Stuxnet is een uniek voorbeeld van een bijzonder ingenieus in elkaar gezet stukje malware. De eerste melding van deze malware vond plaats op 17 juni 2010. Het is één van de eerste bekend geworden aanval die specifiek gericht is tegen een industrieel proces-besturingssysteem met de bedoeling informatie te ontvreemden, maar nog meer om sabotage uit te voeren op een specifiek procesonderdeel. Het uiteindelijke aanvalsdoel is Siemens SCADA WinCC en PCStep 7 software. Hierbij wordt via een code injection in PLC controlemodules de uiteindelijke sabotage gepleegd. De meeste besmettingen blijken plaatsgevonden te hebben in Iran en Rusland.

Opmerkelijk feit van Stuxnet is dat het doel een zeer specifiek proces binnen een industrieel besturingssysteem betreft. Door de steeds hogere mate van automatisering, standaardisering en ontkoppeling van industriële netwerken kunnen we een toename verwachten van kwetsbare industriële netwerkenomgevingen gaan zien. Door het kopieergedrag van malware-makers zal er ook een toename zijn van dergelijke aanvallen.

Aanvallen op industriële procesnetwerken zijn niet helemaal onbekend. Dergelijke aanvallen waren tot nu toe vaak het gevolg van pech - denk bijvoorbeeld aan een netwerkworm die zich verplaatst van het besmette kantoornetwerk naar het industriële procesnetwerk en daar zoveel netwerkverkeer genereert dat kritische beveiligingscontrolesystemen in functie belemmerd worden.

Het probleem van industriële netwerkomgevingen, is dat de mogelijke schade van een aanval over het algemeen veel groter is dan binnen een kantoornetwerk. Dit wordt nog bemoeilijkt door de afhankelijkheid van veel industriële omgevingen aan gekoppelde IT-systemen (kantoor- en industriële omgevingen).

Stuxnet en patching
Siemens en de IT-beveiligingswereld hebben gereageerd op Stuxnet met de bekende oplossingen. Microsoft bracht een (nood) securitypatch uit op 2 augustus, Siemens een securitypatch op 18 augustus en een Trend Micro verwijdertool op 4 augustus. Antivirus-leveranciers kwamen met een pattern update (W32.Stuxnet).

De vraag is hoe effectief deze middelen zijn. De securitypatch van Microsoft is geschikt voor besturingssystemen vanaf XP SP3 (en server 2003). Sommige industriële operators stelden daarom de vraag of dit betekende dat IT-omgevingen die gebruik maken van Windows-versies van vóór het XP tijdperk dan automatisch veilig zouden zijn, omdat daar volgens Microsoft blijkbaar geen patch voor nodig zou zijn. Het antwoord op die vraag is dat deze systemen wel degelijk kwetsbaar zijn voor een aanval en die ook door kunnen geven. De beslissing van Microsoft is simpelweg gebaseerd op het gegeven dat er geen support meer wordt geleverd voor dergelijke verouderde systemen.

Geen actief patchbeleid
Het probleem met industriële omgevingen is dat er bijna nooit een actief patchbeleid aanwezig is. Procesbesturingssystemen die jaren geleden specifiek zijn ontworpen op basis van de toen gebruikelijke besturingssystemen en nu nog steeds operationeel worden vaak ‘met rust gelaten’. Een patchproces brengt simpelweg te veel risico met zich mee voor de continuïteit van het bewuste proces. Hierdoor zijn er bijvoorbeeld toch nog steeds verouderde Windows NT / 95 versies te vinden als onderliggende besturingssystemen van industriële procesbesturingssystemen. Dat leverde vóór de integratie van MES, SCADA en ERP met de kantooromgeving overigens nog geen groot (beveiligings)probleem op. Omdat een proactief systeem voor beveiligingspatching vaak ontbreekt, zullen alleen bekende incidenten zoals Stuxnet een organisatie bewegen om actie te ondernemen.

Een veel voorkomend dilemma is welke afdeling vervolgens operationeel verantwoordelijk wordt gesteld voor het patchen van deze systemen, zowel het onderliggende besturingssysteem als de industriële procesapplicatie zelf (en het testen plus ingebruikname ervan). Is de IT-afdeling verantwoordelijk, de operators of de contractleverancier van dergelijke procesbesturingsapparatuur?

Confidentiality, Integrity, Availability (CIA)
Vaak geeft de volgorde van de drie onderdelen in de bekende CIA-methodiek ook meteen de volgorde van prioriteit weer van de informatiebeveiliging in het kantoornetwerk. Binnen de industriële omgeving is deze prioriteit echter precies omgedraaid: in eerste instantie is - met afstand - de beschikbaarheid van de data en de connectie over netwerken van het grootste belang. Vooral van kritische controlesystemen is de beschikbaarheid van de informatie en systemen een eerste vereiste. Elke (beveiligings)belemmering of vertraging tussen de sensoren en controlebesturingssysteem is er één teveel.

Het zelfde geldt voor antimalware. Ook al zou je dergelijke scanners op het onderliggende besturingssysteem van een procesbesturingssysteem kunnen installeren, de vraag is of dat wenselijk is met het oog op het gevolg op de performance op de essentiële processen.

Beveiligingstooling
Een oplossing voor deze continuïteitsrisico’s moet dan ook gebaseerd zijn op een gedegen risicoanalyse van de industriële systemen. Het lukraak inzetten van beveiligingstooling - bekend uit de kantoornetwerkomgeving - is een oplossing die al snel zijn doel voorbij schiet, omdat het industriële netwerkverkeer totaal verschillend is van de kantooromgeving.
Bovendien zijn passieve en actieve beveiligingstools vaak onbekend met de industriële netwerkprotocollen en processen. Op hun beurt kunnen deze processen de (overvloedige) actieve security-scancommunicatie vaak niet aan. De gebruikte netwerkstandaarden en -protocollen zijn wel degelijk anders (PROFINET/PROFIBUS, Powerlink, EtherCAT, MODbus, etc,) dan die we kennen uit het kantoornetwerk.

Kortom: technische oplossingen (virtual pachting, antimalware en firewalling) zijn voldoende in markt verkrijgbaar, maar deze worden nog veel te weinig toegepast in industriële omgevingen. Dit komt doordat de fabrikanten van industriële systemen veelal geen andere applicaties toelaten. Daarom moeten de fabrikanten en ontwikkelaars van industriële omgevingen nu echt de volgende stap gaan maken, door beveiligingssoftware toe laten en recente versies van besturingssystemen te gebruiken. Windows NT4.0, Windows 2000 en Windows 2003 zijn echt al lang achterhaald en bieden geen veilige basis meer voor welke omgeving dan ook.

Bas Dusée - Technical Consultant, AXIANS