Industrivirksomheder er et let bytte for hackere
Gamle og sårbare pc’er og PLC’er gør industri virksomhedernes følsomme data til et let bytte for cyber-kriminelle.
Industrivirksomheder og infrastrukturer er ved at blive et af de nye mål for cyber-kriminalitet. Ikke fordi udbyttet er større end ved anden cyber-kriminalitet, men fordi det er så utrolig nemt. Oded Gonda, sikkerhedsekspert hos Check Point, der for nylig var i København, forudser, at dette kan blive et aktuelt scenarie for dansk industri.Oded fortæller, at Check Point ofte oplever et væld af elektrisk, mekanisk og hydraulisk udstyr i de industrielle miljøer, som er styret af PLC’er og simple computere. Alt er koblet til ét overvågnings- og dataindsamlingssystem. Men langt de fleste af disse PLC’er og simple computere har ikke fulgt med sikkerhedsopdateringerne.
- De har fungeret de sidste mange år, og derfor har man ikke overvejet at opdatere eller udskifte dem. Man opfatter simpelthen ikke disse enheder som it-udstyr men snarere som maskiner, og derfor er de ikke blevet opdateret, ligesom man har gjort med resten af virksomhedens it-udstyr, fortæller Oded Gonda.
Nogle af disse enheder har sikkerhedsteknologier, som var moderne for 25 år siden, og ifølge Oded vil langt de fleste med lidt it-kendskab være i stand til at bryde ind i virksomhedens system via disse enheder, da de ofte ikke engang er beskyttet af en adgangskode eller en firewall.
Et andet faktum er, at investeringer i industrien ofte foretages meget mere langsigtet end investeringer inden for administrativ it. En levetid på 15 år er ikke usædvanligt for produktionsudstyr som industrielle controllere, der i øvrigt opdateres og sikkerhedscheckes langt sjældnere end administrative servere og pc’er pga. krav til meget høj oppetid. Servicevinduer tillades ganske enkelt ikke nær så hyppigt bl.a. fordi der også er krav til 24/7-drift, og fordi man indtil nu ikke har anset det for at være nødvendigt.
Sikkerhedshuller for længe om at blive lukket
Oded Gonda fortæller, at når de store softwareleverandører som Adobe eller Microsoft opdager et sikkerhedshul i deres software, lukker de det med det samme. Det samme oplever man ikke hos de mindre virksomheder. I industrielt udstyr har der været eksempler på kendte sikkerhedshuller, som virksomheder først har fået lukket efter seks til syv år. Alt for få reagerer hurtigt på et eventuelt sikkerhedshul, og det resulterer i, at flere cyber-kriminelle kan nå at udnytte hullet, inden det bliver lukket.
Oded fortæller, at der findes uhyggeligt mange eksempler på forsynings- og industrivirksomheder, der har oplevet hackerangreb. Et eksempel er det amerikanske naturgas distributionssystem, som i februar 2013 modtog en rapport fra ejeren af en lokal distributionspartner om angrebsforsøg på kompressorstationens processystem. Angrebet kunne spores tilbage til 10 ip-adresser. Efter at systemets andre ejere var blevet informeret om angrebet, viste det sig, at yderligere 39 ip-adresser var involveret i angreb på gas-systemet. Heldigvis lykkedes det ikke for nogen af hackerne at trænge helt ind i distributionssystemet.
Anderledes alvorligt så det ud for den tyske strømleverandør, 50 Hz, der sidste år blev udsat for et angreb. Det resulterede i, at 18 millioner kunder havde problemer i en uge. Årsagen var gammelt og ikke opdateret udstyr, som ikke var i en stand til at forhindre angrebet, der kom fra en russisk server. Oded påpeger, at det ikke nødvendigvis var en russer, som stod bag angrebet. Det kunne lige så godt være en tysker, der havde set sig gal på 50 Hz.
- Et andet eksempel er fra Australien, hvor en entreprenør ville hævne sig på vandforsyningsselskabet Queensland Water, efter selskabet havde afvist ham i forbindelse med en jobansøgning. Han tilsluttede sig nemt den PLC, som kontrollerede anlægget, selvom han befandt sig på ydersiden af systemet. Han valgte derefter at forbinde drikkevandet og kloakvandet. Manden blev senere pågrebet og dømt, men jeg er bange for, at vi i fremtiden vil se flere lignende eksempler, fortæller Oded.
Luk hullerne
Oded Gonda foreslår, at man logger alt, hvad der sker for at få det nødvendige overblik. ”Forestil dig, hvor meget lettere det er for politiet at undersøge en forbrydelse, når de har en video af, hvad der er sket. Det er helt det samme med et industrianlæg. Du bør desuden også gennemgå den gamle infrastruktur og undersøge, hvordan den bruges, opfordrer han.
Oded mener, at der bør fokuseres mere på den industrielle it-sikkerhed både af dem, som benytter sig af udstyret, og fra producenternes side. Han erkender dog, at det ikke er nogen lille opgave og frygter, at der kan gå op til 10-20 år, før alle sikkerhedshullerne bliver lukket.
- Indtil vi får lukket alle sikkerhedshullerne, vil store værdier være i fare. De gamle systemer vil fortsat være bagdøren ind til virksomhedens følsomme data, understreger Oded Gonda.
