22.2.21


De watervoorziening beschermen - Hacker-editie

Wat kunnen gemeenten doen om hun watervoorzieningssystemen beter te beschermen?

 


Onlangs stond een aanval op de watervoorziening in Oldsmar, Florida in het nieuws. Nu maken we ons zorgen over mogelijke toekomstige aanvallen en copycat-aanvallen op andere weinig beschermde waterbehandelingssystemen in kleine steden over de hele wereld en wat er kan gedaan worden om deze te stoppen.

In Florida gebruikten criminelen tools voor externe toegang en zo voet aan de grond te krijgen en de chemicaliënniveaus in de watervoorziening te wijzigen, waardoor ze tot potentieel gevaarlijke niveaus werden opgedreven.

Dat is zorgwekkend, omdat hackers normaal gezien specifieke kennis moeten hebben van beheersystemen voor waterbehandeling, wat zeer specifiek is. Dat is geen 'spray and bid'-aanval; het is doelgericht en kost tijd om tot stand te brengen en te implementeren. En hoewel dit incident geen super sluipende zero-day-aanval was (wasn’t a super stealthy zero-day attack), is de kans groot dat iemand al geruime tijd interesse had in het doelwit.

Hoe kan dit gebeuren, vanuit het perspectief van de aanvaller (in dit geval bedoelen we een typische opzettelijke aanvaller die een goed doordachte aanval bedenkt en uitvoert).

De aanvallers identificeren eerst het doelwit, verzamelen informatie en stellen een plan op. Zodra ze toegang krijgen, moeten ze het netwerk doorzoeken op de controlesystemen die rechtstreeks in wisselwerking staan met het waterzuiveringsproces. Dit kan veel tijd en planning vragen.

Zodra potentiële doelen geïdentificeerd zijn, moeten aanvallers begrijpen welke rol die doelen hebben in het chemische proces en welke toegang die systemen hebben tot de fysieke apparatuur voor de waterproductie, of het nu gaat om kleppen, relais, niveausensoren, thermokoppels of andere bedieningselementen.

Vervolgens moeten ze een specifieke aanval opzetten binnen de context die ze gaandeweg kunnen beoordelen. Daarna moeten ze aanvallen op een precies tijdstip dat de meeste kans op succes biedt, terwijl ze ongemerkt toegang houden tot alle systemen in de keten.

In Oldsmar waren er, toen de aanval eenmaal begonnen was, andere systemen die feedback gaven waarmee het personeel op tijd kon worden gewaarschuwd om de aanval te doen mislukken. Dat is het goede nieuws. Het slechte nieuws zou zijn dat er weken of maanden voorafgaand aan de daadwerkelijke vergiftigingspoging, stille aanvallen zouden geweest zijn waarvan niemand iets had gemerkt.

Bij ESET Research vraagt Tony Anscombe zich af waarom de Oldsmar-vestiging geen grondig doorgelicht en geïmplementeerd plan had met de sectorspecifieke richtlijnen voor water- en afvalwatersystemen van de CISA (CISA sector-specific guidance for water and wastewater systems), met maatregelen zoals tweefactorauthenticatie (2FA) en gelijkaardige controles. Het zou erg handig zijn mochten die richtlijnen beschikbaar zijn voor kleine gemeenten zodat ze die snel kunnen toepassen.

Verwacht ondertussen toekomstige  aanvallen tegen andere gemeenten. Pogingen tot ransomware-aanvallen  (Ransomware attempts) zouden een logisch vervolgtrend kunnen zijn.

Wat kunnen kleine steden doen? Ze moeten de tijd nemen om de beschikbare richtlijnen te begrijpen en te implementeren. Dit kan zo simpel zijn als 2FA toevoegen/verplichten, het patchen van systemen, het implementeren van goede veranderingscontroleprocessen (volgens mediaberichten werd TeamViewer vervangen als de remote access-oplossing bij deze waterzuiveringsinstallatie, maar het draaide nog steeds, waardoor de installatie aan het internet werd blootgesteld via een niet-vereiste interface) en het personeel training geven in cyberhygiëne.

Ook een praktische oefening uitvoeren, alsof er een aanval is en “denken als een hacker” om zo te voorkomen dat die binnendringt. Het is ook een goed idee om een plan te hebben voor het geval een ransomware-aanval zou plaatsvinden. Kleine steden worden dan niet geconfronteerd met het onhoudbare vooruitzicht om aan burgers te moeten uitleggen waarom ze zojuist overheidsgeld hebben uitgegeven om een aanval te stoppen die in de eerste plaats niet had mogen plaatsvinden.