Sistem Kontrol Industri Hadapi Risiko Siber Tinggi Akibat Ketegangan AS–Iran
Lonjakan terbaru dalam ketegangan AS–Iran telah meningkatkan lanskap ancaman bagi sistem kontrol industri (ICS). Organisasi yang mengoperasikan infrastruktur industri terhubung kini harus mengadopsi postur keamanan yang lebih waspada.
Eyal Elyashiv, CEO dan co-founder Cynamics, memperingatkan bahwa dampak siber dari pembunuhan Jenderal Iran Qasem Soleimani dapat berdampak signifikan.
Analis industri mencatat bahwa konflik AS–Iran yang meningkat meningkatkan risiko siber secara keseluruhan. Bill Malik, VP of infrastructure strategies di Trend Micro, menyatakan, "Kami tidak memiliki pengetahuan internal tentang rencana serangan tertentu, tetapi logis bahwa ketegangan politik yang meningkat dapat memicu lebih banyak serangan siber."
Setelah pembunuhan, banyak ahli keamanan siber dan pejabat pemerintah AS mengeluarkan peringatan tentang risiko yang meningkat dari serangan yang terkait dengan Iran.
Andrea Little Limbago, Ph.D., chief social scientist di Virtru, memperingatkan bahwa kemungkinan serangan siber kecil yang mengalihkan perhatian lebih tinggi daripada cyberperang total. Dia menambahkan, "Aktivitas siber Iran—dari serangan destruktif hingga desinformasi—telah luas selama beberapa waktu. Itu tidak baru dan tidak terkait dengan peristiwa minggu ini."
Selama sepuluh tahun terakhir, kemampuan siber Iran telah berkembang secara dramatis. Analis telah mengaitkan serangkaian serangan—termasuk serangan penolakan layanan pada bank AS dan malware kustom yang menargetkan Saudi Aramco—pada pelaku Iran. Pada tahun 2015, laporan menduga hacker Iran telah menembus jaringan listrik AS.
Pejabat AS harus tetap sangat khawatir tentang jangkauan siber Iran, menekankan Elyashiv.
Peringatan Departemen Keamanan Rumah Tangga yang dikeluarkan pada 4 Januari memperingatkan bahwa Iran setidaknya dapat meluncurkan serangan dengan efek gangguan sementara terhadap infrastruktur kritis AS.
Demikian pula, Badan Keamanan Siber dan Infrastruktur AS menyoroti risiko yang meningkat dari spionase siber dan serangan terhadap keuangan, energi, telekomunikasi, dan sistem kontrol industri.
Pengadilan keadilan AS tahun 2016 menuduh tujuh kontraktor Iran yang terhubung dengan Korps Pengawal Revolusi Islam dengan serangan siber terhadap beberapa bank dan bendungan di New York. DHS juga memperingatkan pelaku Iran "menelaah dan merencanakan terhadap target infrastruktur dan serangan siber yang diaktifkan terhadap berbagai target di AS."
Di sektor industri, kelompok hacker yang dikenal sebagai Advanced Persistent Threat 33, yang terkait dengan Iran, telah menargetkan organisasi pertahanan, transportasi, dan energi, menurut Cyberscoop.
Limbago percaya bahwa, mengingat tingkat ketegangan saat ini, Iran kemungkinan tidak akan memprioritaskan eksploitasi kerentanan ICS eksplisit pada jangka pendek. Dia mengatakan bahwa "Iran memahami bahwa serangan destruktif terhadap infrastruktur kritis kemungkinan akan memicu eskalasi dan balasan."
Mantan eksekutif direktorat Counterterrorism Center CIA Carol Rollie Flynn memprediksi bahwa pelaku Iran akan berfokus pada serangan siber kecil untuk menghindari memicu balasan.
Limbago juga menyarankan bahwa lawan Iran mungkin menargetkan organisasi swasta tanpa hubungan ICS yang jelas. Precedens historis, seperti serangan Sands Casino tahun 2015 yang diduga terkait dengan Iran, mendukung pendekatan ini.
Desinformasi tetap menjadi komponen inti dari strategi siber Iran. Limbago menggambarkan operasi ini sebagai "sangat produktif dan global," yang bertujuan untuk memperkuat dukungan domestik dan menyebarkan perasaan anti-Amerika di seluruh dunia.
Mengelola Risiko Siber
Terlepas dari lanskap geopolitik yang berkembang, operator industri harus melakukan audit pada perangkat terhubung mereka. Malik merekomendasikan untuk meninjau inventaris teknologi, menilai kerentanan, dan menerapkan kontrol untuk mengurangi permukaan serang.
Karena uptime adalah prioritas utama, banyak lingkungan industri terus menggunakan perangkat keras dan perangkat lunak usang yang tidak di-patch. Elyashiv memperingatkan bahwa "organisasi harus melihat di luar sistem kuno yang saat ini melindungi infrastruktur kritis, karena sejarah terbaru dengan jelas menunjukkan bahwa mereka dapat dengan mudah ditembus."
David Goldstein, president dan CEO AssetLink Global LLC, menekankan bahwa mengamankan IIoT membutuhkan lebih dari sekadar perangkat keras dan perangkat lunak. "Jawaban untuk keamanan IIoT tidak sepenuhnya ada pada perangkat keras dan perangkat lunak," katanya.
Serangan Stuxnet terhadap fasilitas pengayaan nuklir Natanz Iran contohkan pentingnya kontrol akses fisik. Dalam operasi itu, agen ganda memasang malware pada jaringan pusat yang terisolasi (air-gapped), yang pada akhirnya merusak sekitar 1.000 sentrifug.
Goldstein menyoroti bahwa kepercayaan dan kontrol akses adalah kunci. Dia bertanya, "Siapa yang Anda kerjakan, siapa yang Anda percayai, siapa yang memiliki kredensial untuk masuk ke sistem Anda, siapa yang memiliki akses fisik? Kepercayaan antara aktor dan mitra akan semakin penting seiring dengan IoT menyeluruh segala sesuatu."
Saat teknologi IoT menyebar dalam konteks industri, kekurangan ahli siber yang familiar dengan sistem kontrol industri terus berlanjut. Goldstein mencatat bahwa sebagian besar analis menerapkan teknik IT generik ke industrial IoT, mengabaikan protokol proprietary dan tantangan pembaruan, yang merupakan kerentanan yang signifikan.
Organisasi seperti Departemen Pertahanan AS dan MITRE Corp. menyelamatkan kesenjangan ini dengan kerangka kerja seperti MITRE ATT&CK for ICs. Malik menjelaskan bahwa kerangka kerja ini memungkinkan produsen, pemilik, dan operator untuk membahas skenario serangan dan melaporkan kerentanan secara konsisten di seluruh sektor.
Malik menekankan bahwa keamanan siber adalah perjalanan, bukan tujuan. Mengingat sifat jangka pendek dari ketegangan saat ini, katanya, "Tidak ada banyak yang dapat dilakukan produsen IC untuk memperkuat postur keamanan produksi mereka dengan cepat."
Dia juga mengidentifikasi kerentanan tertentu: tautan pemeliharaan lapangan yang digunakan untuk diagnostik dapat menjadi vektor serangan. Malik mendorong vendor untuk mengamankan data pelanggan, mengenkripsi lalu lintas jika memungkinkan, dan memastikan pembaruan perangkat lunak bebas dari malware.
