Onderzoekers vinden 60 kwetsbare Nederlandse SCADA-systemen
Onderzoekers van de Universiteit Twente hebben 60 kwetsbare ICS- en SCADA-systemen in Nederland gevonden, maar het kunnen ook honeypots zijn die opzettelijk zijn neergezet om aanvallers te lokken, zo laat de universiteit in een persbericht weten (pdf). De onderzoekers vonden met name relatief kleine systemen die gebruikt worden voor besturingsdoeleinden, maar wat er precies achter zit is onbekend. ICS- en SCADA-systemen worden onder andere voor industriële toepassingen en de vitale sector gebruikt.
Op verzoek van het Wetenschappelijk Onderzoek- en Documentatiecentrum (WODC) van het ministerie van Justitie en Veiligheid voerde de universiteit het onderzoek naar vitale infrastructuren in Nederland uit. Eerst werd er gekeken hoeveel SCADA- en ICS-systemen eenvoudig via de Shodan-zoekmachine zijn te vinden. Het bleken er zo'n duizend te zijn. In de meeste gevallen gaat het om Tridium-systemen. Vervolgens keken de onderzoekers of de systemen ook kwetsbaar zijn. Hierbij werd onder andere naar de gebruikte software gekeken. Uiteindelijk werden 60 kwetsbare systemen ontdekt.
Het is onduidelijk wat dit precies zegt, aangezien de achterliggende systemen onbekend zijn. "Stel dat één of meerdere van die zestig besturingssystemen daadwerkelijk iets belangrijks is als een sluisdeur of elektriciteitscentrale? Het andere uiterste is dat het hier kan gaan om zestig systemen die bedoeld zijn om potentiële aanvallers te lokken, honeypots genaamd", zegt Aiko Pras, hoogleraar internetveiligheid aan de Universiteit Twente.
Pras hoopt dat het rapport leidt tot een politiek debat over cybersecurity van vitale infrastructuren in Nederland. "Volgens ons moet de overheid zeggen: elk systeem dat vitaal is, moet niet onbeveiligd aan het openbare internet gehangen worden zodat kwaadwillende, eventueel buitenlandse hackers erbij kunnen. We signaleren al een tijd dat er in Den Haag relatief weinig kennis van ict zit. Slechts een paar mensen hebben er echt verstand van en besluitvorming gaat traag."
De hoogleraar pleit voor een 'apart stukje internet dat losstaand te beheren is', een gesloten netwerkstructuur voor vitale systemen. Iets wat op dit moment in Nederland nog niet bestaat. De paar verschillende aanbieders die er zijn behandelen alle klanten in grote lijnen op dezelfde manier. Met het rapport wil Pras het debat hierover aanjagen.
what could possibly go wrong...
Als je iets op afstand wil doen doe het dan achter een VPN tunnel. Zelfs voor hardcore Layer 2 apparatuur zoals veel niet routeerbare PLC protocollen is daar wel een oplossing voor te vinden als b.v. GRE over IPSec o.i.d.
Met andere woorden, leuk om een hoogleraar met Shodan te zien stoeien maar vooral slecht van de personen die dit aangesloten hebben. Niet nodig, en een tegen van een totaal gebrek aan kennis van de installateur.
De overheid kan het dus wel.
Peter
VPN's diverse andere beveiligende technieken blijken immers meervoudig lek en manipuleerbaar.
Die laatste golf van vernieuwingen maakte het toch efficiënter?
Niet terug gaan naar de kern technieken lijkt met name koren op de molen voor "de beveiliging industrie".
what could possibly go wrong...
- Dat bedrijf wordt vervolgens opgekocht door KPN, waarbij ze met de hand op het hart beloven dat het een apart bedrijfsonderdeel blijft.
- Na een jaar of tien wordt het dan alsnog bij KPN geïntegreerd; hoe har de wereld ook schreeuwt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
