VI PRØVER Å STOPPE MORGENDAGENS ANGREP MED GÅRSDAGENS TEKNOLOGI Energidagene 2016 Even Sverdrup Augdal Head of Network Security Analysis Phone: (+47) 991 59 607 Email: even@mnemonic.no
Vi prøver å stoppe morgendagens angrep med gårsdagens teknologi I følge mørketallsundersøkelsen 2016, opplevde 412 av 1500 bedrifter sikkerhetshendelser det siste året. 430 millioner nye skadevarer registret i 2015 (Symantec) 1 million webangrep daglig i 2015 (Symantec). Komplisert trusselbilde Stadig økende angrepsflate
Cyberangrep mot strømnettet? Se for deg at Flere nettselskaper blir angrepet samtidig Flere titalls trafostasjoner i distribusjonsnettet blir koblet ut eller ødelagt Driftssentralen mister all kontroll og tilgjengelighet i nettverket
Cyberangrep mot strømnettet? Se for deg at Flere nettselskaper blir angrepet samtidig Flere titalls trafostasjoner i distribusjonsnettet blir koblet ut eller ødelagt Driftssentralen mister all kontroll og tilgjengelighet i nettverket Flere hundretusen kunder mister strømmen
Cyberangrep mot strømnettet? Se for deg at Flere nettselskaper blir angrepet samtidig Flere titalls trafostasjoner i distribusjonsnettet blir koblet ut eller ødelagt Driftssentralen mister all kontroll og tilgjengelighet i nettverket Flere hundretusen kunder mister strømmen På lille julaften
Cyberangrep mot strømnettet? Dette skjedde i Ukraina 23. desember 2015! Minst 3 nettselskaper ble angrepet Mange regionale trafostasjoner frakoblet Operatørene på driftssentralen mistet kontakt med alt utstyr Ca 225 000 kunder mistet strømmen Kunder fikk ikke ringt nettselskapene fordi telefonsystemet også var angrepet
Hvordan? 1. Kompromittert maskin i vanlig klientnettverk 1. Spear phishing epost 2. Vedlegg med ondsinnet makro 3. Nedlasting av trojaner (Black Energy)
Hvordan? 1. Kompromittert maskin i vanlig klientnettverk 1. Spear phishing epost 2. Vedlegg med ondsinnet makro 3. Nedlasting av trojaner (Black Energy)
Hvordan? 2. Bruk av eksisterende VPN tunnel mellom klient- og prosessnettverk 1. Stjal innloggingsdetaljer 2. Autentiserte seg som autorisert bruker mot eksisterende VPN tunnel 3. Fikk tilgang til prosessnettverket
Hvordan? 3. Koblet fra nødstrøm 1. Koblet fra nødstrøm
Hvordan? 4. Utnyttelse av eksisterende fjernstyringsprogramvare til å skru av strømmen 1. Utnyttet eksisterende fjernstyringsprogramvare fra driftssentralen 2. Brukte dette programmet til å skru av strømmen
Hvordan? 5. Ødeleggelse av serial-to-ethernet konverterere, samt arbeidsstasjoner 1. Utviklet egen firmware for serial-to-ethernet kovertere 2. Lastet opp firmware via eksisterende oppdateringsprogram 3. Overskrev master boot record på maskin på driftssentralen
Hvordan? 6. Tjenestenektangrep mot kundesentralen 1. Benyttet et botnet til å overbelaste telefonlinjen til kundesentralen 2. Kunder kunne ikke lenger ringe kundesentralen
Hvordan? Spear phishing epost Frakoblet nødstrøm Ødeleggelse av konvertere og maskiner VPN Tunell Frakoblet trafostasjoner Tjenestenektangrep
Noen refleksjoner rundt hendelsen Et relativt lite angrep i et makroperspektiv Kostbart eller uerstattelig utstyr ble ikke ødelagt Ikke spesielt avansert Likevel veldig sofistikert En trusselaktør med ressurser til å holde på i minst 6 måneder Et målrettet angrep mot kritisk infrastruktur Vi vil se flere og mer alvorlige angrep i fremtiden
Hvordan forhindre at noe lignende skjer i Norge? Synlighet og deteksjonsevne. Det holder ikke lenger med kun perimetersikring Dere må kunne oppdage unormaliteter i nettverket før det er for sent - Husk at angriperne fikk herje fritt i over 6 måneder i Ukraina
Hvordan forhindre at noe lignende skjer i Norge? Beredskapsforskriften 7-14 c) Virksomheten skal ha automatisk overvåking, logging, analyse og varsling ved uautorisert bruk, forsøk på uautorisert tilgang, unormal datatrafikk eller annen aktivitet som ikke er autorisert i driftskontrollsystemet
Hvordan forhindre at noe lignende skjer i Norge? Anbefalinger Nettverkssensorer (IDPS) - Tilpasset ICS miljø - Med hyppige signaturoppdateringer - Med støtte for relevante protokoller. F.eks IEC104 Logganalyse av relevante systemer - Brannmur - Proxy - Active Directory - Antivirus - Driftskontrollsystem Anomalideteksjon - ICS nettverk er temmelig statiske. Oppdag unormaliteter! Husk at teknologien også skal beskytte dere mot morgendagens angrep!