Kritisk infrastruktur

Hvordan kan kritisk infrastruktur beskyttes mot cyberangrep?

Tenk deg at du nesten er ferdig med skiftet på et kontrollsenter som distribuerer strøm til et par hundre tusen hjem og bedrifter…da du plutselig legger merke til noe rart på skjermen.

Musepekeren beveger seg av seg selv og ikke bare tilfeldig. Før du rekker å reagere, har den løpende markøren åpnet en strømbryter på en transformatorstasjon og erkjennelsen av at noen andre fjernstyrer SCADA-systemet er på vei inn. Om ikke lenge har maskinen logget deg ut og mens du desperat prøver å komme deg inn igjen, merker du at passordet ditt har blitt endret. Du blir sittende hjelpeløst å se på at understasjonen etter understasjonen går offline.

Dette var scenariet ved operasjonssentralen som betjener Ivano-Frankivsk-regionen i Ukraina to dager før jul 2015. Strømnettet hadde blitt hacket, inntrengerne hadde full kontroll og iscenesatte et storstilt sammenbrudd, som etterlot 220 000 abonnenter uten strøm i flere timer. Takket være manuell backup-funksjonalitet ble strømmen gjenopprettet senere samme dag. Kontrollsenteret var imidlertid ikke fullt operativt før måneder senere, en vekker for de mange infrastruktureierne rundt om i verden som ikke har manuelle alternativer tilgjengelig.

High voltage power substation equipment

Trusler mot kritisk infrastruktur

Før og etter denne hendelsen har flere lignende angrep som dette, vært målrettet mot kontrollsystemer. Dette inkluderer kritisk infrastruktur, industrielle produksjons- og automatiseringssystemer og sikkerhetssystemer. Ettersom eiere og operatører står overfor sikkerhetsutfordringer som var utenkelige for de fleste for mindre enn et tiår siden, øker samfunnets bekymring med god grunn.

Kritisk infrastruktur rundt om i verden er helt avhengig av automatiserte kontrollsystemer, ofte referert til som operasjonell teknologi (OT). Eksempler på slike systemer er blant annet kraftproduksjon og distribusjon, jernbanesignalering, flykontroll, trafikklyskontroll, vannhåndtering og mange flere. Flere av disse systemene kan være avgjørende for en nasjons sikkerhet I henhold til NIS 2 direktivet (Direktiv om tiltak for et høyt felles sikkerhetsnivå i nettverks- og informasjonssystemer i EU) vil det nye direktivet innebefatte sektorer som transport, bank, Leverandør av IKT tjenester og digital infrastruktur med flere.

For alle er sikker og pålitelig drift avgjørende, og vi ser i dag ulike trusler å bekymre seg for. Infrastruktureiere risikerer å bli et utvalgt mål fra fremmede staters etterretning eller kriminelle grupper. Målrettede angrep kan også komme fra hacktivister og misfornøyde ansatte. I mange tilfeller blir imidlertid eieren av infrastrukturen et offer for skadelig programvare som ved et uhell kommer inn i OT-systemer.

Ansatt ved dataskjerm med SNOK program på skjermen.

Digitalisering utgjør betydelige utfordringer for OT‑sikkerhet.

Kritisk infrastruktursårbarhet og digitalisering

Hacking, skadelig programvare og virus har eksistert i flere tiår. Hvorfor er det slik at disse først nylig utgjør en reell trussel mot industriell infrastruktur? OT-systemer gjennomgår en omfattende digitaliseringsprosess, ofte referert til som digitalisering.

Digitalisering kan utgjøre betydelige utfordringer for OT-sikkerhet. Tradisjonelt har sikkerhetsrisikoer for slike systemer blitt redusert gjennom å opprettholde et «luftgap» (airgap) fra andre datasystemer. Økt digitalisering og modernisering av kontroll-OT-systemene har fordeler som sikrere, mer pålitelig og sikrer en mer effektiv drift. Smarte nett og automatisering som lar roboter ta over oppgaver som kan være skadelig for mennesker er gode eksempler. Prisen å betale er imidlertid økt sårbarhet: Proprietære, ofte serielle, kommunikasjonsprotokoller blir raskt erstattet av Ethernet/IP-basert kommunikasjon. Ethernet er billigere, leverandørnøytralt og kompatibelt med moderne teknologi. Dette gjør imidlertid kontrollerne mer tilgjengelige for en gjerningsperson eller skadelig programvare som har kommet seg inn i infrastrukturen.

Fjernkontroll og vedlikeholdsfunksjoner blir mer og mer utbredt, spesielt under og etter Covid-pandemien så vi en betydelig øking i fjerntilgang for for eksempel underleverandører inn til OT‑anlegg.
Fjerntilgang til kritisk infrastruktur kan settes opp for å være svært sikker, men samtidig vil fjerntilgang alltid representerer et mulig inngangspunkt for angrep. Teknologi som brukes av ulike industrielle tjenester blir mer og mer lik, slik at det samme angrepet kan gjentas for å målrette mange ulike infrastruktursektorer.

IT-plattformer, som Windows og Linux, er i dag vanlige i industrielle systemer og kan tillate angrep av IT-typen å påvirke og forplante seg gjennom disse systemene. Samtidig er det ofte vanskelig og til og med umulig å implementere beste praksiser for IT-sikkerhet, som for eksempel å holde systemer oppdatert og endepunktsbeskyttelse i industrielle omgivelser. Når vi går tilbake til situasjonen i det ukrainske strømnettet i 2015, spilte alle disse elementene en rolle i å gjøre det mulig for en angriper å fjernstyre fysisk utstyr som kretsbrytere.

Kritisk infrastruktur rundt om i verden er helt avhengig av automatiserte kontrollsystemer, ofte referert til som operasjonell teknologi (OT).

Kritisk infrastrukturbeskyttelse og motstandskraft i en tidsalder av digitalisering

Beskyttelsesstrategier og angrepsrespons må være basert på tilstrekkelig situasjonsbevissthet. Dette betyr å være klar over mulige sikkerhetshull og kjenne til sårbarhetene i din spesifikke infrastruktur.

Deretter må du vite når noen har startet en stille rekognoseringskampanje i nettverket ditt. De kan se seg om etter IP-adresser til OT-maskiner, legitimasjon, brannmurinnstillinger osv. Du må også vite om malware har blitt overført til OT-maskinene dine via USB til en teknisk bærbar datamaskin, og nå ligger i dvale og venter på et signal til å angripe. Et annet viktig element i beskyttelsesstrategier er risikostyring.

Det er flere standarder utviklet spesielt for å hjelpe eiere av industriell infrastruktur med å håndtere cyberrisiko:

  • ISA/IEC 62443-serien definerer prosedyrer for å implementere IACS OT-systemer på en sikker måte. Denne serien er i ferd med å bli en stift for risikostyring av OT-systemer. ISA/IEC 62443s Denne veiledningen gjelder for sluttbrukere (dvs. eiendeler), systemintegratorer, sikkerhetsutøvere og kontrollsystemprodusenter som er ansvarlige for å produsere, designe, implementere eller administrere industrielle automasjons- og kontrollsystemer.
  • NIST Cybersecurity Framework (NIST CSF) var opprinnelig rettet mot operatører av kritisk infrastruktur. I dag brukes den også av ulike organisasjoner, for eksempel i privat sektor. NIST, som er US National Institute of Standards and Technology, har sin hovedbrukerbase i USA. NIST CSF-standarden får imidlertid større innpass og blir i økende grad brukt og referert til av andre standarder og organisasjoner globalt.
  • Mange organisasjoner bruker ISO 27001 til å bygge et styringssystem for informasjonssikkerhet og ønsker å bruke det samme systemet for å administrere cyberrisiko for infrastruktur.
Social infrastructure and communication technology concept. IoT (Internet of Things). Autonomous transport.
Når man skal velge den beste metoden for å sikre motstandsdyktighet for kritisk infrastruktur mot cyberangrep, er det imidlertid viktig å finne en løsning som er spesifikk for industrielle formål og løser logistikk og praktiske utfordringer, samt dekker sikkerhetsbehov.

Beskyttelsesstrategier for et stort anlegg vil ha forskjeller fra de for en distribuert infrastruktur, for eksempel med mange fjerntliggende ubemannede steder. Teknologi og arbeidsprosesser for å beskytte Windows-servere kan være helt annerledes for servere i bedriftsnettverket og produksjonsnettverket.

…å være klar over mulige sikkerhetshull og kjenne til sårbarhetene i din spesifikke infrastruktur.