Beheernachtmerrie dreigt voor industriële ICT

De automatisering van industriële ICT is een rommeltje, meent security-expert Klaus Kursawe. Dat is te wijten aan antieke technologie, aan high-tech function creep en aan cultuurshocks die ict’ers en de ics’ers (industrial control systems) elkaar bezorgen. “We zijn blij maar blind.”

Kursawe, onderzoeksdirecteur van het European Network for Cyber Security (ENCS), voorspelt een ware beheernachtmerrie in de ICS, de industriële ICT. De lijst van oorzaken hiervoor is lang en ogenschijnlijk vol tegenstrijdigheden. Kursawe somt op: sterk verouderde ICS-technologie tegenover high-tech ICT; totaal verschillende culturen van ICS versus ICT; gebrek aan ketenoverzicht in de ICS-industrie en tot slot de function creep – wanneer wetten, beleidsinstrumenten, maatregelen en programma’s een geheel andere uitwerking hebben dan oorspronkelijk bedoeld. Een van nachtmerries omvat ernstige storingen in smart grids.

Doodgevroren stroommeters
De bestaande elektriciteitsnetwerken worden in rap tempo voorzien van moderne technologie. Dat gebeurt in de kern van de netwerken en aan de uiteinden, zoals met slimme energiemeters in huishoudens. Op dat ‘eindpunt’ gaat het in de praktijk al vaak fout. Kusawe noemt haalt het praktijkvoorbeeld van smart meters die niet bestand waren tegen temperaturen onder nul. “Ze waren doodgevroren.” Een ander voorbeeld is het gebruik van bepaalde flash-geheugenchips in smart meters die elke paar seconden data opslaan. Doordat gegevens zo veelvuldig worden weggeschreven, slijten de flash-chips veel sneller. Flash-geheugen heeft namelijk een bovengrens voor het aantal writes (en reads). Dat plafond wordt door nieuwe ontwikkelingen wel telkens opgehoogd, maar veel slimme stroommeters zijn lang geleden al ontworpen en geproduceerd en gebruiken dus oudere geheugenchips.

Kwetsbaarheden
Maar ook aan de andere kant van het slimme stroomnet gaan er fundamentele zaken mis. Kursawe wijst erop dat de kerntechnologie van elektriciteitsnetwerken heel oud is. Sommige apparatuur is maar liefst zestig jaar oud. Weliswaar bewezen technologie, maar antiek. Daar wordt nu nieuwe, naar verhouding nog onbewezen, ICT aan gekoppeld. Deze koppeling brengt niet alleen meer complexiteit, het introduceert ook nieuwe kwetsbaarheden. Kursawe vertelt over een geval waarbij mechanische substations van een stroomnet werden voorzien van remote monitoring-apparatuur die via internet communiceerde met hoofdcentrales. Vanuit de ICT is daar een systeem met LAMP-stack (Linux, Apache, MySQL, PHP) neergezet. “Zonder gedegen patch-beheer is dat een optelsom van kwetsbaarheden,” zucht de security-expert. Met de komst van high-tech ICT worden nodeloze complexiteit en kwetsbaarheden, zoals het Heartbleed-lek, geïmporteerd in de industriële automatisering.

Toch is Kursawe niet alleen maar een doemprofeet. Geleidelijk aan wordt de veiligheidscultuur van de ICS-wereld omgezet in een beveiligingscultuur. In de tussentijd adviseert hij pragmatische security, dus beveiliging mét concessies. “Dat nemen de security-professionals me niet in dank af.”

Geef een reactie

Gerelateerde berichten...