Industrielle kontrolsystemer er stadig sårbare over for ondsindede cyberangreb

Tilbage i 1982 afslørede CIA et plot fra Sovjetunionen om at stjæle industriel software til at kontrollere dets hurtigt voksende netværk af naturgasrørledninger. Som svar ændrede agenturet softwaren ved hjælp af malware designet til at lamme rørledningerne og narrede derefter sovjetterne til at stjæle den.

Denne list viste sig at være spektakulær vellykket. Sovjeterne installerede den modificerede software - et industrielt kontrolsystem kaldet SCADA - på en sibirisk rørledning. Efter at den fungerede normalt i nogle måneder, begyndte malwaren at lukke sikkerhedsventiler, hvilket fik trykket i rørledningen til at stige ud over, hvad svejsninger og samlinger kunne modstå. Til sidst eksploderede rørledningen, hvilket forårsagede den mest monumentale ikke-nukleare eksplosion og brand nogensinde set fra rummet, ifølge Washington Post, som rapporterede historien i 2004.

Denne hændelse er gået over i historien som det første eksempel på et malwareangreb på et industrielt kontrolsystem. Og det satte scenen for en kampagne af cyberangreb, der lukkede ned for telefonsystemet i flyvekontrolcentret i lufthavnen i Worcester, Massachusetts, i 1997; deaktiverede sikkerhedssystemer på Davis-Besse atomkraftværket i 2003; og ødelagde centrifuger ved det hemmelige iranske atomberigelsesanlæg i 2010 - for blot at nævne nogle få hændelser.

Nogle af disse angreb har skabt enorm omtale og øget bevidstheden om, hvor sårbare industrielle kontrolsystemer er. Så enhver virksomhed, der bruger industriel kontrolsoftware, bør være opmærksom på risiciene og beskytte den i overensstemmelse hermed. Men er det sandt?

I dag får vi et slags svar takket være Marcin Nawrocki ved det frie universitet i Berlin i Tyskland og kolleger, som har studeret den hastighed, hvormed industrielle kontrolsystemer sender ubeskyttede data over internettet. Deres resultater giver et overraskende indblik i disse systemers sårbarhed.

Industrielle kontrolsystemer, såsom SCADA og Modbus, blev oprindeligt udviklet, før internettet havde spredt sig meget. Så de blev designet til at være enkle og til at fungere i et lukket system uden forbindelse til omverdenen.

Senere blev det muligt at pakke styresignalerne ind i almindelig internettrafik, så industrielle systemer kunne fjernstyres. Denne tilgang er dog helt åben. Enhver kan scanne internettrafik for denne slags pakker, se på, hvor de er på vej hen, og derefter sende deres egne kommandoer for at tage kontrol.

Og det er præcis, hvor mange af de tidligste angreb fandt sted. Hackere kunne ringe til industrielle kontrolsystemer ved hjælp af et telefonmodem og enten tage kontrol over eller deaktivere dem.

Så en hel industri er vokset op for at beskytte sådanne systemer. Fordi softwaren er så udbredt, kan den ikke let omskrives. I stedet er hovedtilgangen at pakke kommandoerne i et andet lag software, der er beskyttet med konventionel kryptering, adgangskoder og så videre. Dette forhindrer både uautoriseret adgang til industrielle kontrolsystemer og aflytning af kommunikation over internettet.

Men bruger alle det? For at finde ud af det undersøgte Nawrocki og co to databaser over internettrafik. Det første, de indsamlede fra et internetudvekslingspunkt (IXP) i 2017 og 2018. Dette er et punkt, hvor internetudbydere og indholdsleveringsnetværk udveksler data. Så det plejer at være trafik fra det samme land.

Den anden database var et arkiv over rå internettrafik mellem internetudbydere (ISP'er) i USA og Japan, som er blevet opbevaret til forskningsformål. Disse data er naturligvis transnationale.

Den første opgave for Nawrocki og co var at filtrere dataene til pakkerne rettet mod industrielle kontrolsystemer. Det gjorde de med en standard pakkeanalysator kaldet Wireshark, som afslører ubeskyttede pakker.

Men der er også et andet vigtigt filtreringstrin. På grund af truslerne mod industrielle kontrolsystemer er forskellige projekter begyndt at overvåge internettrafik - identificering og katalogisering af industritrafik, afhøring af værter og kilder, hvor det er nødvendigt, og opsætning af honeypots for at tiltrække ondsindede aktører.

Denne aktivitet i sig selv skaber en betydelig mængde trafik relateret til industrielle kontrolnetværk. Så Nawrocki og co var nødt til at filtrere datasættene for også at fjerne dette.

Det, der var tilbage, var interessant. De fandt over 330.000 ubeskyttede pakker relateret til industrielle kontrolsystemer. I den internationale trafik mellem internetudbydere udgjorde dette kun 1,5 % af den samlede industritrafik.

Men situationen er væsentligt værre på lokalt plan, hvor 96 % af trafikken består af ubeskyttede industrikommandoer. Andelen (96%) af ubeskyttet industriel [Industrial Control Systems] trafik på IXP er alarmerende, siger de.

Holdet analyserede denne ubeskyttede trafik yderligere ved hjælp af DNS-poster og whois-data. De identificerede en række virksomheder, der sender ubeskyttet trafik, herunder et solenergirådgivningsfirma, et byggefirma og et handels- og transportfirma. Disse organisationer er åbenlyst i betydelig risiko for ondsindet angreb.

Det er interessant arbejde, der afslører alarmerende niveauer af ubeskyttet trafik, der bringer industrielle systemer i fare.

Ref: arxiv.org/abs/1901.04411 : Afdækning af sårbare industrielle kontrolsystemer fra internetkernen

skjule