Het heeft weinig zin om de systemen die voor onze water- en energievoorziening worden gebruikt van het internet te halen om te voorkomen dat ze het doelwit van cyberaanvallen worden. Dat zegt Delfin Rodillas van beveiligingsbedrijf Palo Alto Networks in een interview met Security.NL.

SCADA-systemen spelen een belangrijke rol binnen de kritieke infrastructuur. Vaak gaat het echter om oude legacy-systemen die online gaan, wat risico's met zich meebrengt omdat deze systemen niet met het internet en online security in het achterhoofd zijn ontwikkeld. Om een mogelijke cyberaanval te voorkomen wordt vaak opgemerkt dat het misschien beter is om deze systemen niet met het internet te verbinden.

In de praktijk blijkt dat dit niet altijd mogelijk is. Daarnaast komt het voor dat systemen soms onbedoeld aan het internet worden gekoppeld. Rodillas kwam eens een energiebedrijf in Oost-Europa tegen dat dacht dat het systeem niet online was. Tijdens een scan van het netwerk werd er echter internetverkeer gevonden. Het bleek afkomstig te zijn van de P2P-software eMule, de cloudopslagdienst Wuala en een applicatie genaamd WebDesk, een online editingtool. Werknemers gebruikten een "rogue" internetverbinding in de fabrieksomgeving om deze diensten te benaderen.

Volgens Rodillas hadden de werknemers geen kwade bedoelingen, maar wilden ze alleen bepaalde zaken gedaan krijgen, zoals het delen van documenten of handleidingen. "De werknemers stonden er echter niet bij stil dat dit risico's met zich meebracht." Sommige van de applicaties bevatten kwetsbaarheden die aanvallers op afstand zouden kunnen gebruiken. eMule deelt bijvoorbeeld documenten, waardoor dataverlies een potentieel gevaar is.

Een ander risico is de "quality of service". Als het netwerk voor kritieke toepassingen ook opeens gebruikt wordt voor het streamen van video's of downloaden van grote bestanden kan dat voor problemen zorgen, zoals de beschikbaarheid en stabiliteit van het netwerk.

Leveranciers

Een reden dat bijvoorbeeld de SCADA-omgeving op internet wordt aangesloten is omdat het gewoon mogelijk is, gaat Rodillas verder. Sommige werknemers weten dat er ergens een internetverbinding is in het rack waar de router staat. "Ze pakken een kabel, stoppen die in de router en klaar. En ze hebben direct toegang tot internet. Dat zou niet moeten gebeuren, maar het gebeurt."

Een situatie die vaker voorkomt waardoor SCADA-omgevingen met het internet verbonden moeten zijn is dat leveranciers dit verplichten. In het contract staat dan dat de energiecentrale een directe breedbandverbinding moet aanbieden, zodat de leverancier 24 uur per dag de software kan onderhouden. Ook kan de leverancier verplichten dat hij de enige is die beschikbare patches installeert.

Generator

Ondanks allerlei spannende berichten die in de media verschijnen over omvangrijke schade en zelfs het verlies van levens door cyberaanvallen op SCADA-systemen ziet Rodillas het niet zo' n vaart lopen, hoewel een stroomuitval voor burgers zeer vervelend kan zijn en voor bedrijven de nodige herstelkosten met zicht meebrengt. "Het elektriciteitsnetwerk is zeer veerkrachtig. Er zijn verschillende fail safes om het handmatig te doen." Rodillas kent een voorbeeld van een centrale waar het systeem maanden na een incident pas weer operationeel was. In de tussentijd werden alle operaties handmatig uitgevoerd.

Toch zijn zaken als redundantie en fail safes geen excuus om de digitale beveiliging niet serieus te nemen, gaat hij verder. Juist omdat systemen inmiddels zo afhankelijk van cyber en computernetwerken zijn geworden. "Er is in de VS geen enkel energiebedrijf dat air-gapped is en alleen seriële technologie gebruikt. Ze zijn allemaal naar een internet controlecentrum en IP-gebaseerde technologie overgestapt. Ze gaan van serieel naar IP (Internet Protocol)." De bedrijven gebruiken daarbij voor hun systemen commerciële off-the-shelf software en besturingssystemen zoals Windows.

Software die niet immuun voor aanvallen is. Ondanks het potentiële risico is het uit voorzorg offline halen van SCADA-systemen inmiddels geen optie meer, ook al zijn ze kwetsbaar voor een eventuele cyberaanval. Daarnaast werd een aantal maanden geleden bekend dat de grootste dreiging voor de kritieke infrastructuur voornamelijk nalatig personeel is. Of het nu om een onhandige werknemer gaat of een digitale aanvaller, wie niet in het donker wil komen te zitten doet er verstandig aan om voldoende water en een back-upgenerator achter de hand te hebben. Iets waar Rodillas thuis ook voor heeft gezorgd. "Dat krijg je als je in deze industrie werkt", merkt hij lachend op.