Iraanse PLC-aanvallen op waterbedrijven zijn ook waarschuwing voor datacenters

De recente cyberaanvallen op Amerikaanse waterbedrijven laten zien hoe kwetsbaar operationele technologie (OT) nog altijd kan zijn. Iraanse staatsgesteunde hackers wisten toegang te krijgen tot programmeerbare logische controllers (PLC’s) die fysieke processen aansturen. Hoewel de aanvallen gericht waren op waterinstallaties, bevatten ze belangrijke lessen voor datacenterbeheerders.

Datacenters vertrouwen immers steeds sterker op dezelfde combinatie van IT en OT: digitale systemen die fysieke infrastructuur beheren. Denk aan gebouwbeheersystemen (BMS), energiebeheersystemen (EMS), UPS-installaties, generatoren, koeling, pompen en andere kritieke voorzieningen. Een aanval op deze systemen kan direct gevolgen hebben voor beschikbaarheid, veiligheid en continuïteit.

Geen geavanceerde aanval

De aanval op de waterbedrijven doet denken aan Stuxnet, de beroemde cyberaanval op het Iraanse nucleaire programma. Maar de aanpak verschilde sterk. Stuxnet was een zeer geavanceerde operatie waarbij meerdere onbekende kwetsbaarheden werden gebruikt om centrifuges fysiek te beschadigen.

De aanvallen op de Amerikaanse watersector waren veel eenvoudiger. Hackers maakten gebruik van zwakke beveiliging rond PLC-systemen, waaronder onvoldoende beschermde toegangen en gebrekkig wachtwoordbeheer. De aanvallers hoefden geen complexe malware te ontwikkelen; het verkrijgen van toegang tot de besturingssystemen bleek voldoende.

Voor datacenters is dit een belangrijk signaal. Ook hier bevinden zich steeds meer industriële controllers en beheersystemen die ooit vooral bedoeld waren om betrouwbaar te functioneren, niet om bestand te zijn tegen moderne cyberdreigingen.

Een modern datacenter bestaat allang niet meer alleen uit servers, netwerkapparatuur en opslag. De fysieke infrastructuur wordt aangestuurd door een breed scala aan systemen:gebouwbeheersystemen voor klimaat en energie, DCIM-platforms voor monitoring en beheer, UPS- en batterijmanagementsystemen, generatorbesturing, koelinstallaties en pompsystemen en bijvoorbeeld ppower distribution units.

Veel van deze systemen maken gebruik van industriële protocollen en controllers die vergelijkbaar zijn met de PLC’s in fabrieken en nutsbedrijven.

Daarbij ontstaat een uitdaging: deze systemen moeten 24 uur per dag beschikbaar zijn, maar worden soms beheerd door verschillende leveranciers en onderhoudspartijen. Hierdoor kunnen toegangsrechten, configuraties en beveiligingsniveaus sterk uiteenlopen.

Versnipperde OT-omgevingen

Net als waterbedrijven hebben datacenters vaak te maken met een grote diversiteit aan apparatuur. Een locatie kan bijvoorbeeld koelsystemen van meerdere fabrikanten gebruiken, UPS-systemen van een andere leverancier en een DCIM-platform dat weer met allerlei subsystemen communiceert.

Dat maakt het lastig om volledig overzicht te houden. Welke controllers zijn aanwezig? Welke systemen zijn extern bereikbaar? Welke onderhoudspartners hebben toegang? Zijn standaardwachtwoorden vervangen? Worden firmware-updates uitgevoerd?

Deze vragen lijken eenvoudig, maar vormen in de praktijk een van de grootste uitdagingen binnen OT-security. Bij veel incidenten blijkt namelijk niet een technisch geavanceerde aanval de oorzaak, maar een basisprobleem: een vergeten externe toegang, een ongebruikt account dat nog actief is of een systeem dat rechtstreeks vanaf internet bereikbaar blijkt.