Cyberaanvallen op Amerikaanse waterbedrijven leggen zwakke plek in OT bloot

Twee maanden geleden werden meer dan dertig gemeentelijke waterbedrijven in de Amerikaanse staat Minnesota getroffen door cyberaanvallen. Deze aanvallen laten goed zien hoe kwetsbaar operationele technologie (OT) kan zijn. Ondertussen zijn meer van dit soort hacks bij waterbedrijven in zeker twaalf Amerikaanse staten gesignaleerd. Opvallend is dat de aanvallers geen geavanceerde malware of onbekende kwetsbaarheid hoefden te gebruiken. Ze maakten gewoon gebruik van systemen die bedoeld zijn voor het beheer van industriële installaties en die via internet bereikbaar waren.

Wat was de situatie tijdens deze cyberaanvallen, en wat kunnen we hiervan leren?

Wat gebeurde er in de VS?

De aanvallen in Minnesota richtten zich op ‘programmable logic controllers’ (PLC's), industriële computers die onder meer pompen, kleppen en andere onderdelen van waterinstallaties aansturen. Deze PLC's waren via internet toegankelijk. In verschillende gevallen kregen aanvallers toegang tot de besturing en veranderden zij onder meer netwerkconfiguraties en beheerdersgegevens. Operators konden daardoor niet meer op de normale manier bij hun systemen.

Opvallend is vooral hoe de aanvallers te werk gingen. Er was geen ingewikkelde malware nodig. Ze gebruikten legitieme engineeringsoftware waarmee technici normaal gesproken PLC's configureren en beheren. Voor een beveiligingssysteem kan dergelijk verkeer daardoor lijken op normale beheeractiviteit.

De gevolgen waren niet mals. Bij een waterzuiveringsinstallatie in Minnesota lag de behandeling tijdelijk stil en moesten verschillende organisaties terugvallen op handmatige bediening. In sommige gevallen moesten technici systemen fysiek herstellen en configuraties opnieuw laden. Activiteiten die veel tijd en dus geld kosten, en tot verontrusting bij de bevolking leiden.

Deze incidenten laten vooral zien dat de grens tussen een cyberaanval en een fysieke verstoring steeds dunner wordt. Een aanvaller die toegang krijgt tot een kantooromgeving steelt mogelijk bedrijfsdata. Een aanvaller die toegang krijgt tot een OT-omgeving kan een pomp stilzetten, een proces verstoren of operators de controle over een installatie ontnemen.

Het probleem was al bekend

Misschien wel de belangrijkste les uit de Amerikaanse incidenten is dat het gebruikte aanvalspad geen grote verrassing was. PLCs direct aan het internet koppelen is iets wat tegen elke best practice en standaard ingaat. Amerikaanse overheidsdiensten waarschuwden dan ook al eerder voor internetbereikbare OT-systemen bij waterbedrijven en voor onveilige mogelijkheden voor externe toegang. Ook in de jaren daarvoor waren Amerikaanse waterinstallaties doelwit van aanvallen waarbij aanvallers zich richtten op PLC's. Toch bleken veel systemen nog steeds rechtstreeks bereikbaar.

Dat wijst op een probleem dat verder gaat dan een ontbrekende patch of een verkeerde firewallregel. In OT-omgevingen blijven verbindingen soms jarenlang bestaan. Een leverancier krijgt bijvoorbeeld ooit externe toegang om onderhoud uit te voeren. Een 4G-router wordt geplaatst omdat dat praktisch is. Een VPN-verbinding blijft actief nadat een project is afgerond. Ondertussen veranderen medewerkers, leveranciers en verantwoordelijkheden en raakt de documentatie achterhaald. Het gevolg is dat organisaties denken dat hun OT-omgeving afgeschermd is, terwijl er in werkelijkheid nog verbindingen naar buiten bestaan.

Wat kunnen we hiervan leren? Uit het Amerikaanse voorval kunnen drie lessen getrokken worden:

1: weet wat er daadwerkelijk staat

De eerste les uit de Amerikaanse aanvallen is eenvoudig: je kunt niet beveiligen wat je niet ziet. Een netwerkdiagram of assetlijst is niet voldoende. Organisaties moeten weten welke PLC's, HMI's, SCADA-systemen en andere OT-componenten daadwerkelijk aanwezig zijn en hoe deze met elkaar en met externe systemen communiceren.

Dat betekent ook dat organisaties regelmatig moeten controleren of de werkelijkheid nog overeenkomt met de documentatie. Het is essentieel om goed zicht te hebben op welke systemen van buitenaf bereikbaar zijn. 

2: OT is geen gewone IT

De incidenten maken ook duidelijk waarom OT-beveiliging een eigen aanpak vraagt. Een traditionele IT-omgeving kan relatief snel worden gepatcht, opnieuw opgestart of vervangen. Bij een waterinstallatie kan dat niet altijd. Een software-update of configuratiewijziging kan invloed hebben op een fysiek proces dat continu moet blijven functioneren. Daarom draait OT-security niet alleen om voorkomen dat iemand binnenkomt. Het gaat ook om het beperken van de gevolgen wanneer dat toch gebeurt.

Netwerksegmentatie kan bijvoorbeeld voorkomen dat een aanvaller zich eenvoudig door een omgeving beweegt. Monitoring kan afwijkend gedrag signaleren. Strikte toegangscontrole kan beperken wie systemen op afstand mag beheren. En een organisatie moet weten hoe zij een getroffen installatie veilig kan isoleren.

3: Herstel moet je oefenen

De derde les is: preventie is niet genoeg. Wat gebeurt er als iemand morgen de configuratie van een PLC wijzigt? Kunnen operators het proces handmatig blijven bedienen? Is er een gecontroleerde back-up van de juiste configuratie? Kan een PLC opnieuw worden opgebouwd? Zijn reserveonderdelen beschikbaar? En heeft het team dit ooit daadwerkelijk geoefend?

Een herstelplan op papier is iets anders dan midden in de nacht een installatie moeten herstellen terwijl de normale besturing niet beschikbaar is. OT-weerbaarheid betekent daarom niet alleen detecteren en blokkeren, maar ook kunnen terugvallen op een veilige situatie en daarna gecontroleerd kunnen herstellen.

En in Nederland?

De Amerikaanse situatie is voor Nederland relevant, juist omdat ook ons land sterk afhankelijk is van digitale waterinfrastructuur. Nederland is immers een waterland. Drinkwaterbedrijven, waterschappen en Rijkswaterstaat maken gebruik van geautomatiseerde systemen voor onder meer waterzuivering, gemalen, sluizen, stuwen en andere fysieke processen.

Echter, alhoewel er bij sommige Nederlandse drinkwaterbedrijven en waterschappen nog wel wat moet gebeuren, zijn de OT-omgevingen beter ingeregeld dan in de VS. Het belangrijkste verschil is dat de getroffen systemen in de VS gemeente-eigendom zijn. Deze gemeentes zijn vaak klein en hebben beperkte middelen. 

In Nederland is de kans op vergelijkbare situaties vooral aanwezig bij kleinere fabrikanten en bij kleine gemeenten. Deze laatste zijn verantwoordelijk voor systemen die bruggen en gemalen aansturen, en bijvoorbeeld verkeersregelinstallaties. Bij deze omgevingen valt nog een belangrijke stap te maken.

Concluderend zijn de belangrijkste vragen: weten we welke OT-systemen we hebben, weten we wie er toegang toe heeft en kunnen we ze herstellen als iemand de controle overneemt? Dat zijn uiteindelijk geen puur technische kwesties. Voor een waterland als Nederland gaan deze vragen over continuïteit en maatschappelijke weerbaarheid. Want als de digitale besturing van een fysieke installatie uitvalt, zijn de gevolgen voelbaar voor de hele maatschappij.

Jeroen Wijnands is principal OT security consultant bij Northwave Cyber Security