ICS Security, Medical Devices and the Accidental Bogeyman
Alat pacu jantung yang diretas, pompa insulin, mobil, fasilitas industri, satelit dan menerobos jaringan listrik… Selama bertahun-tahun sekarang, peneliti keamanan siber telah memperingatkan kemungkinan peretas topi hitam untuk melukai atau membunuh orang melalui eksploitasi mereka — seringkali dengan demonstrasi tentang bagaimana mereka bisa melakukannya.
Tetapi tingkat sensasionalisme yang sering menyertai topik dapat mengaburkan tingkat risiko yang sebenarnya, sementara tidak banyak menggarisbawahi tingkat risiko vektor serangan umum dan kerentanan seperti sistem operasi yang ketinggalan zaman, perangkat lunak yang tidak ditambal atau buggy, jaringan yang salah konfigurasi, dan sejenisnya.
Secara umum, tingkat risiko siber tinggi dengan sistem kontrol industri, yang digunakan untuk berbagai aplikasi, mulai dari pengontrolan satelit hingga peralatan minyak dan gas hingga peralatan otomatisasi di pabrik. Ada laporan tentang sabotase komputer yang menyebabkan kekacauan selama beberapa dekade. Benar, sulit untuk memverifikasi, katakanlah, apakah Amerika Serikat menyebarkan malware Trojan pada peralatan komputasi yang digunakan untuk mengontrol aliran gas dalam pipa Trans-Siberia, yang memicu ledakan besar. Thomas C. Reed, mantan sekretaris Angkatan Udara di pemerintahan Reagan, mengklaim sebanyak itu dalam buku "At the Abyss."
[ Dunia Internet of Things adalah persimpangan industri dan inovasi IoT. Pesan . Anda kartu konferensi dan hemat $350, dapatkan kartu pameran gratis atau lihat Speaker keamanan IoT di acara tersebut.]
Tetapi serangan terhadap sistem industri yang terhubung sudah umum sekarang. Sejumlah vendor keamanan siber, dari IBM Managed Security Services hingga Kaspersky Lab, telah melacak peningkatan serangan keamanan ICS dalam beberapa tahun terakhir. Baru pada bulan Maret, Norsk Hydro, salah satu produsen aluminium terbesar di dunia, berjuang dengan produksi yang disebabkan oleh dunia maya dalam operasi di Eropa dan Amerika Serikat.
Untuk mengatasi masalah tersebut, raksasa industri Siemens dan TÜV SÜD, perusahaan pengujian, inspeksi, dan sertifikasi internasional, bergabung dalam apa yang mereka sebut “pendekatan baru untuk keselamatan dan keamanan digital.” “Serangan terhadap lingkungan industri meningkat dengan kecepatan yang eksponensial,” kata Leo Simonovich, wakil presiden dan kepala global untuk keamanan siber dan digital industri di Siemens. “Namun, tidak seperti di TI, di mana perhatian utamanya adalah kehilangan data, serangan siber yang menargetkan teknologi operasional dapat menyebabkan potensi penghentian atau lebih buruk lagi.” Dengan demikian, kedua perusahaan akan berkolaborasi untuk menawarkan apa yang mereka sebut sebagai “penilaian keselamatan dan keamanan digital” untuk membantu pelanggan energi, khususnya, menilai dan mengelola risiko dunia maya.
Simonovich menunjuk pada malware Triton yang berpotensi menimbulkan bencana, yang ditemukan oleh perusahaan keamanan siber Dragos di Arab Saudi pada tahun 2017. Para peneliti baru-baru ini menemukan kode tersebut di fasilitas kedua.
“Apa yang luar biasa tentang serangan [Triton], adalah kemudahan yang dilakukan penyerang dari TI ke OT ke sistem keamanan,” kata Simonovich.
Memang, ini adalah tema yang berulang di seluruh sektor di mana pelanggaran keamanan siber menimbulkan potensi risiko keamanan. Terlepas dari semua penelitian yang menunjukkan jenis serangan esoteris dan sering kali tidak masuk akal pada peristiwa keamanan siber, mudah untuk mengabaikan risiko yang ditimbulkan oleh, katakanlah, komputer Windows XP yang “berlubang-udara” atau malware yang sudah ketinggalan zaman seperti Kwampirs, sebuah trojan ditemukan pada tahun 2015, atau Conficker, pertama kali ditemukan pada tahun 2008. Sementara peretas dapat, katakanlah, memodifikasi CT scan untuk membuat sel kanker palsu, seperti yang ditunjukkan oleh para peneliti, kemungkinan besar rumah sakit akan terkena serangan jenis komoditas atau pasien alat pacu jantung akan berakhir ditargetkan oleh cyber-hitman. "Orang-orang selalu tertawa ketika saya mengatakan:'Meskipun saya menganggap diri saya seorang ahli keamanan siber, ada cara yang lebih mudah untuk menyakiti orang,' kata Stephanie Preston Domas, wakil presiden penelitian dan pengembangan di MedSec. “Semua eksploit kustom mewah yang dirancang terhadap perangkat medis ini tidak menunjukkan masalah sebenarnya. Masalah sebenarnya adalah hal-hal seperti Kwampir masih berfungsi. Hal-hal seperti Conficker masih berfungsi.”
Dan kemudian ada WannaCry, serangan ransomware 2017 yang menurut Europol belum pernah terjadi sebelumnya dalam cakupannya. Mempengaruhi sekitar 200.000 komputer, WannaCry mempengaruhi fasilitas industri dan medis. Nissan harus menghentikan produksi di sebuah fasilitas di Inggris. Renault terpaksa menghentikan produksi di beberapa lokasi. Perusahaan kereta api Jerman Deutsche Bahn menjadi korban. Sepotong malware serupa yang terkena, Notpetya, menyebabkan kerusakan senilai jutaan dolar pada raksasa pengiriman Maersk.
Tetapi sebesar dampak keamanan ICS, WannaCry juga memiliki dampak yang sangat besar pada Layanan Kesehatan Nasional Inggris, yang mengakibatkan kerusakan hampir £100 juta sementara menyebabkan pembatalan 19.000 janji temu medis.
Ada kemungkinan bahwa WannaCry, atau serangan komoditas serupa, dapat menyebabkan kematian atau cedera dengan, katakanlah, menunda operasi jantung, meskipun umumnya sulit untuk membuktikan hubungan langsung, kata Leon Lerman, CEO Cynerio.
Serangan seperti WannaCry juga menggambarkan risiko eksploitasi yang dikembangkan oleh negara-negara bangsa bocor dan tanpa disadari memberdayakan musuh untuk menyerang AS dan sekutunya. WannaCry dan NotPetya sama-sama menggunakan eksploit yang dikenal sebagai EternalBlue, yang kemungkinan dikembangkan oleh Badan Keamanan Nasional AS. The New York Times baru-baru ini melaporkan agen intelijen China menggunakan “bagian penting dari persenjataan keamanan siber [Amerika Serikat]” untuk melakukan serangan. Secara kebetulan, artikel tersebut juga melaporkan bahwa malware Stuxnet canggih yang dikembangkan NSA yang digunakan untuk menargetkan sentrifugal nuklir Iran menyebabkan kerusakan pada bisnis AS termasuk Chevron.
Domas lebih khawatir tentang malware generik atau kecerobohan sederhana yang berperan dalam serangan siber dengan konsekuensi keamanan. "Saya masih melihat terlalu banyak sensasionalisme yang terfokus pada orang jahat yang membahayakan pasien," katanya. “Saya ingin melihat lebih banyak pergeseran menuju pemahaman bahwa jika cedera pasien telah terjadi [sebagai akibat dari serangan siber], itu mungkin tidak disengaja. Ini mungkin efek samping dari hal lain yang mereka coba lakukan pada sistem.”
Para peneliti yang meneliti serangan siber pada sistem kontrol industri melihat pola yang sama, kata Simonovich. "Sebagian besar memiliki beberapa tingkat kesalahan manusia yang terkait dengan pelanggaran."
Pada catatan terkait, kode perangkat lunak yang salah pada sistem industri dan perangkat medis adalah subjek yang terkait erat dengan keselamatan dan keamanan siber. Kisah baru-baru ini mengenai Boeing 737 MAX menggarisbawahi hal ini. Menulis tentang masalah ini, pakar keamanan Bruce Schneier menulis:“Secara teknis, ini adalah keselamatan dan bukan keamanan; tidak ada penyerang. Tetapi bidang-bidang itu terkait erat. ”
Domas setuju dengan sentimen itu, mengutip, misalnya, kasus seorang pekerja rumah sakit yang menyebabkan mesin anestesi mati secara tidak normal setelah mencolokkan ponsel ke dalamnya. Sangat mudah untuk mengabaikan risiko kejadian sehari-hari seperti itu, yang tidak melibatkan penyerang siber.
Demikian pula, jenis berita utama tentang keamanan dan perangkat medis ICS yang cenderung mendapatkan liputan media paling banyak memudahkan untuk mengabaikan risiko ancaman orang dalam. Tetapi “ancaman orang dalam merupakan mayoritas [serangan di sektor industri],” kata Simonovich.
Pada akhirnya, untuk membantu mengatasi risiko di lingkungan industri dan medis yang semakin terhubung, orang-orang yang bekerja di dalamnya perlu memahami dengan jelas risiko yang dapat ditimbulkan oleh sistem terhubung tersebut, baik dieksploitasi secara sengaja atau tidak sengaja. “Saya pikir orang-orang yang paham teknologi menjadi lebih sadar, tetapi saya benar-benar tidak melihat peningkatan besar dalam pemahaman atau penghargaan bagi orang-orang yang tidak.”
Dan kemudian, topik mengukur manajemen risiko bisa sangat sulit. Salah satu model ancaman, yang merupakan bagian dari manajemen risiko. “Tetapi karena ada begitu banyak risiko dunia maya di sistem apa pun, dan Anda tidak dapat memperbaiki semuanya,” kata Domas. “Jadi itulah mengapa Anda harus memasangkannya dengan hal-hal seperti pemodelan ancaman dan mencari tahu apa yang paling perlu Anda perhatikan,” tambahnya. “Jujur, sering kali, Anda menemukan hal-hal yang muncul melalui sistem peringkat Anda dan Anda berkata:‘Anda tahu? Saya baik-baik saja dengan risiko itu,' dan Anda tidak melakukan apa pun untuk memperbaikinya, meskipun Anda tahu, ada masalah keamanan siber di sana, ”kata Domas. “Anda harus menyusun strategi. Anda tidak bisa memperbaiki semuanya.”
