Koeling wordt cybersecurityrisico voor datacenters

Bij cybersecurity in datacenters gaat de aandacht vaak uit naar servers, netwerken, firewalls en toegangsbeveiliging. Maar een cyberaanval hoeft helemaal niet rechtstreeks op de IT-infrastructuur te zijn gericht om grote problemen te veroorzaken. Ook het koelsysteem blijkt een interessant doelwit. Onderzoek van Claroty laat zien dat aanvallers kwetsbaarheden in HVAC-systemen kunnen gebruiken om diep in de technische infrastructuur van een datacenter door te dringen. In het uiterste geval kan een aanvaller daarmee zelfs invloed krijgen op de temperatuur in het datacenter.

Dat is geen theoretisch scenario. Onderzoekers van Team82, het onderzoeksteam van Claroty, namen onlangs de Trane Tracer SC+ onder de loep. Deze controller wordt gebruikt voor de aansturing van verwarmings-, ventilatie- en airconditioningsystemen, waaronder installaties in datacenters en andere kritieke omgevingen. De onderzoekers vonden meerdere ernstige kwetsbaarheden die onder bepaalde omstandigheden konden worden gecombineerd om een aanvaller vergaande controle over de controller te geven.

Het onderzoek maakt duidelijk waarom koeling inmiddels nadrukkelijk als onderdeel van de cyberbeveiliging van een datacenter moet worden gezien. Servers en met name krachtige AI-systemen produceren grote hoeveelheden warmte. Zonder voldoende koeling kunnen systemen hun prestaties terugschroeven, automatisch uitschakelen of uiteindelijk beschadigd raken.

HVAC- en andere koelsystemen zijn daardoor niet zomaar facilitaire installaties. Ze vormen samen met onder meer UPS-systemen, stroomdistributie, generatoren en gebouwbeheersystemen een cyber-fysieke infrastructuur waarvan de beschikbaarheid van het complete datacenter afhankelijk is.

Claroty waarschuwt dat manipulatie van dergelijke systemen kan leiden tot operationele verstoringen en fysieke gevolgen. Een cyberaanval op een koelsysteem kan daarmee uiteindelijk hetzelfde resultaat hebben als een storing in de stroomvoorziening: servers en diensten vallen uit.

Root-toegang tot HVAC-controller

Het onderzoek naar de Trane Tracer SC+ laat zien hoe serieus zo'n aanval kan worden. Team82 ontdekte onder andere een kwetsbaarheid waarmee de authenticatie van een diagnostische dienst kon worden omzeild. Daardoor was het mogelijk root-toegang tot de controller te verkrijgen.

Daarbij hoort wel een belangrijke nuance. De betreffende SSH-dienst staat standaard uit en moet handmatig zijn ingeschakeld voordat deze specifieke aanvalsmethode kan worden gebruikt. De onderzoekers vonden daarnaast echter ook andere problemen, waaronder een denial-of-service-kwetsbaarheid waarvoor geen authenticatie nodig was en API's waarmee zonder inloggen gevoelige informatie over de controller en aangesloten systemen kon worden achterhaald.

Hardcoded credentials

Dat laatste is vooral relevant omdat HVAC-controllers zelden volledig op zichzelf staan. Via protocollen als BACnet communiceren zij met andere onderdelen van gebouw- en klimaatsystemen. Informatie uit een kwetsbare controller kan een aanvaller daarom helpen de achterliggende infrastructuur in kaart te brengen en mogelijk verder het netwerk binnen te bewegen.

Claroty vond bovendien hardcoded credentials en cryptografische sleutels in de onderzochte systemen. Een aanvaller die daar toegang toe krijgt, zou volgens de onderzoekers onder meer configuratiegegevens kunnen ontsleutelen, toegang tot gekoppelde systemen kunnen verkrijgen en HVAC-processen kunnen manipuleren. Trane adviseert gebruikers de Tracer SC+ bij te werken naar versie 6.3 of hoger.

Bij 32 procent riskante verbindingen

Het probleem is bovendien breder dan één type controller. Dat blijkt uit Claroty's rapport “State of CPS Security: Data Center Exposures”. Team82 onderzocht hiervoor meer dan 750.000 cyber-physical systems die met datacenteromgevingen samenhangen. Van ruim 174.000 specifiek onderzochte datacenterinfrastructuur-assets bleek 18 procent, meer dan 32.000 systemen, slechts één netwerkstap verwijderd van een systeem dat een risicovolle uitgaande verbinding met het publieke internet maakt.

Bij koeling ligt dat percentage nog aanzienlijk hoger. 32 procent van de onderzochte HVAC- en koelsystemen bevindt zich één 'hop' verwijderd van zo'n risicovolle internetverbinding. Alleen power distribution units scoren met 41 procent nog hoger.

Dit betekent niet dat al deze systemen rechtstreeks vanaf internet kunnen worden gehackt. Het laat volgens Claroty wel zien hoe kort aanvalspaden naar operationele infrastructuur kunnen zijn nadat een aanvaller elders binnen een datacenteromgeving voet aan de grond heeft gekregen.

Juist die verwevenheid maakt het probleem relevant voor datacenteroperators. Gebouwbeheersystemen, DCIM-platformen, sensoren, UPS'en, koelmachines en controllers worden steeds vaker digitaal gekoppeld en op afstand beheerd. Dat levert voordelen op voor efficiency en onderhoud, maar creëert tegelijkertijd verbindingen tussen IT, OT en gebouwtechniek.

Daar komt bij dat veel van deze systemen gebruikmaken van oudere industriële protocollen. Volgens Claroty communiceert meer dan 80 procent van de onderzochte OT-besturingssystemen, power-monitoringsystemen en IoT-systemen via legacyprotocollen zoals BACnet en Modbus. Bij de onderzochte building management systems gebruikte 88 procent onveilige protocollen en draaide 40 procent verouderde firmware.