Cybersäkerhet inom industrin: hot och försiktighetsåtgärder

Ingenstans är insatserna högre än i industriella miljöer där du kan hantera kritisk infrastruktur. För illvilliga aktörer är dessa system enorma måltavlor.

I det här blogginlägget sammanfattar jag de olika överväganden och utmaningar vi står inför, både som samhälle och i våra ansvariga teknikroller. Jag ska inte ljuga: det är väldigt lätt att måla upp en dyster bild. Men jag avslutar med några åtgärder som organisationer kan vidta för att skydda sin kritiska infrastruktur. 

Men låt oss börja från början och kort beskriva vad industriell styrning innebär:

3 koncept inom industriell styrning

Vi kan inte diskutera cybersäkerhet inom industriell styrning utan att först gå igenom dessa koncept.

Sakernas internet (IoT)

Det här känner vi alla till. Smarta enheter som ansluter till ett nätverk för att skicka eller ta emot information utan att vara traditionella datorer. Tv-apparater, kylskåp, kameror, sensorer … 

De här enheterna har ofta säkerhetsproblem. Command injection, svag autentisering och bristande kryptering är vanliga exempel.

Operativ teknik (OT)

Det här är hårdvara och mjukvara som åstadkommer en förändring genom direkt övervakning och/eller styrning av industriella tillgångar. Det omfattar: 

• programmerbara styrsystem 

• system för övervakningsstyrning och datainsamling (SCADA) 

• distribuerade styrsystem 

programmerbara styrsystem 

system för övervakningsstyrning och datainsamling (SCADA) 

distribuerade styrsystem 

Alla dessa används i stor utsträckning i fabrikers produktionslinjer och i kritisk infrastruktur, till exempel raffinaderier, kraftverk och vattenhanteringssystem. Ibland kallas de för ”IT i miljöer utan heltäckningsmattor”.

Industriellt sakernas internet (IIoT)

Smarta enheter blir allt vanligare i våra hem och på våra kontor, men de hittar också in i industri- och infrastruktursammanhang. 

Sensorer i smarta fabriker och edge-system på smarta fartyg är bra exempel på IIoT som några av våra kunder arbetar med här på Eficode. 

Man kan säga att IIoT är där OT möter IoT: operativ teknik som är utformad för att driva kritiska system, kombinerad med den uppkoppling som behövs för att övervaka och styra systemen på distans.

Låt oss nu titta på vilka cybersäkerhetsutmaningar som finns inom dessa områden i dag.

Utmaning 1: Gamla system krockar med nya

Få verksamhetsområden har ett längre tidsspann av utveckling, driftsättning och verktyg att ta hänsyn till än områden med kritisk infrastruktur. 

Helsingfors i Finland installerade till exempel sitt första elnät 1871. Även om det säkert har uppdaterats betydligt sedan dess, hittar du troligen mycket mjukvara som är över tjugo år gammal och körs på hårdvara som är trettio år eller äldre.

Om du arbetar inom energisektorn sitter du i den otacksamma situationen att behöva koppla samman och säkra system som från början aldrig var avsedda att nätverkas.

När äldre system möter det moderna och IoT snabbt börjar kollidera med OT förändrar en märklig, Frankenstein-liknande övergång till IIoT tekniklandskapet inom kritisk infrastruktur.

Utmaning 2: Långsam anpassning till förändring

Inom sektorer med kritisk infrastruktur, som energi, sjukvård, finans och brottsbekämpning, sker samma snabba tekniska förändringar som i resten av samhället.

När IoT tar sig in i våra hem – med en penetration på nära 42 % i USA – gör IIoT sitt intåg i världen av kritisk infrastruktur.

Enligt Dr. Stephan Lechner från Europeiska kommissionen, som leder säkerhetsarbetet inom energisektorn, fungerar cybersäkerhet som skyddsräcken på ett löpband. När takten ökar är det cybersäkerheten som håller oss på rätt spår. Energisektorn håller fortfarande på att ta reda på hur man fullt ut identifierar verkliga angrepp och reagerar på dem.

Det beror på att dessa områden inom kritisk infrastruktur historiskt sett har varit ovilliga att förändras. De har varit långsamma med att anpassa sig till framsteg inom den teknik som stöder dem, vilket leder till det underskott inom cybersäkerhet som vi nu börjar se.

Det bistra faktumet är att kritisk infrastruktur, såsom sjukvård och energisektorn, är sårbar och redan har utsatts för angrepp:

• Wannacry-ransomware som drabbade brittiska sjukhus

• Cyberattacker mot infrastruktur som föregick invasionen av Ukraina

Wannacry-ransomware som drabbade brittiska sjukhus

Cyberattacker mot infrastruktur som föregick invasionen av Ukraina

När allt fler av dessa kritiska system ansluts till internet växer attackytan bara.

Kort sagt: Kritisk infrastruktur har attackerats. Den kommer även att vara ett mål i framtiden. Och någon gång kommer den att komprometteras.

Utmaning 3: Brist på erfarenhet

Det finns helt enkelt ingen ersättning för erfarenhet. Krigsspel, teoretiska attackmodeller och scenarier kan aldrig mäta sig med en verklig attack.

Det här blir nedslående tydligt i Rysslands invasion av Ukraina. Om du vill veta vem som hanterar rysk cyberaggression bäst behöver du inte leta längre än till Ukraina. Till skillnad från andra länder genomför de nämligen inte simuleringar. De skapar inte sina egna scenarier – de hanterar den dagliga verkligheten av sådana attacker.

Att överbrygga klyftan i erfarenhet och kunskap inom IoT och industriella styrsystem blir avgörande för att ligga steget före angripare när de utvecklas under de kommande åren.

Vi har ännu inte nått brytpunkten där cyberaggression har gått om vanliga angrepp som ett sätt att slå ut kritisk infrastruktur, men med tanke på ökningstakten kommer den snabbare än vi förväntar oss.

Så ökar hoten från IIoT

IoT-enheter blir allt mer intressanta för hackare av två huvudskäl:

IoT-enheter finns överallt

De blir allt vanligare i hemmet, på arbetsplatsen, i smarta kylskåp, smarta tv-apparater, smarta hem och smarta fabriker … Deras räckvidd ökar för varje år, till den grad att driftsättningen av IoT-enheter har börjat överträffa driftsättningen av enheter utan IoT. En trend som vi förväntar oss kommer att fortsätta växa under de kommande åren.

IoT-enheter blir kraftfullare

IoT-enheter var tidigare små och relativt kraftlösa. De hade minimala resurser, små processorer och begränsat lagringsutrymme.

Men i dag stämmer det inte längre.

Det finns enheter som Jetson TX2. TX2 är utformad för att köra AI-applikationer vid nätverkets ytterkant och har NVIDIA Pascal-arkitektur med 256 kärnor och 8 GB minne. Den är därför väl lämpad för exempelvis kryptovalutabrytning. De senaste kryptovalutakriserna kan visserligen ha dämpat problemet tillfälligt, men beräkningskraft kan användas på många andra sätt.

IoT-enheter blir allt vanligare, särskilt inom ett kritiskt industriområde:

Sjukvården. Den står för en av de största investeringarna inom IoT, och 86 % av vårdinrättningarna använder någon form av IoT-baserade diagnosverktyg. Under 2021 förekom hot mot system för patientjournaler, styrsystem för defibrillatorer och AI-baserade diagnossystem.

Detta är ett av de främsta områdena där cybersäkerhetshot kan påverka människoliv.

Så skyddar du dig mot cyberattacker inom industrin

Om du arbetar med industriella styrsystem och vill veta mer om hur du ligger till inom cybersäkerhet, ställ dig följande tre frågor.

Hur hanterar du kryptering?

En häpnadsväckande stor del av datalagringen och dataöverföringen inom IIoT är okrypterad. Har du funderat på hur du hanterar datalagring?

• Är den krypterad? Om ja, använder den stark kryptering och följer beprövad praxis?

• Hur är det med överföring? Använder du TLS eller någon annan kryptering när dina data överförs?

Är den krypterad? Om ja, använder den stark kryptering och följer beprövad praxis?

Hur är det med överföring? Använder du TLS eller någon annan kryptering när dina data överförs?

Hur övervakar du dina distribuerade IIoT-enheter?

En av de större svagheterna med IIoT är den fysiska spridningen. Dessa enheter kan inte begränsas på traditionellt sätt och förvaras i ett låst serverskåp. De behöver ofta placeras i lättillgängliga områden.

Fråga dig själv:

• Hur övervakar du själva enheterna?

• Kan du upptäcka om en enhet slutar fungera? Eller om någon manipulerar den fysiskt?

• Vet du vilka processer som körs på din enhet?

• Kan du upptäcka om en skadlig process startas och ansluter din IIoT-enhet till ett botnät?

Hur övervakar du själva enheterna?

Kan du upptäcka om en enhet slutar fungera? Eller om någon manipulerar den fysiskt?

Vet du vilka processer som körs på din enhet?

Kan du upptäcka om en skadlig process startas och ansluter din IIoT-enhet till ett botnät?

Hur mycket vet du om dina nätverk?

IIoT saknar traditionell infrastruktur på flera sätt. Vanliga enheter, som servrar, ansluts till nätverk på specifika sätt, med specifika kabeluppsättningar kopplade till säkrade enheter, allt bakom låsta dörrar.

För IIoT-enheter som kan vara utspridda på platser där det kan vara svårt att dra traditionell kabel är trådlös åtkomst dagens melodi. Men det utökar attackytan på flera sätt. Så:

• Hur begränsar du åtkomsten till ditt nätverk?

• Använder du vitlistning baserad på fysiska MAC-adresser?

• Är nätverket som dina IoT-enheter ansluter till särskilt avsett för detta, eller ansluter de till accesspunkter för allmänna ändamål?

• Autentiserar sig användare med lösenord eller någon form av certifikatbaserad autentisering?

• Övervakar du de aktiva enheter som är anslutna till nätverket?

• Kan du ta bort okända och obehöriga enheter?

Hur begränsar du åtkomsten till ditt nätverk?

Använder du vitlistning baserad på fysiska MAC-adresser?

Är nätverket som dina IoT-enheter ansluter till särskilt avsett för detta, eller ansluter de till accesspunkter för allmänna ändamål?

Autentiserar sig användare med lösenord eller någon form av certifikatbaserad autentisering?

Övervakar du de aktiva enheter som är anslutna till nätverket?

Kan du ta bort okända och obehöriga enheter?

Sammanfattning

Cybersäkerheten inom IIoT är fortfarande i sin linda. Enkla attackvektorer som skulle vara oacceptabla i mer etablerade, traditionella system levereras ofta i både IoT-enheter för konsumenter och industrin.

När IIoT-området breder ut sig till fler samhällskritiska områden, som sjukvården eller styrsystem för el, kan leverantörer som inte gör cybersäkerhet till en grundprincip få svårt att komma ikapp längre fram.

Vilket bättre sätt att avsluta än med följande citat från Richard Adler vid Institute for the Future: ”Trots fortsatta säkerhetsproblem kommer IoT att spridas och människor blir alltmer beroende av det. Kostnaden för intrång kommer att ses på samma sätt som kostnaden för bilolyckor, vilka inte har fått särskilt många människor att sluta köra bil.”