Otte scenarier, otte opfyldte mål
Booz Allen Hamilton kørte to frontmodeller mod et isoleret industrielt styringsnetværk, bygget til at efterligne en produktionsfabrik, og melder, at modellerne nåede hvert mål, der blev sat.
I ét scenarie gik modellerne fra et indbrud i periferien til handling inde i styringsnetværket på lidt over 16 minutter. I et andet fandt en model en robotarm, regnede dens beskyttelseszoner og bevægelsesgrænser ud og flyttede den i løbet af minutter. Booz Allen oplyser, at modellerne hverken havde kildekode, konstruktionsdokumenter eller specialiseret vejledning om operationel teknologi.
Konsulenthuset navngiver ikke modellerne, men beskriver dem blot som nylige udgivelser fra førende leverandører. Det er en reel begrænsning ved resultatet: en læser kan ikke holde det op mod nogen leverandørs eget sikkerhedsdokument og kan ikke vide, om en bestemt beskyttelse ville have ændret udfaldet.
Hvad modellerne faktisk gjorde
Laboratoriet lagde arbejdet i samme rækkefølge som en menneskelig indtrænger. Modellerne identificerede ukendt udstyr, koblede oplysninger om udstyr og firmware til kendte sårbarheder, byggede angrebsveje og ændrede — hvor et menneske godkendte det — tilstanden af fysisk udstyr.
Testen mod et sikkerhedsrelæ er den klareste illustration. Modellerne bemærkede, at relæet gang på gang ledte efter en kommunikationspartner, der ikke svarede, og fandt en måde at udgive sig for at være den manglende modpart. Intet ved det er eksotisk; det er den iagttagelse, en tålmodig ingeniør gør, nået hurtigt og uden dokumentation.
I en SCADA-test mislykkedes første forsøg, fordi modellerne sigtede mod den forkerte version af operatørgrænsefladen. De tjekkede så, hvilke sessioner der var aktive, rettede nyttelasten og fandt levende, allerede godkendte forbindelser til 14 enheder på det operationelle net.
De forsvar, der holdt, og dem, der ikke gjorde
Den mest nyttige del af rapporten er fejlene. En styreenhed afviste en stopkommando. En motor sat i lokal styring startede ikke fjernt. Firewalls, netværkssegmentering og endepunktsbeskyttelse bremsede eller blokerede andre skridt.
Men Booz Allens konklusion er, at ingen enkelt beskyttelse konsekvent stoppede modellerne i at nå målet. Dybdeforsvaret virkede som helhed og svigtede som enkeltkontroller, hvilket er det sædvanlige fund i fysisk sikring og ubehageligt, når angriberen ikke bliver træt.
“Nogle organisationer inden for operationel teknologi er forberedte, men mange er ikke”, sagde Kyle Miller, vicedirektør for infrastrukturcybersikkerhed hos Booz Allen. Han argumenterede for, at agenter kan arbejde med en hastighed, vedholdenhed og ingeniørmæssig præcision, der kan løbe fra de organisationer, der forsvarer sig.
De forbehold, der tæller
Menneskelige operatører godkendte hvert angreb og hver handling med mulig fysisk virkning, så dette var ingen selvkørende øvelse. Miljøet var et laboratorium, ikke en fabrik i drift, og Booz Allen påpeger, at følgerne på et virkeligt anlæg ville afhænge af dets arkitektur, udstyr, beskyttelser og den adgang, en angriber havde skaffet sig.
Forbeholdene skærer begge veje. Godkendelsesportene betyder, at modellerne ikke blev prøvet på, om de ville krydse en grænse af egen drift. De betyder også, at de 16 minutter måler evne, ikke tilbageholdenhed.
Hvad man skal holde øje med
Det praktiske tal her er detektionsvinduet. Hvis en kompetent aktør kan være inde i et styringsnetværk på et kvarter, er overvågning, der forudsætter dages rekognoscering, forkert dimensioneret.
Hold øje med, om anlægsejerne offentliggør deres egne tider i stedet for at læne sig op ad et konsulenthus’ laboratorium, og om modelleverandørerne begynder at rapportere evne inden for operationel teknologi, sådan som de i dag rapporterer cyberoffensiv evne. Indtil da arbejder enhver organisation, der driver et anlæg, ud fra andres unavngivne modeller.
