Brukte «honningkrukke» for å avdekke industrielle cybertrusler

Ny sikkerhetsrapport fra Trend Micro gir verdifull innsikt i trusselbildet for industrimiljøer og hva som bør gjøres for å beskytte dem.

For kort tid siden publiserte IT-sikkerhetsselskapet Trend Micro rapporten «Caught in the Act: Running a Realistic Factory Honeypod to Capture Real Threats» . Her kommer det frem hvordan sikkerhetsforskere fra Trend Micro har kartlagt trusselbildet i industrielle miljøer, inkludert driftstekniske systemer, ved at de opprettet et fiktivt konsulentselskap.

Alt og alle blir smartere
Verden blir stadig smartere gjennom ny og nyttiggjort teknologi. Det gjelder også fabrikker og industri-fasiliteter som gjør alt fra å generere kraft, til å produsere produkter vi bruker i det daglige. I praksis snakker vi om IoT-systemer som effektiviserer forretningsprosesser og forbedrer produktiviteten. Men effektene kommer ikke uten en pris. Etter hvert som operativ teknologi konvergerer med IT og blir tilkoblet internett, dukker nye trusler opp som følge av utdaterte kommunikasjonsprotokoller og maskinvare som ikke er lar seg sikre gjennom tradisjonell oppgradering.

- Når vi snakker om cybertrusler mot industrielle kontrollsystemer (ICS), er samtalen ofte begrenset til å gjelde kun veldig sofistikerte angrep designet for å sabotere kritiske prosesser på statlig nivå eller hos store profilerte selskaper. De avanserte truslene er selvsagt en stor risiko for industri 4.0, men forskningen vår viser også at det er en økende risiko for enklere angrep rettet mot mindre selskaper. Derfor bør man prioritere defensive tiltak innen industrien generelt, det være seg om det er et stort eller lite selskap, privat og innen offentlig sektor, sier kommunikasjonssjef i Trend Micro, Karianne Myrvold.

«Honningkrukke» for å samle innsikt
For å finne ut mer om hvordan cybertruslene industrien bør være forberedt på, utviklet Trend Micro sin egen «honningkrukke». Tilnærmingen er en velprøvd måte for sikkerhetsforskere å samle viktig innsikt om sine «motstandere». Derimot har metoden blitt vanskeligere å få gode resultater av, etter hvert som kriminelle cybermiljøer har blitt stadig flinkere til å ikke la seg lure.

Opprettet et fiktivt selskap

Derfor gikk Trend Micro sine sikkerhetsforskere til det steget å utgi seg å være et lite industrielt konsulentselskap som jobbet med sensitive prosjekter for høyspesialiserte kunder. Den falske operasjonen strakte seg så langt at det ble opprettet en fullstendig nettside, samt at man opprettet sosiale medier-profiler for selskapets ansatte.

I tillegg ble «honningkrukka» utstyrt med ekte industrielle kontrollsystemer og en blanding av fysiske og virtuelle maskiner som betjente den fiktive fabrikken. Det ble også satt opp flere arbeidsstasjoner og filservere, for å gi et inntrykk av et komplett nettverk. For å lokke potensielle angripere, ble spesifikke nettverks-porter stående åpne uten passord, slik at angripere kunne aktivere tjenester som VNC med flere. Tiltak ble også gjort for at selskapet skulle bli enklere å finne på internett.

Angrepet etter kort tid
Kun to måneder etter lanseringen av det falske selskapet i mai begynte man å se resultater. Det første angrepet var en kryptokapring. Dette er betegnelsen på et angrep hvor datamaskiner og IT-ressurser blir kapret for å kjøre et program som gjør at angriperne kan utvinne kryptovaluta på datamaskinen din uten at du merker det. Fortløpende så man mange ulike trusselaktører som kom inn i systemet med jevne mellomrom, blant annet flere som drev med rekognosering, som svært ofte er begynnelsen på et større angrep. I september fikk man det første angrepet med løsepengevirus, etterfulgt av et nytt i oktober med en annen variant.

Enkle, ikke sofistikerte angrepsmetoder
Metodene hackerne brukte for å komme seg inn i den fiktive fabrikken, forteller ganske mye om hvordan smarte fabrikker bør forholde seg til IT-sikkerhet. For det første handler det ikke så mye om sofistikerte angrep på flere nivåer, slik man ofte ser i målrettede angrep mot høyprofilerte selskap, hvor formålet er å ødelegge produksjonen, stjele sensitiv bedriftsinformasjon eller oppnå stor avkastning. For det andre fikk sikkerhetsforskerne hos Trend Micro en bekreftelse på at selv de mest grunnleggende sikkerhetstiltakene forhindret angripere å infiltrere «honningkrukka». Det var først da forskerne åpnet VNC-porten at den ble utsatt for kryptokapring.

- Vår klare oppfordring er at IT-sikkerhetssjefer som administrerer smarte industrimiljøer, bør begrense antall porter de åpner, i tillegg til å være ekstra streng med hvem det er som får tilgang og hva de enkelte får tilgang til, advarer Myrvold.

Hele rapporten kan leses her