Schneider Exec tentang Mengapa Triton Malware Masih Penting

Tahun lalu, kelompok penyerang siber misterius meluncurkan kampanye malware, yang sejak itu dikenal sebagai Triton atau Trisis, untuk menyabotase sistem penghentian keselamatan di sebuah fasilitas di Timur Tengah. Malware Triton, yang ditemukan oleh perusahaan keamanan siber Dragos pada pertengahan November 2017, dapat menyebabkan kerusakan besar — ​​berpotensi menyebabkan hilangnya nyawa dan polusi skala besar. Malware tersebut, bagaimanapun, tidak mencapai tujuannya, karena secara tidak sengaja memicu prosedur penutupan sistem darurat sistem keamanan Triconex yang berusaha untuk ditekan, membantu mengarah pada penemuannya.

Triton dengan demikian menjadi peringatan nyata tentang ancaman keamanan siber yang dihadapi organisasi industri modern. Kolektif peretas di balik serangan itu, yang Dragos menjuluki Xenotime, kemungkinan akan terus "menyebabkan potensi, gangguan di masa depan - atau bahkan destruktif -," menurut artikel Dragos. Perusahaan siber menyatakan memiliki "kepercayaan sedang" dalam kemungkinan ini, sementara juga mencatat bahwa serangan itu memberikan cetak biru kepada penjahat siber lainnya untuk menargetkan sistem yang diinstrumentasi keamanan secara luas.

Sementara beberapa produsen yang peralatannya telah diretas oleh peretas telah mengabaikan, meremehkan, atau bahkan berusaha menyembunyikan serangan tersebut dari publik, Schneider Electric mengambil pendekatan yang berlawanan. “Kami tahu ada tingkat transparansi yang diperlukan,” kata Andrew Kling, direktur keamanan siber dan arsitektur sistem di perusahaan tersebut. “Begitu sifat sebenarnya dari serangan itu dipahami, kami menyadari sifat unik dari serangan ini dan keseriusan serangan semacam ini. Kami benar-benar tahu bahwa ini akan menjadi ajakan untuk bertindak bagi seluruh industri,” kata Kling, yang baru-baru ini menulis artikel berjudul One Year After Triton:Building Ongoing, Industry-Wide Cyber ​​Resilience.

[ KTT Keamanan IoT adalah konferensi tempat Anda belajar mengamankan seluruh tumpukan IoT, dari cloud hingga edge hingga hardware. Dapatkan tiket Anda sekarang. ]

Apa yang membedakan Triton dari kebanyakan malware adalah bahwa Triton adalah salah satu dari segelintir jenis malware yang secara khusus menargetkan sistem kontrol industri, dan malware pertama yang diketahui menargetkan sistem instrumen keamanan. “Ini bukan hanya satu kali di mana versi lama dari suatu produk diserang, tetapi ini adalah jenis serangan di mana seseorang merasa bahwa menyerang sistem keamanan diperlukan untuk mencapai tujuan mereka,” kata Kling. “Dan mencoba mengubur kepala kita di pasir tidak akan menjadi perilaku yang dapat diterima.”

Sejauh mana menurut Anda orang-orang di industri ini menyadari Malware Triton dan ancaman serangan yang lebih luas terhadap sistem keamanan industri?

Andrew Kling :Itu pertanyaan yang bagus. Sebagai profesional keamanan siber, saya pikir itu harus 100 persen dan mutlak. Semua orang harus segera duduk dan mengambil tindakan untuk mengatasi situasi tersebut.

Kami telah menjalankan layanan deteksi malware untuk pelanggan lini produk Triconex kami. Kami tahu berapa banyak dari pengontrol keamanan Triconex yang telah kami produksi. Kami tahu cara mendeteksi apakah malware ini ada di perangkat ini. Dan kami telah menawarkan layanan ini kepada semua pelanggan kami. Kami memiliki banyak pelanggan yang sekarang terlibat dengan kami untuk mendeteksi apakah malware ada di perangkat mereka, dan tidak ada indikator tambahan kompromi dengan situs lain mana pun. Namun kami akan tetap menjalankan program tersebut karena kami yakin ini adalah layanan penting bagi pelanggan kami. Saya akan menunjukkan bahwa itu juga unik. Seperti yang saya tahu, ini adalah layanan pertama yang mendeteksi malware di perangkat keamanan seperti ini secara langsung.

Menurut Anda, peran apa yang dimainkan Schneider Electric dalam membantu mendidik industri tentang ancaman ini?

Kling: Ini adalah panggilan untuk bertindak, bukan hanya untuk pelanggan kami untuk berdiri dan berkata:"Hei, kita harus memperhatikan sistem keselamatan kita sebanyak kita memperhatikan sistem kontrol proses dan sistem bisnis kita." Tapi ini adalah ajakan untuk bertindak kepada penyedia layanan, penyedia jaringan, dan OEM seperti kami.

Saya berada di komite standar tempat saya berinteraksi dengan rekan-rekan saya di perusahaan lain dan mereka setuju bahwa ini adalah sesuatu yang relevan bagi mereka. Schneider Electric menjadi sasaran karena kebetulan kami adalah sistem keamanan yang ada di lokasi saat pelanggan ini diserang, tetapi bisa juga dengan mudah menjadi salah satu pesaing kami. Mereka menghargai fakta bahwa kami transparan dan kami menjelaskan bagaimana serangan itu terjadi dan keterampilan apa yang mereka gunakan terhadap pelanggan tertentu dalam serangan ini.

Seberapa banyak yang kita ketahui saat ini tentang penyerang di balik serangan itu?

Kling: Anda mungkin tahu sebanyak saya.

Sejauh atribusi berjalan, kami hanya tahu sedikit tentang siapa itu. Ada banyak spekulasi dan pers tentang negara bangsa. Baru-baru ini, ada satu perusahaan malware yang berspekulasi bahwa mungkin keterampilannya kurang dari yang diperkirakan semula. Meskipun saya tidak tahu siapa penyerangnya, saya tahu ada keterampilan tertentu yang diperlukan yang tidak sepele. Penyerang harus memahami bagaimana sistem keamanan seperti ini bekerja dan prosesor serta protokol yang terlibat. Dalam serangan ini, sistem kontrol terdistribusi dikompromikan seperti halnya sistem kontrol proses. Ini semua adalah keterampilan yang tidak Anda temukan dengan  cara umum. Seseorang harus memiliki motivasi yang signifikan untuk memperoleh keterampilan ini untuk melakukan serangan ini.

Jadi kemungkinan penyerang memiliki pengalaman yang sempit dengan mesin semacam ini?
Ya, atau mereka memiliki kecerdasan yang luas dan mampu beradaptasi dengan cepat.

Ini adalah spekulasi, tetapi kemungkinan mereka memiliki beberapa peralatan. Tetapi malware mereka memiliki banyak bug di dalamnya — bug yang harus kami perbaiki untuk benar-benar mengetahui apa yang seharusnya dilakukan malware. Ketika salah satu bug itu ditemukan, itu membuat sistem keamanan tersandung. Sistem melakukan apa yang seharusnya dilakukan dan merupakan indikator bahwa mereka mungkin tidak memiliki peralatan sebanyak yang kita duga. Dan mereka menggunakan situs tersebut untuk mengembangkan malware

Kami tahu bahwa malware tersebut adalah RAT yang dipasang ke memori. Mereka memiliki kemampuan baca-tulis-eksekusi, tetapi kami tidak pernah benar-benar memulihkan muatan akhir apa yang akan dipasang ke RAT itu?

Saran apa yang Anda miliki untuk organisasi industri yang khawatir tentang risiko siber terhadap fasilitas mereka, tetapi tidak yakin tentang apa yang harus menjadi prioritas utama mereka dalam mempertahankannya?

Omong-omong, itu adalah pertanyaan yang telah ditanyakan kepada saya oleh pemerintah di seluruh dunia kepada pelanggan untuk sekarang ditekan.

Dan saya punya jawaban:Sebagai anggota kelompok kerja ISA99, kami memproduksi standar keamanan siber IEC 62443. Ini adalah keluarga bagian yang menjelaskan apa itu sistem kontrol proses yang aman:dari komponen ke jaringan ke sistem hingga pengiriman sistem hingga pemeliharaan sistem. Jadi, jika Anda adalah pelanggan yang mencoba mengatakan, "Saya mengajukan tawaran untuk membeli sistem keamanan baru atau sistem kontrol proses baru untuk pabrik saya," Anda harus mulai dengan menyebutkan spesifikasi tawaran mereka. Produk Anda harus disertifikasi untuk standar ini. Ada ratusan tahun kerja dari para profesional di seluruh planet yang telah dituangkan ke dalam standar ini untuk menentukan apa arti keamanan bagi ruang sistem kontrol otomasi industri. Anda harus memanfaatkan semua pekerjaan yang telah dilakukan di sana dan mencari produk yang sesuai dengan standar itu. Mereka harus mencari produk untuk mematuhinya dan sistem yang mematuhinya dan organisasi pengiriman yang mematuhinya. Dan ini adalah bagaimana mereka dapat menghindari keharusan menjadi Ph.D.s di bidang keamanan siber untuk memahami bidang tersebut. Sebagai gantinya, mereka dapat memanfaatkan Ph.D.s yang telah mencurahkan hati dan jiwa mereka ke dalam standar.

Ada juga dokumen yang diproduksi pemerintah AS dari NCCIC/ICS-CERT. Kami berkolaborasi dengan orang-orang itu berdasarkan standar. Komunitas keamanan siber PL adalah komunitas yang erat. Kami saling mengenal dan bekerja sama secara teratur.