OT – det oversete element i cybersikkerhed

af Jesper Helbrandt, IFCR


At sikre vores verden er ikke en let disciplin, og den kræver stor indsigt. Cybersikkerhed er tæt på den eneste teknologidisciplin, der er oppe imod eksterne kræfter, der kontinuerligt arbejder på at forstyrre driften. For yderligere at komplicere dette er de eksterne kræfter i stand til både at udnytte traditionel teknologi såvel som ikke-tekniske metoder, for eksempel fysisk sikkerhed, for at nå deres mål. Med så mange potentielle angrebsvektorer er informations- og cybersikkerhed et udfordrende område.

Vores infrastruktur – fra det elektriske grid-system, som forsyner vores verden med energi, til styring af vores trafiklys, så trafikken forløber på bedste vis, eller de systemer, som holder flyene i luften, systemer i vores hospitalsvæsen, som kan betyde menneskeliv, ja, you name it – vores verden er bundet op på systemer under IOT- & OT-paraplyen, hvor sikkerhed aldrig har været vigtigere. Det hævdes, at hvis tredje verdenskrig bryder løs, vil det blive udkæmpet i cyberspace, hvor vi er yderst sårbare, og vores infrastruktur let kan rammes.

Historien om cyberangreb på OT-systemer er derfor ikke nær så omtalt og har langt færre dokumenterede hændelser. Modenhed og praktisk erfaring er derfor langt mindre inden for det område, hvilket naturligvis er bekymrende, for hvad skal vi gøre, når uheldet er ude?

 

OT’s rolle i en moderne digitaliseret verden

IT-miljøer har været udsat for angreb og trusler i årtier, og hændelserne og erfaringerne er velkendte og dokumenterede. Derimod blev operationelle teknologimiljøer (OT) traditionelt holdt i lukkede netværk, der kun havde begrænset forbindelse til andre netværk.

Historien om cyberangreb på OT-systemer er derfor ikke nær så omtalt og har langt færre dokumenterede hændelser. Modenhed og praktisk erfaring er derfor langt mindre inden for det område, hvilket naturligvis er bekymrende, for hvad skal vi gøre, når uheldet er ude? OT’s naturlige udvikling med den stigende digitalisering i verden er, at de også tilkobles netværk og derved også rammes ved cyberangreb. OT adresserer også et bredere scope end i IT-verdenen, da OT også dækker sikkerhed på udstyr og fysisk personsikkerhed.

For bedre at kunne forstå den aktuelle situation i industrielle miljøer er det vigtigt at skelne mellem antagelser og realiteter. Få emner inden for informationsteknologi inspirerer mere til frygt, usikkerhed eller tvivl end cybersikkerhed.

 

Operationelle afbrydelser i OT-miljøer på grund af cybersikkerhedshændelser

Cybersikkerhedshændelser i industrielle miljøer kan resultere i fysiske konsekvenser, der kan forårsage trusler mod menneskers liv såvel som skader på udstyr, infrastruktur og miljøet. Selv om der bestemt er traditionelle IT-relaterede sikkerhedstrusler i industrielle miljøer, er det de fysiske manifestationer og virkninger af OT-sikkerhedshændelser, der fanger mediernes opmærksomhed og fremkalder stor offentlig bekymring.

Et eksempel på en hændelse på et OT-miljø, hvor fysisk skade blev forårsaget i forbindelse med et cybersecurity-angreb, er Stuxnet malware, der beskadigede uranberigelsessystemer i Iran. Et andet eksempel er en begivenhed, der beskadigede en ovn i et tysk smelteværk.

Mange af de sikkerhedspolitikker, der var på plads, blev overholdt, men forkert implementering skyldtes hændelserne, der højst sandsynligt kunne være undgået ved korrekt implementering. F.eks. menes Stuxnet at være blevet anvendt på USB-stik op til to år, før det endelig blev identificeret og opdaget.

Udover fysisk skade har der været operationelle afbrydelser i OT-miljøer på grund af cyber-sikkerhedshændelser. For eksempel i 2000 blev et spildevandsstyringssystem i Queensland, Australien, kompromitteret, og der blev udledt 800.000 liter spildevand. I 2015 opnåede angribere adgang til kontrolsystemerne for den ukrainske strømdistributør Kyiv Oblenergo, hvilket forårsagede et driftsstop, der varede i flere timer og resulterede i omfattende problemer for tusinder af kunder.

I begge tilfælde kunne kendte løsninger have hjulpet til at opdage angrebene tidligere eller blokere muligheden for at overtage kontrollen af produktionssystemer og påvirke disse.

 

Udvikling i udførelsen af cyberangreb har påvirket os dramatisk

Historisk set var angribere dygtige personer med dyb viden om teknologi og om de systemer, de angreb. Efterhånden som teknologien har udviklet sig, er der imidlertid blevet udviklet værktøjer til at gøre angreb meget lettere at udføre. For yderligere at komplicere sagen er disse værktøjer blevet mere udbredte og lettere tilgængelige.

Herudover er mange af de protokoller, der bliver brugt i OT-miljøer, årtier gamle, hvor sikkerhed ikke var lige så udbredt som i dag. Det betyder desværre, at i dag kan angribere med begrænset eller meget lidt teknisk kapacitet potentielt udføre et cyberangreb, hvilket i høj grad øger hyppigheden af ​​angreb og det overordnede trusselsbillede.

En misforstået påstand er, at angribere altid har en fordel, og at de attakerede mangler effektive forsvarsevner. Men en meget vigtig fordel for operatører er, at de har langt større fortrolighed med deres miljø og en langt bedre forståelse af deres processer og kan dermed udnytte flere teknologier til at forsvare deres netværk mod angreb. Det kritiske er, at netværk fortsat vil møde nye angrebsmetoder, som gør det stadigt sværere at forsvare sig mod cybersikkerhedshændelser og reagere på dem.

 

Er streng adskillelse mellem OT- og IT-netværksmiljøer vejen frem?

Isolationen mellem industrielle netværk og de traditionelle administrative netværk er traditionelt blevet betragtet som totalt afkoblet fra hinanden. Selvom der klart er eksempler på sådan ekstrem adskillelse i nogle brancher, er det faktisk ikke tilfældet i alle IT- og OT-netværk i dag. Rigtig mange steder er der en vis sammenkobling mellem OT- og IT-netværksmiljøer, og mange indbyrdes afhængigheder mellem de to påvirker sikkerhedsniveauet.

Der er stadig nogle organisationer, som fortsat opretholder en streng adskillelse, men flere begynder at tillade visse elementer af samtrafik. Et almindeligt eksempel på dette er brugen af ​​Ethernet og IP til transport af kontrolsystemer i industrielle miljøer.

Så meget som IT- og OT-netværk stadig drives og styres separat i en god del af verden, er den fremherskende tendens at konsolidere netværk baseret på IT-centrerede teknologier som TCP/IP, Ethernet og fælles API’er.

Denne udvikling af stadigt stigende IT-teknologier i OT-rummet giver nogle fordele ved bl.a. øget tilgængelighed og en større base af dygtige operatører end med de ikke-standardiserede og proprietære kommunikationsmetoder i traditionelle industrielle miljøer.

Udfordringerne forbundet med disse velkendte IT-standarder er, at sårbarheder er langt mere kendte, og at misbrug af disse systemer ofte er lettere og forekommer i meget større skala. Denne tilgængelighed og skala gør sikkerhed til et stort problem, da mange systemer og enheder i det operationelle domæne aldrig blev udviklet til at køre på en delt, åben standardbaseret infrastruktur, og de var ikke designet og udviklet med høje niveauer af indbygget sikkerhed.

Når industrier moderniseres i stræben efter operationel effektivitet, forbedret sikkerhed og konkurrenceevne, skal det gøres sikkert. Moderniseringsprocesser initierer ofte større forbindelse i sammenhæng med ældre og meget sårbare OT-aktiver og -processer. For at opnå sikkerhed skal en organisation være i stand til at definere risici og træffe de nødvendige valg om, hvordan de bedst kan adresseres.

Heldigvis er meget af det, der er tilgængeligt for at minimere risici ved trusler, let tilgængeligt. Netværksforbindelse kan sikres med det rigtige udstyr og de rette politikker. Trusler fra usikker praksis, angreb og behov for fjernadgang kan identificeres og kontrolleres med dedikerede industrielle sikkerhedsapparater og -praksis. At lære af den mere omfattende og modne sikkerhedspraksis og de værktøjer, der benyttes i almindelige IT-miljøer samt at koordinere lag af forsvar for at beskytte kritiske industrielle aktiver, er nødvendigt for at sikre fremtiden i driftsmiljøer.

Kontakt IFCR, hvis du ønsker viden og sparring om sikkerhed i OT-miljøer.