Mengapa Malware Triton Masih Mengancam Keselamatan Industri: Pendapat Ahli Schneider Electric

Pada akhir 2017, serangsi siber yang canggih yang dikenal sebagai Triton (juga disebut Trisis) menargetkan sistem shutdown keselamatan fasilitas di Timur Tengah. Ditemukan oleh perusahaan keamanan siber Dragos pada November 2017, malware ini dapat memicu kegagalan katastrofis—potensialmente membunuh personel dan melepaskan kimia berbahaya. Untungnya, upaya Triton untuk menonaktifkan sistem keselamatan Triconex malah terbalik, mengaktifkan shutdown darurat yang ingin dipadamkannya dan mengungkapkan serangsi tersebut.

Dragos memberi label pada kelompok di balik serangan "Xenotime" dan memperingatkan bahwa mereka mungkin meluncurkan serangan yang mengganggu atau merusak di masa depan. Insiden ini juga memberikan blueprint yang berbahaya bagi penyerang lain yang ingin menargetkan sistem instrumen keselamatan (SIS).

Schneider Electric memilih transparansi daripada diam. Andrew Kling, Direktur Keamanan Siber dan Arsitektur Sistem, menjelaskan: "Kami tahu tingkat keterbukaan tertentu diperlukan. Setelah sifat sebenarnya dari serangan dipahami, kami menyadari seriusnya dan panggilan tindakan lintas industri yang ia utuhkan." Kling juga menulis One Year After Triton: Building Ongoing, Industry-Wide Cyber Resilience untuk berbagi pelajaran yang dipelajari.

[IoT Security Summit – Pelajari untuk mengamankan tumpukan IoT lengkap, dari cloud ke edge ke hardware. Dapatkan tiket Anda sekarang.]

Yang membuat Triton berbeda adalah bahwa ini adalah malware pertama yang dirancang untuk menyerang sistem instrumen keselamatan. Kling mencatat: "Ini bukan eksploitasi legacy satu kali; ini adalah upaya sengaja untuk merusak kontrol keselamatan untuk keuntungan strategis. Mengabaikannya tidak dapat diterima."

Seberapa sadar industri terhadap Triton dan ancaman yang lebih luas terhadap sistem keselamatan industri?

Andrew Kling: "Sadaran industri harus 100%. Semua orang harus bertindak segera. Kami menjalankan layanan deteksi malware khusus untuk pengontrol Triconex, menawarkannya kepada semua pelanggan, dan tidak mendeteksi kompromi tambahan. Ini adalah layanan pertama yang mendeteksi malware secara langsung di perangkat keselamatan."

Peran apa yang dimainkan Schneider Electric dalam mendidik industri?

Kling: "Kami memanggil respons kolektif—pelanggan, penyedia layanan, OEM, dan vendor jaringan harus memprioritaskan sistem kesehatan sekeras mereka memprioritaskan kontrol proses. Melalui komite standar, kami bekerjasama dengan rekan-rekan untuk berbagi pelajaran dan mempromosikan praktik terbaik. Transparansi adalah kunci; kami menjelaskan detail serangan dan teknik yang digunakan sehingga orang lain dapat membela diri."

Apa yang kami ketahui tentang penyerang?

Kling: "Attrisibusi masih tidak jelas; ada spekulasi tentang keterlibatan negara-bangsa, namun bukti konkret belum ada. Apa yang kami ketahui adalah bahwa penyerang memiliki pengetahuan khusus tentang arsitektur sistem keselamatan, prosesor embedded, dan protokol proprietary. Malware mereka mengandung beberapa bug yang secara tidak sengaja memicu shutdown keselamatan, yang menunjukkan sumber daya atau pengujian yang terbatas. Meskipun demikian, keterampilan yang diperlukan tidaklah sepele dan menunjukkan lawan yang sangat termotivasi.”

Saran bagi organisasi industri yang khawatir tentang risiko siber?

Sebagai anggota working group ISA99 IEC 62443, Kling merekomendasikan menyelaraskan pengadaan dengan standar keamanan siber IEC 62443. "Saat menender untuk sistem kontrol keselamatan atau proses baru, tentukan kepatuhan IEC 62443. Ratusan tahun-hari kerja ahli mendefinisikan apa yang dimaksud dengan keamanan dalam otomatisasi industri. Dengan memilih produk yang bersertifikat dan mitra pengiriman, Anda memanfaatkan keahlian kolektif tersebut tanpa harus menjadi ahli keamanan siber sendiri."

Schneider juga bekerjasama dengan agen pemerintah AS seperti NCCIC/ICS-CERT, memastikan bahwa praktik terbaik keamanan teknologi operasional (OT) dibagikan di seluruh komunitas. Komunitas keamanan siber OT tetap erat, dengan kolaborasi rutin untuk mengatasi ancaman yang muncul.