211service.com
Industrielle kontrollsystemer er fortsatt sårbare for ondsinnede nettangrep
Tilbake i 1982 avdekket CIA et komplott fra Sovjetunionen for å stjele industriell programvare for å kontrollere det raskt voksende nettverket av naturgassrørledninger. Som svar endret byrået programvaren ved å bruke skadelig programvare designet for å lamme rørledningene og lurte deretter sovjeterne til å stjele den.
Denne listen viste seg å være spektakulær vellykket. Sovjeterne installerte den modifiserte programvaren - et industrielt kontrollsystem kalt SCADA - på en sibirsk rørledning. Etter at den fungerte normalt i noen måneder, begynte skadevaren å stenge sikkerhetsventiler, noe som førte til at trykket i rørledningen økte utover det sveisene og skjøtene kunne tåle. Til slutt eksploderte rørledningen, og forårsaket den mest monumentale ikke-kjernefysiske eksplosjonen og brannen som noen gang er sett fra verdensrommet, ifølge Washington Post, som rapporterte historien i 2004.
Denne hendelsen har gått over i historien som det første eksemplet på et skadelig programvareangrep på et industrielt kontrollsystem. Og det satte scenen for en kampanje med nettangrep som slo av telefonsystemet ved flykontrollsenteret på flyplassen i Worcester, Massachusetts, i 1997; funksjonshemmede sikkerhetssystemer ved Davis-Besse kjernekraftverk i 2003; og ødela sentrifuger ved det hemmelige iranske atomanrikningsanlegget i 2010 – for bare å nevne noen få hendelser.
Noen av disse angrepene har skapt stor publisitet og økt bevisstheten om hvor sårbare industrielle kontrollsystemer er. Så ethvert selskap som bruker industriell kontrollprogramvare bør være klar over risikoen og beskytte den deretter. Men er det sant?
I dag får vi et slags svar takket være Marcin Nawrocki ved Free University of Berlin i Tyskland og kolleger, som har studert hastigheten som industrielle kontrollsystemer sender ubeskyttede data over internett. Resultatene deres gir en oppsiktsvekkende innsikt i disse systemenes sårbarhet.
Industrielle kontrollsystemer, som SCADA og Modbus, ble opprinnelig utviklet før internett hadde spredt seg mye. Så de ble designet for å være enkle og for å fungere i et lukket system uten tilknytning til omverdenen.
Det ble senere mulig å pakke styresignalene inn i ordinær internetttrafikk slik at industrisystemer kunne fjernstyres. Denne tilnærmingen er imidlertid helt åpen. Hvem som helst kan skanne internettrafikk etter denne typen pakker, se hvor de er på vei, og deretter sende sine egne kommandoer for å ta kontroll.
Og det er nøyaktig hvor mange av de tidligste angrepene skjedde. Hackere kan ringe til industrielle kontrollsystemer ved hjelp av et telefonmodem og enten ta kontroll over eller deaktivere dem.
Så en hel industri har vokst opp for å beskytte slike systemer. Fordi programvaren er så utbredt, kan den ikke enkelt skrives om. I stedet er hovedtilnærmingen å pakke kommandoene i et annet lag med programvare som er beskyttet med konvensjonell kryptering, passord og så videre. Dette forhindrer både uautorisert tilgang til industrielle kontrollsystemer og avlytting av kommunikasjon over internett.
Men bruker alle det? For å finne ut av det studerte Nawrocki og co to databaser med internettrafikk. Det første de samlet inn fra et internettutvekslingspunkt (IXP) i 2017 og 2018. Dette er et punkt hvor internettjenesteleverandører og innholdsleveringsnettverk utveksler data. Så det pleier å være trafikk fra samme land.
Den andre databasen var et arkiv over rå internetttrafikk mellom internettleverandører (ISP) i USA og Japan, som har blitt lagret for forskningsformål. Disse dataene er selvfølgelig transnasjonale.
Den første oppgaven for Nawrocki og co var å filtrere dataene for pakkene rettet mot industrielle kontrollsystemer. De gjorde dette med en standard pakkeanalysator kalt Wireshark, som avslører ubeskyttede pakker.
Men det er også et annet viktig filtreringstrinn. På grunn av truslene mot industrielle kontrollsystemer, har ulike prosjekter begynt å overvåke internettrafikk – identifisere og katalogisere industritrafikk, avhøre verter og kilder der det er nødvendig, og sette opp honningpotter for å tiltrekke seg ondsinnede aktører.
Denne aktiviteten i seg selv skaper en betydelig mengde trafikk relatert til industrielle kontrollnettverk. Så Nawrocki og co måtte filtrere datasettene for å fjerne dette også.
Det som var igjen var interessant. De fant over 330 000 ubeskyttede pakker relatert til industrielle kontrollsystemer. I internasjonal trafikk mellom Internett-leverandører utgjorde dette bare 1,5 % av den totale industritrafikken.
Men situasjonen er betydelig verre på lokalt nivå, hvor 96 % av trafikken består av ubeskyttede industrikommandoer. Andelen (96%) av ubeskyttet industriell [Industrial Control Systems] trafikk ved IXP er alarmerende, sier de.
Teamet analyserte denne ubeskyttede trafikken videre ved å bruke DNS-poster og whois-data. De identifiserte en rekke selskaper som sender ubeskyttet trafikk, inkludert et solenergikonsulentfirma, et byggefirma og et handels- og transportselskap. Disse organisasjonene har åpenbart betydelig risiko for ondsinnet angrep.
Det er interessant arbeid som avslører alarmerende nivåer av ubeskyttet trafikk som setter industrielle systemer i fare.
Ref: arxiv.org/abs/1901.04411 : Avdekke sårbare industrielle kontrollsystemer fra Internett-kjernen