technology's Cybersecurity Framework is ook een goed startpunt, voegde Lane toe.

Rockwell biedt zijn FactoryTalk Asset Manager software samen met beveiligingsfuncties en hardening voor cybersecurity-bescherming. "Voordat je een automatiseringssysteem aanschaft, praat met een bedrijf en kijk of ze een beveiligingsprogramma hebben. Roadmap hoe beveiligingsfuncties en hardening over het bedrijf gedaan worden," zei Lane. "Zoek naar producten met hardening-functies die beter in staat zijn een cyberaanval te weerstaan. Bijvoorbeeld, als je getroffen wordt met een datastorm, gaat je communicatiesysteem gewoon uit of in slaapstand?"

Enkele beveiligingsmaatregelen omvatten het kunnen detecteren van veranderingen in hardware zoals Rockwell's ControlLogix-besturingssystemen die operators kunnen waarschuwen voor het bestaan van malware, wat hen in staat stelt het systeem af te sluiten en/of het probleem te verhelpen. "Je kunt de PLC wachtwoordbeveiligen," zei Lane. "Er zit een sleutelschakelaar op de besturing. Elke PLC heeft een poort, alsmede een keyport-schakelaar." Het systeem geeft gebruikers ook een archiefmogelijkheid die helpt met herstel. Automatische of gecontroleerde herstel uit dergelijke situaties is een sleutelfunctie van geavanceerde cybersecurity-tools.

"Vandaag hebben we veiligheidssystemen die al jaren in de productie zitten. Als je een cyber-inbraak hebt, kun je je niet op die veiligheidssystemen verlassen," zei Lane. "Beide samen brengen is cruciaal. Het is de juiste praktijk. Veiligheid en beveiligung zijn traditioneel gescheiden."

Het UL CAP-programma geeft gebruikers richtlijnen en tools om cyberdreigingen te bestrijden. Vorig jaar publiceerde UL de eerste editie van zijn UL CAP-standaard en test UL vandaag 35 producten, merkte Modeste op. "Ze hebben anti-malware tools en ze beginnen meer ransomware-tools toe te voegen," zei hij. Besturingssysteemcontroles zoals het voorkomen van overschrijven van de boot record of het beheer van het bestandssysteem zijn belangrijk, zei hij. "Meer en meer tools komen er en er zijn sensoren geïmplementeerd in veel verschillende producten."

Liggen te wachten

In sommige gevallen worden cyberaanvallen pas lang na de inbraak ontdekt, wat resolutie nog moeilijker maakt. Cyberaanvallers hebben met succes malware geïnstalleerd op de firmware van Cisco-routers in 2015, op systemen bij de National Security Agency (NSA), en zelfs in elektronische componenten geïnstalleerd in militaire toepassingen, merkte Steve Chen, co-founder en CEO van PFP Cybersecurity (Vienna, VA), formaal Power Fingerprinting Inc. op.

PFP's cybersecurity-systeem gebruikt apparaatmonitoring, signaalverwerking met radiofrequentie (RF), Big Data-analyse en runtime-detectie- en hersteltools. Met technologie gelicenseerd van Virginia Tech, kreeg PFP Cyber enkele overheidscontracten en vorig jaar vier nieuwe octrooien, naast twee eerder gelicenseerde octrooien, voor zijn cybersecurity-systeem, zei Chen.

"We gebruiken anomaliedetectie in plaats van handtekeningdetectie," zei Chen. "De volgende uitdaging is hoe malware sneller te detecteren. De zogenaamde detectiegap is typisch ongeveer 200 dagen. Ons geloof is dat we een aanval kunnen detecteren en verhelpen, en we hebben dat gedemonstreerd."

PFP toonde zijn systeem op de Black Hat USA-conferentie, gehouden in Las Vegas in juli. "Je kunt een aanval niet voorkomen," zei Chen. "Je moet aannemen dat je aangevallen zult worden." Het bedrijf heeft twee implementatiemodellen, een intern binnen het apparaat, en anderen aan de buitenkant, voegde hij toe.

"Als we binnen zitten, dan kunnen we [anomalieën] detecteren en automatisch verhelpen," zei Chen.

PFP streeft ernaar een beveiligingsplatform voor IoT-apparaten te bieden, met cloud-gebaseerde software en diensten, of voor on-premises software, met zijn RF-scantechnologie om malware te detecteren en te verhelpen. Het PFP Dashboard van het bedrijf wordt gebruikt in een SaaS (Software-as-a-Service) platform geleverd door zijn partners.

"We proberen na te bootsen wat de Stuxnet is," zei Chen. "Het kan niet gezien worden."

Naast malwaredetectie kan het systeem gebruikt worden voor nepchipdetectie zonder de dozen te openen waarin producten worden verzonden, zei Chen. "In dit geval kan de klant ze blind testen. Het doet een zachte scan van het geheugenchip." Dit kan potentieel veel geld besparen, voegde hij toe, voor bedrijven die hun producten in bulk uit het buitenland kopen.

"We hebben een patent pending op dit. We gebruiken hetzelfde proces, dezelfde wiskunde, dezelfde oplossing," zei Chen. "In dit geval stoppen we gewoon energie, radiofrequentie, in een apparaat dat niet aangedraaid is."

Chen hoopt uiteindelijk PFP's technologie te licentiëren aan semiconductorfabrikanten. Het cybersecurity-kit van het bedrijf is momenteel gericht op enterprise- en overheidsapplicaties, maar het doel is om een antenne voor Cisco-routers uit te brengen die het doelwit waren van firmware-implant-aanvallen.

"Voor de thuisgebruiker was ons plan om een portable scanner uit te brengen," zei Chen. "De wereld zal veiliger zijn. Nu, met al die IoT-apparaten, is er geen beveiliging."