Etikettarkiv: ICS

10000 industriella kontrollsystem kopplade till Internet

Ett argument som ofta framförs när det gäller säkerhet för industriella kontrollsystem (på engelska ofta kallade ICS och SCADA) är att det inte finns några riktiga problem, detta för att systemen är isolerade och inte är kopplade till externa nätverk – exempelvis till Internet. Populära isolerande skyddmetoder är så kallade luftgap (på engelska air gap) samt datadioder. Med luftgap avses att det inte finns någon elektrisk förbindelse mellan kontrollsystemets nätverk och andra nätverk. Med datadioder avses mekanismer som gör att  trafiken i nätverket bara kan flöda åt ett håll.

Datadiod

Figuren visar hur en datadiod är tänkt att figuren. Notera att figuren egentligen är åt fel håll. Detta för att datadioder används för att isolera system som hanterar känslig information och där vill man inte att information ska läcka ut. I ett kontrollsystem är det oftast precis tvärt om som är intressant. Det går att skicka över mätdata från kontrollsystemet, men det går inte att skicka styrkommandon till kontrollsystemet. Leverantörer av industriella säkerhetssystem kräver ofta att deras utrustning ska skyddas genom isolering. Men hur fungerar det i verkligheten, och är detta egentligen bra och robusta metoder att hantera säkerhetsproblem?

Wireds säkerhetsblogg Threat Level rapporterar om resultat som säkerhetsforskaren Eireann P. Leverett nyligen presenterade som visar att det finns industriella kontrollsystem kopplade till Internet, mer exakt har Leverett hittat fler än 10000 stycken! Genom att använda nätverksscannern Shodan har Leverett letat efter kända industriella ontrollsystem, och även kunnat identifiera vilka versioner av system som används. Leverett har sedan mappat dessa i en fin graf över världen som visar var systemet finns:

Everetts graf som visar var olika industriella kontrollsystem finns och deras svagheter.
ICS med versioner och dess svagheter.

Av de system Everett hittade visade sig bara 17% över huvud taget använda någon form av enklare accesskontroll, exempelvis lösenord! Undersökningen är en del av den avhandling Everett arbetat med och för den som vill veta mer om Everetts undersökning finns hans avhandling Quantitatively Assessing and Visualising Industrial System Attack Surfaces hos Wired.

Jag anser att resultaten Everett presenterat visar att bara använda isolering som enda säkerhetsmetod för sitt industriella kontrollsystem inte ger ett adekvat skydd. I stora, komplexa kontrollsystem med tusentals mät- och styrnoder finns det stor risk att effektivisering, krav på snabb problemlösning, underhåll utfört av tredje part eller misstag leder till att hela eller delar av systemet kan exponeras mot omvärlden under kortare eller längre tid. Någon kopplar in ett GSM-router för att kunna övervaka en nod som sitter taskigt till rent fysiskt. En leverantör behöver möjlighet att få diagnostik. En del av systemet kopplas temporärt in på kontorsnätet. I dag är det inte heller nyfikna personer som sitter och för hand letar efter märkliga maskiner på Internet. Istället är det robotar, automatiska scannerverktyg som Shodan som periodiskt scannar av Internet. Risken att det exponerade systemet blir upptäckt är därför mycket större än man kanske tror.

Istället bör man räkna med att sitt industriella kontrollsystem kommer att kunna exponeras på olika sätt och börja ställa krav på säkerheten hos de noder och maskiner som är inkopplade i nätet. Att använda isolering är bra, men det bör kompletteras med säkerhet på djupet. Och om det nu finns kommunikationskanaler ut ska dom självklart använda vettiga autenticeringsmekanismer. Att 87% av de system Everett hittade inte ens har lösenordsskydd är väldigt skrämmande.

För den som ändå tror på isolering som fungerande metod bör studera Stuxnet-attacken. Där var kontrollsystemet isolerat. Men det som inträffade var att någon, avsiktligt eller oavsiktligt kopplade in ett USB-minne eller laptop och därmed infekterade systemen innanför luftgapet. Att tekniker tar med sig mätverktyg, laptops när dom ska lösa problem och kopplar in dessa i systemet borde knappast vara otänkbart scenario. Självklart ska det ställas krav på utrustningen som kopplas in, exempelvis uppdaterat virusskydd, men säkerheten måste även finnas inne i kontrollsystemet.

Två artiklar om Stuxnet

Elektroniktidningen har publicerat två artiklar om datormasken Stuxnet. Den första artikeln är en bra intervju med David Lindahl på FOI.

David Lindahl
David Lindahl

I intervjun pratar David om säkerheten hos industriella kontrollsystem (kallar ICS eller SCADA) och pbland annat att:

Styr- och driftsäkerhet är mycket bra. Men säker­het mot antagonister är inte ens dålig – den saknas i scadasystemen. Tidigare har scadasystem suttit avskilda. Men nu kopplas nät allt oftare ihop, med eller utan brandväggar, och då blir det problem.

Den andra artikeln innehåller några kommentarer från mig om Stuxnet. Det jag ser som ett stort problem med Stuxnet är att den ses som ett exempel på en digital version av smarta bomber och framtidens cyberkrig. Bomber som kan slå ut specifika mål. Men det är rätt stor skillnad mellan Stuxnet och en riktig bom (smart eller ej) och jag är rädd att dom som släppte lös Stuxnet antingen inte insåg det, eller mycket väl insåg det men tyckte att den potentiella kortsiktiga vinsten var viktigare.

Rent krasst, Stuxnet är inte en burk med högexplosiva ämnen som antänds. Stuxnet är ett program som lagras på media och exekveras av processorer. Bomben kan byggas i hemlighet, skickas på sitt mål och när den exploderar omvandlas den till energi. Stuxnet pillar på fysiska processer och kan ev försöka radera sig själv och gömma sig i digitala miljöer. Men den finns där och när Stuxnet inte körs är den en fil precis som andra filer. En fil den som skapade den, den som är måltavlan och alla andra kan titta på. Att släppa lös Stuxnet innebär att släppa lös kunnandet som krävdes för att bygga Stuxnet. Inte alls speciellt smart.

Den typ av ramverk för elak kod för ICS, SCADA-system jag nämner finns i dag. Ett sådant är Agora SCADA+ Pack. Riktigt intressant att avända för den som utvecklar, installerar och driftar denna typ av system. Och tyvärr även för den som vill attackera systemen.

För det finns en sak Stuxnet och denna typ av ramverk (och Metasploit) har gemensamt med en riktig bomb. När väl vapnet/bomben är utvecklad behövs inte samma kompetens för att använda vapnet. Och Agora, Metasploit, till skillnad från fysiska vapen är mycket, mycket enklare att skapa kopior.