Åtte scenarioer, åtte innfridde mål
Booz Allen Hamilton kjørte to frontmodeller mot et isolert industrielt styringsnettverk, bygd for å etterligne en produksjonsfabrikk, og melder at modellene nådde hvert mål som ble satt.
I ett scenario gikk modellene fra et innbrudd i ytterkanten til handling inne i styringsnettverket på litt over 16 minutter. I et annet fant en modell en robotarm, regnet ut dens beskyttelsessoner og bevegelsesgrenser og flyttet den i løpet av minutter. Booz Allen opplyser at modellene verken hadde kildekode, konstruksjonsdokumenter eller spesialisert veiledning om operativ teknologi.
Konsulentselskapet navngir ikke modellene, men beskriver dem bare som nylige utgivelser fra ledende leverandører. Det er en reell begrensning ved resultatet: en leser kan ikke sjekke det mot noen leverandørs eget sikkerhetsdokument, og kan ikke vite om en bestemt sikring ville endret utfallet.
Hva modellene faktisk gjorde
Laboratoriet la opp arbeidet i samme rekkefølge som en menneskelig inntrenger. Modellene identifiserte ukjent utstyr, koblet opplysninger om utstyr og fastvare til kjente sårbarheter, bygde angrepsveier og endret — der et menneske godkjente det — tilstanden til fysisk utstyr.
Testen mot et sikkerhetsrelé er den klareste illustrasjonen. Modellene la merke til at reléet gjentatte ganger lette etter en kommunikasjonspartner som ikke svarte, og fant en måte å utgi seg for å være den manglende motparten på. Ingenting ved dette er eksotisk; det er iakttakelsen en tålmodig ingeniør gjør, oppnådd raskt og uten dokumentasjon.
I en SCADA-test mislyktes første forsøk fordi modellene siktet på feil versjon av operatørgrensesnittet. De sjekket så hvilke økter som var aktive, endret nyttelasten og fant levende, allerede autentiserte forbindelser til 14 enheter på det operative nettet.
Forsvarene som holdt, og de som ikke gjorde det
Den mest nyttige delen av rapporten er feilene. En styreenhet avviste en stoppkommando. En motor satt i lokal styring startet ikke eksternt. Brannmurer, nettverkssegmentering og endepunktsbeskyttelse bremset eller blokkerte andre steg.
Men Booz Allens konklusjon er at ingen enkelt sikring konsekvent stanset modellene fra å nå målet. Dybdeforsvaret virket som helhet og sviktet som enkeltkontroller, noe som er det vanlige funnet i fysisk sikring og ubehagelig når angriperen ikke blir trøtt.
«Noen organisasjoner innen operativ teknologi er forberedt, men mange er det ikke», sa Kyle Miller, visepresident for infrastrukturcybersikkerhet i Booz Allen. Han hevdet at agenter kan arbeide med en hastighet, utholdenhet og ingeniørmessig presisjon som kan løpe fra organisasjonene som forsvarer seg.
Forbeholdene som betyr noe
Menneskelige operatører godkjente hvert angrep og hver handling med mulig fysisk virkning, så dette var ingen selvstendig kjøring. Miljøet var et laboratorium, ikke en fabrikk i drift, og Booz Allen påpeker at følgene ved et virkelig anlegg ville avhenge av arkitektur, utstyr, sikringer og den tilgangen en angriper hadde skaffet seg.
Forbeholdene skjærer begge veier. Godkjenningsportene betyr at modellene ikke ble prøvd på om de ville krysse en grense på eget initiativ. De betyr også at de 16 minuttene måler evne, ikke tilbakeholdenhet.
Hva man bør følge med på
Det praktiske tallet her er deteksjonsvinduet. Hvis en dyktig aktør kan være inne i et styringsnettverk på et kvarter, er overvåking som forutsetter dager med rekognosering feil dimensjonert.
Følg med på om anleggseierne publiserer egne tider i stedet for å lene seg på et konsulentselskaps laboratorium, og om modellleverandørene begynner å rapportere evne innen operativ teknologi slik de i dag rapporterer cyberoffensiv evne. Inntil da arbeider hver organisasjon som driver et anlegg, ut fra andres navnløse modeller.
