Sistem Kontrol Industri Berisiko Akibat Ketegangan AS-Iran

Di tengah ketegangan AS–Iran yang membesar, organisasi yang mengoperasikan infrastruktur industri terhubung harus memperkuat pertahanan siber mereka.

"Dampak siber pembunuhan Jenderal Qasem Soleimani sangat dalam," memperingatkan Eyal Elyashiv, CEO dan co-founder perusahaan keamanan jaringan Cynamics.

Analis industri mencatat bahwa gejolak AS–Iran terbaru memperluas risiko siber secara keseluruhan. "Kami tidak memiliki intelijen internal tentang serangan tertentu, tetapi ketegangan politik yang meningkat kemungkinan akan memicu lebih banyak serangan siber," kata Bill Malik, vice-president strategi infrastruktur di Trend Micro.

Setelah kematian Soleimani, spesialis keamanan siber dan pejabat AS sama-sama telah memperingatkan tentang ancaman yang ditimbulkan oleh lawan yang terkait dengan Iran terhadap sistem kontrol industri.

Beberapa ahli berpendapat bahwa penyerang mungkin meluncurkan insiden siber kecil yang mengalihkan perhatian alih-alih cyberperang total. "Mengasumsikan konflik siber total terlalu dini," kata Andrea Little Limbago, Ph.D., chief social scientist di Virtru. "Aktivitas siber Iran, yang bervariasi dari serangan destruktif hingga desinformasi, telah meluas selama bertahun-tahun dan tidak secara unik terkait dengan peristiwa terbaru."

Selama sepuluh tahun terakhir, kemampuan siber Iran telah berkembang secara dramatis. Peneliti keamanan mengaitkan serangkaian serangan—termasuk serangan DDoS pada bank AS dan malware kustom yang menargetkan Saudi Aramco—pada pelaku Iran. Pada tahun 2015, laporan juga menduga hacker Iran telah menembus jaringan listrik AS.

"Pejabat AS harus sangat khawatir tentang jangkauan dan kemampuan siber Iran," menekankan Elyashiv.

Meski ada laporan tentang pendinginan dalam hubungan bilateral, peringatan DHS yang dikeluarkan pada 4 Januari memperingatkan bahwa Iran dapat meluncurkan "serangan dengan efek gangguan sementara terhadap infrastruktur kritis AS."

Badans keamanan siber dan infrastruktur AS (CISA) juga meluncurkan risiko yang meningkat dari serangan dan spionase siber terhadap sektor strategis—keuangan, energi, telekomunikasi—dan mencatat fokus yang berkembang pada sistem kontrol industri dan teknologi operasional.

Pelaku Iran memiliki jejak dalam menargetkan infrastruktur AS. Pada tahun 2016, Departemen Keadilan AS membuka tuduhan terhadap tujuh kontraktor yang terkait dengan Korps Pengawal Revolusi Islam untuk serangan siber terhadap beberapa bank dan bendungan di New York. DHS juga memperingatkan bahwa pelaku yang terkait dengan Iran "menelaah dan merencanakan terhadap target infrastruktur, mengeksekusi serangan siber yang diaktifkan terhadap berbagai situs AS."

Target industri tidak terkecuali. Cyberscoop melaporkan bahwa kolektor hacker terkait Iran, Advanced Persistent Threat 33, telah berulang kali menargetkan sektor pertahanan, transportasi, dan energi.

Limbago memperingatkan bahwa terlalu dini untuk mengharapkan Iran berfokus pada eksploitasi kerentanan sistem kontrol industri secepat ini. "Jika ketegangan lebih lanjut meningkat, strategi mungkin berubah, tetapi saat ini aktivitas siber Iran tetap di zona abu-abu—di bawah perang nyata," jelasinya. "Iran tahu bahwa serangan destruktif terhadap infrastruktur kritis akan memicu balasan."

Mantan eksekutif Center Counterterrorism CIA Carol Rollie Flynn memprediksi Iran akan meluncurkan serangan siber kecil untuk menghindari memicu balasan AS. "Mereka ingin berada di bawah radar," katanya.

Limbago juga memperingatkan bahwa Iran mungkin menyerang entitas swasta tanpa tautan industri yang jelas. Dia menyebut insiden tahun 2015 ketika mantan direktur intelijen nasional James Clapper menyerang atas serangan pada Sands Casino ke Iran, balasan atas komentar CEO Sheldon Adelson. "Iran biasanya menargetkan perusahaan swasta yang terhubung dengan cabang eksekutif untuk menyebabkan kerugian finansial tanpa memicu respons AS yang lebih luas," catatan Limbago.

Kampanye desinformasi membentuk inti dari strategi siber Iran. Limbago menggambarkan mereka sebagai "sangat produktif dan global." "Operasi ini akan bertahan baik secara domestik, untuk memperkuat sentimen pro-pemerintah, maupun secara internasional, untuk membakar narasi anti-Amerika," tambahnya.

Terlepas dari bagaimana ketegangan saat ini berkembang, momen ini memberi operator infrastruktur industri kesempatan untuk melakukan audit pada perangkat terhubung mereka. "Kami mendorong pemilik dan operator sistem kontrol industri untuk melakukan inventaris teknologi mereka, mengevaluasi kerentanan, dan menerapkan kontrol yang menurunkan permukaan serang mereka," nasihat Malik.

Entitas industri memprioritaskan uptime, yang sering menghasilkan ketergantungan pada perangkat keras dan perangkat lunak legacy yang tidak di-patch. "Anda harus melihat di luar sistem kuno ini, karena sejarah menunjukkan bahwa mereka dengan mudah ditembus," peringatan Elyashiv.

Higiene siber tetap penting, tetapi David Goldstein, president dan CEO AssetLink Global LLC, menekankan kebutuhan akan keamanan fisik yang kuat. "Keamanan IIoT tidak hanya tentang perangkat keras dan perangkat lunak," katanya.

Akses fisik terbukti penting dalam operasi Stuxnet tahun 2010 terhadap fasilitas pengayaan nuklir Natanz Iran. Agen ganda yang terkait dengan intelijen AS dan Israel reportedly memasang malware ke jaringan yang terisolasi (air-gapped), yang pada akhirnya menonaktifkan sekitar 1.000 sentrifug.

Goldstein mencatat bahwa Stuxnet menekankan kebutuhan akan kontrol akses yang ketat dan kepercayaan. "Siapa yang Anda kerjasama, kepercayaan yang Anda berikan pada mitra, dan siapa yang memiliki akses fisik adalah faktor kritis," menekankan dia.

Dengan proliferasi IoT di industri, muncul kesenjangan bakat: sedikit ahli siber yang mengkhususkan diri pada sistem kontrol industri. "Banyak analis menerapkan taktik IT konvensional ke industrial IoT tanpa memperhitungkan protokol proprietary dan tantangan pembaruan, yang menciptakan kerentanan yang signifikan," peringatan Goldstein.

Biro federal—termasuk Departemen Pertahanan—dan MITRE Corporation sedang mengatasi kesenjangan ini dengan kerangka kontrol industri seperti MITRE ATT&CK for IC. "Kerangka kerja ini memungkinkan produsen, pemilik, dan operator untuk mengartikulasikan skenario serangan dan melaporkan kerentanan secara konsisten di seluruh sektor," jelaskan Malik. "Semua organisasi harus mengadopsi untuk menilai postur keamanan IC mereka."

Malik menyoroti bahwa keamanan siber adalah perjalanan berkelanjutan, bukan tujuan. "Jika ketegangan yang meningkat bersifat sementara, produsen memiliki cakupan terbatas untuk segera memperkuat keamanan produksi mereka," katanya.

Dia menunjukkan kerentanan kunci: tautan pemeliharaan lapangan. "Saat vendor mengakses peralatan mereka untuk pemeliharaan atau diagnosa kerusakan, koneksi tersebut menjadi vektor serangan potensial," peringatan Malik.

Malik mendorong vendor untuk melindungi data pelanggan dengan mengenkripsi lalu lintas di mana mungkin dan mengamankan pembaruan perangkat lunak. "Ini akan merupakan bencana jika masalah kecil pada satu pelanggan memaksa produsen untuk menerapkan patch yang tidak sengaja memperkenalkan malware di seluruh portofolio mereka," peringatan dia.