Industrivirksomheder er et let bytte for hackere

Industrivirksomheder og infrastrukturer er på grund af gamle og sårbare PC- og PLC-produkter ved at blive et af de nye mål for cyber-kriminalitet. Ikke fordi udbyttet er større end ved anden cyber-kriminalitet, men fordi det er så utrolig nemt. Oded Gonda, sikkerhedsekspert hos Check Point, der for nylig var i København, forudser, at dette kan blive et aktuelt scenarie for dansk industri.
Oded Gonda fortæller, at Check Point ofte oplever et væld af elektrisk, mekanisk og hydraulisk udstyr i de industrielle miljøer, som er styret af PLC’er og simple computere. Alt er koblet til ét overvågnings- og dataindsamlingssystem. Men langt de fleste af disse PLC’er og simple computere har ikke fulgt med sikkerhedsopdateringerne.
De har fungeret de sidste mange år, og derfor har man ikke overvejet at opdatere eller udskifte dem. Man opfatter simpelthen ikke disse enheder som it-udstyr men snarere som maskiner, og derfor er de ikke blevet opdateret, ligesom man har gjort med resten af virksomhedens IT-udstyr. Nogle af disse enheder har sikkerhedsteknologier, som var moderne for 25 år siden, og ifølge Oded Gonda vil langt de fleste med lidt it-kendskab være i stand til at bryde ind i virksomhedens system via disse enheder, da de ofte ikke engang er beskyttet af en adgangskode eller en firewall.
Et andet faktum er, at investeringer i industrien ofte foretages meget mere langsigtet end investeringer inden for administrativ IT. En levetid på 15 år er ikke usædvanligt for produktionsudstyr som industrielle controllere, der i øvrigt opdateres og sikkerhedscheckes langt sjældnere end administrative servere og pc’er pga. krav til meget høj oppetid. Servicevinduer tillades ganske enkelt ikke nær så hyppigt blandt andet fordi der også er krav til 24/7-drift, og fordi man indtil nu ikke har anset det for at være nødvendigt.
Oded Gonda fortæller, når de store softwareleverandører som Adobe eller Microsoft opdager et sikkerhedshul i deres software, lukker de det med det samme. Det samme oplever man ikke hos de mindre virksomheder. I industrielt udstyr har der været eksempler på kendte sikkerhedshuller, som virksomheder først har fået lukket efter seks til syv år. Alt for få reagerer hurtigt på et eventuelt sikkerhedshul, og det resulterer i, at flere cyber-kriminelle kan nå at udnytte hullet, inden det bliver lukket.
Der findes angiveligt uhyggeligt mange eksempler på forsynings- og industrivirksomheder, der har oplevet hackerangreb. Et eksempel er det amerikanske naturgas distributionssystem, som i februar 2013 modtog en rapport fra ejeren af en lokal distributionspartner om angrebsforsøg på kompressorstationens processystem. Angrebet kunne spores tilbage til 10 IP-adresser. Efter at systemets andre ejere var blevet informeret om angrebet, viste det sig, at yderligere 39 ip-adresser var involveret i angreb på gas-systemet. Heldigvis lykkedes det ikke for nogen af hackerne at trænge helt ind i distributionssystemet.
Anderledes alvorligt så det ud for den tyske strømleverandør, 50 Hz, der sidste år blev udsat for et angreb. Det resulterede i, at 18 millioner kunder havde problemer i en uge. Årsagen var gammelt og ikke opdateret udstyr, som ikke var i en stand til at forhindre angrebet, der kom fra en russisk server. Oded påpeger, at det ikke nødvendigvis var en russer, som stod bag angrebet. Det kunne lige så godt være en tysker, der havde set sig gal på 50 Hz.
Oded Gonda foreslår, at man logger alt, hvad der sker for at få det nødvendige overblik. Desuden bør man også gennemgå den gamle infrastruktur og undersøge, hvordan den bruges. Han mener, at der bør fokuseres mere på den industrielle it-sikkerhed både af dem, som benytter sig af udstyret, og fra producenternes side. Han erkender dog, at det ikke er nogen lille opgave og frygter, at der kan gå op til 10-20 år, før alle sikkerhedshullerne bliver lukket.
Læs mere om trusselsvurdering her: http://fe-ddis.dk/cfcs/CFCSDocuments/CFCS_Trusselvurdering_Nov_2013.pdf