Kerentanan Rantai Pasokan IoT Menimbulkan Ancaman bagi Keamanan IIoT
Sebagian besar perusahaan yang membangun produk dengan bantuan berbasis IIoT operasi cenderung mengawasi rantai pasokan yang menyediakan aliran bahan baku dan layanan yang dapat diprediksi yang memungkinkan mereka menghasilkan produk dan menjaga bisnis tetap berjalan.
Tapi yang kedua, rantai pasokan yang mendasarinya kurang diperhatikan. Dan jika keamanan rantai pasokan itu entah bagaimana terganggu, bisnis bisa terhenti.
Rantai pasokan yang diabaikan itu memberikan komponen yang membangun infrastruktur IIoT. Pembeli perangkat tersebut berada di ujung rantai pasokan yang — dari perspektif keamanan — tidak memiliki transparansi yang memadai ke dalam rantai tersebut. Faktanya, melacak asal-usul elemen internal yang menyusun perangkat IIoT yang dikirimkan akan menjadi tantangan tersendiri.
Akibatnya, tidak jarang komponen yang terikat IIoT dikirimkan dengan kerentanan keamanan yang dapat dieksploitasi. Kompleksitas dan jangkauan global rantai pasokan IIoT hanya menambah masalah — satu perangkat dapat dibuat dari suku cadang yang dipasok oleh lusinan produsen komponen.
“Puluhan komponen yang dibuat dari perusahaan di seluruh dunia terpental melalui berbagai lapisan pemasok dan integrator hingga mereka ditempatkan di papan, diuji, dan dikemas oleh OEM,” sebagaimana tercantum dalam “Penilaian Rantai Pasokan Negara Terbatas, ” laporan tahun 2019 dari Finite State, sebuah perusahaan keamanan siber IoT.
Risiko terhadap Infrastruktur IIoT Nyata dan Banyak
Sebagian besar operator jaringan mengenali risiko rantai pasokan IIoT, tetapi kerentanan spesifik sulit untuk diisolasi. Penerapan ini seringkali menjangkau jauh, melampaui batas pabrik hingga pengirim, pedagang, dan mitra dagang lainnya. Dan saat jaringan meluas dan mencakup titik integrasi tambahan, risiko bahwa sepotong kode berbahaya yang tidak pasti akan direplikasi hanya meningkat. Memang kode itu sendiri mungkin tidak berbahaya tetapi dapat menghadirkan port terbuka yang dapat membahayakan sistem.
“Hanya melihat secara langsung berapa banyak kerentanan yang cenderung ada di sistem tertanam—di situlah pemilik aset tidak menyadari bahwa kerentanan itu ada di sistem mereka,” kata Matt Wyckhouse, CEO Finite State.
Setelah lingkungan IIoT dilanggar, aktor jahat dapat menggunakannya sebagai jalan masuk untuk menggali lebih jauh ke dalam sistem perusahaan. Sistem kontrol industri (ICS) dan sistem produksi lainnya mungkin berisiko, tetapi jika penyusup dapat menghindari penghalang jalan keamanan dan menggali lebih dalam, aplikasi utama perusahaan dan data terkait mungkin juga terekspos. Ini semua disebabkan oleh firmware yang dipertanyakan yang masuk ke rantai pasokan yang menghasilkan sensor, aktuator, dan IIoT operasional lainnya.
“Ketika kerentanan dilaporkan, perlu beberapa saat bagi produsen untuk merespons kerentanan itu, mendapatkan tambalan di sana dan kemudian pemilik aset menjalankan pembaruan ke perangkat itu dan menjalankan versi firmware terbaru untuk itu,” jelas Wyckhouse. , yang menjelaskan bagaimana kerentanan yang diketahui dapat bertahan.
Dalam “The State of Industrial Cybersecurity”, laporan survei Juli 2019 yang dilakukan oleh ARC Advisory Group untuk Kaspersky, penyedia keamanan, lebih dari seperempat (26%) responden mengatakan mereka mempertimbangkan “ancaman dari pihak ketiga, seperti pasokan rantai atau mitra” menjadi perhatian utama, dan 44% lainnya mengatakan itu adalah masalah kecil. Menariknya, semua masalah keamanan utama lainnya — seperti ransomware (70%) dan serangan yang ditargetkan (68%) — dapat diluncurkan terhadap perusahaan melalui pelanggaran rantai pasokan.
[ Untuk informasi lebih lanjut tentang keamanan IoT, daftar ke . kami KTT Keamanan IoT Desember ini.]
Dalam survei yang sama, 28% responden mencatat bahwa “sangat mungkin” atau “sangat mungkin” bahwa ICS atau jaringan kontrol industri perusahaan mereka akan menjadi sasaran.
“Global Connected Industries Cybersecurity Survey,” jajak pendapat 2019 lainnya yang dilakukan oleh Irdeto, sebuah perusahaan keamanan yang berbasis di Belanda, menekankan bahwa banyak perusahaan telah dibakar oleh serangan IoT invasif:“Studi ini secara mengkhawatirkan menemukan bahwa hanya 17% perangkat IoT yang digunakan atau yang diproduksi oleh perusahaan besar tidak mengalami serangan siber dalam 12 bulan terakhir.”
Bagaimana Rantai Pasokan IIoT Dikompromikan
Biasanya kekhawatiran terbesar tentang rantai pasokan yang memberi makan lini produksi perusahaan adalah bahwa aktivitas produksi dapat terganggu, menyebabkan perlambatan atau penghentian produksi. Untuk rantai pasokan IIoT, ancamannya jauh lebih terselubung dan mungkin membutuhkan waktu berminggu-minggu atau berbulan-bulan sebelum efeknya terlihat.
Biasanya, ketika korupsi rantai pasokan IIoT terjadi, itu lebih merupakan hasil dari efek domino, yang menutupi sumber kerentanan.
“Para penyerang memiliki beberapa korban dalam pikiran, tetapi alih-alih langsung ke korban, mereka pergi ke pemasok IoT industri tingkat-2, mengkompromikan situs web mereka dan mengganti firmware dan perangkat lunak yang sah dengan versi Trojan,” jelas Eric Byres, CEO Adolus, seorang perusahaan yang menyediakan layanan pemeriksaan firmware.
Tanpa disadari, admin jaringan IIoT yang melakukan pemeliharaan jaringan yang sesuai, tanpa disadari dapat menyebarkan kode yang tidak bersahabat. “Mereka pergi dan segera mengunduhnya dan membawanya ke pabrik mereka,” kata Byres, “dan tiba-tiba ada malware yang sekarang berkuasa di dalam pabrik mereka, di dalam firewall, di dalam segalanya.”
Dengan kaki di pintu, penyusup dapat membuat jalan mereka dari jaringan industri dan kemudian menembus jaringan data perusahaan. “Orang jahat menyerang satu situs dan mereka mendapatkan efek pengganda yang kredibel ini,” lanjut Byres. “Ini pengembalian investasi yang sangat bagus untuk penyerang.”
Sebagian besar lingkungan IIoT mencakup ratusan atau ribuan perangkat lama — sensor dan komponen lain yang mungkin telah ada selama satu dekade (atau lebih lama). Para ahli setuju bahwa semakin tua roda gigi, semakin besar kemungkinannya menimbulkan risiko keamanan karena tertinggal dalam dukungan dan pembaruan.
Misalnya, laporan Finite State menggambarkan komponen buatan Huawei yang menyertakan kode menggunakan versi OpenSSL yang dirilis pada tahun 2003 — dan dikenal (dan didokumentasikan) sebagai sangat rentan.
Beberapa kelemahan keamanan rantai pasokan IIoT mungkin telah dimasukkan dengan sengaja — baik secara tidak sengaja maupun dengan motif jahat. Contohnya adalah pintu belakang. Sebuah pintu belakang dalam sebuah perangkat lunak memungkinkan akses ke bagian inti dari firmware dan, dengan demikian, komponen itu sendiri tanpa harus melewati proses otentikasi biasa.
Pintu belakang yang bermaksud baik sering dibiarkan terbuka oleh produsen komponen untuk menyediakan titik masuk bagi teknisi untuk mendukung dan memantau perangkat. Sering disebut port debug, pintu belakang ini juga memungkinkan pelaku jahat mengakses dengan mudah. Demikian pula, antarmuka pemrograman aplikasi (atau API) yang dimaksudkan untuk memungkinkan integrasi dengan sistem kontrol industri mungkin secara tidak sengaja menawarkan cara lain untuk mengkompromikan operasi perangkat. Pintu belakang yang lebih jahat sering dibiarkan terbuka oleh negara-negara pada produk ekspor mereka karena mereka berharap untuk menggunakannya nanti untuk menggesek kekayaan intelektual (IP) atau data lainnya.
Secara umum, rantai pasokan IIoT lebih Wild West daripada terkontrol dengan baik.
“IoT masih merupakan teknologi yang sangat tidak diatur dalam hal standar keamanan,” catat “IoT Supply Chain Security:Overview, Challenges, and the Road Ahead,” sebuah makalah penelitian yang diterbitkan oleh Muhammad Junaid Farooq dan Quanyan Zhu dari Tandon School Universitas New York dari Teknik. “Tidak ada kontrol atas rantai pasokan hulu dari sudut pandang pemilik perangkat. Tidak semua pemasok siap untuk secara jelas mengartikulasikan praktik keamanan siber mereka dan mengungkapkan informasi rantai pasokan mereka.”
Target Pelaku Jahat dan Apa yang Mereka Inginkan
Serangan rantai pasokan IIoT dapat mengakibatkan salah satu situasi yang dikompromikan yang kami lihat disebabkan oleh jenis pelanggaran jaringan lainnya. Namun, mengingat sifat dan fungsinya, perangkat IIoT yang “bocor” dapat mengakibatkan berbagai aktivitas dan gangguan berbahaya.
Ransomware masih menonjol sebagai motivasi utama untuk sebuah serangan. Itu juga berlaku untuk banyak infiltrasi rantai pasokan IIoT karena pelaku jahat dapat menahan atau memengaruhi produksi secara negatif hingga pembayaran tebusan dilakukan.
Gangguan produksi dapat mendatangkan malapetaka yang lebih besar dalam lingkungan industri. Dengan mengubah aliran data dari sensor dan perangkat IIoT lainnya, pengaturan mesin dapat dimanipulasi yang, pada gilirannya, dapat menyebabkan masalah yang tidak terlihat dalam proses manufaktur yang dapat mengakibatkan produk yang salah atau mesin lantai pabrik seperti perangkat robot untuk beroperasi di tempat yang tidak aman. cara.
Sebuah laporan Maret 2020 Praktik Terbaik Keamanan OT mencatat bahwa pelanggaran sistem kontrol industri dapat memiliki efek mendalam:“Beberapa di antaranya termasuk risiko signifikan terhadap kesehatan dan keselamatan nyawa manusia, kerusakan serius pada lingkungan, dan masalah keuangan seperti kerugian produksi, dan dampak negatif terhadap perekonomian suatu negara.”
Vertikal industri tertentu telah menjadi target utama juga.
“Jika Anda menginginkan lingkungan yang kaya target dengan banyak target menarik, pergi ke energi, pergi ke jaringan listrik, pergi ke minyak dan gas,” kata Byres dari Adolus. “Dan sekarang lingkungan kaya target lain yang kami lihat adalah medis karena pandemi.”
Wyckhouse Finite State juga menunjukkan perawatan kesehatan sebagai target utama. “Kami benar-benar melihat peningkatan serangan merusak yang merusak dan mengancam jiwa di industri perawatan kesehatan sekarang selama beberapa minggu terakhir, dengan serangan ransomware menghancurkan rumah sakit di tengah pandemi.”
Gaji besar tidak selalu menjadi tujuan penyerang—terkadang informasi, seperti dalam kekayaan intelektual kritis (IP), adalah tujuannya.
Menerobos celah-celah di lingkungan IIoT untuk sampai ke jaringan data perusahaan juga merupakan cara yang umum. “Permukaan serangan tumbuh dan menjadi lebih rumit setiap hari,” kata Wyckhouse. “Ada beberapa contoh di mana kita harus memperhatikan aktor yang menggunakan rantai pasokan sebagai mekanisme untuk akses awal.”
Cara Mengatasi Kelemahan Rantai Pasokan IIoT
Bagi sebagian besar perusahaan, menciptakan lingkungan IIoT yang lebih aman akan menjadi tugas yang signifikan, hanya karena banyaknya perangkat di jaringan dan sejarahnya yang rumit. Anda akan selangkah lebih maju jika sudah memiliki inventaris perangkat tersebut secara mendetail dan komprehensif — dan jika belum, itulah tempat untuk memulai.
Setelah Anda menetapkan letak lahan, penilaian risiko rantai pasokan adalah langkah berikutnya. Identifikasi risiko "makro", seperti situasi tebusan, korupsi data, atau pencurian IP. Tetapi penilaian risiko juga perlu mencapai tingkat yang lebih terperinci, di mana setiap perangkat dievaluasi untuk potensi kerentanan dan bagaimana kerentanan itu dapat digabungkan menjadi intrusi jaringan yang lebih luas.
Melihat lebih dekat pada jaringan perusahaan dan bagaimana mereka berintegrasi juga harus diperhatikan. Dimungkinkan, misalnya, untuk mengisolasi IIoT dari internet dengan menggunakan celah udara untuk memisahkan lingkungan teknologi operasi dari jaringan TI.
Pemasok perangkat IIoT juga harus dinilai, sehingga tingkat upaya keamanan mereka dipahami. Waktu terbaik untuk ini adalah saat perusahaan Anda mengevaluasi produk untuk dibeli karena “titik waktu dalam siklus hidup perangkat di mana operator memiliki pengaruh paling besar terhadap produsen adalah selama pembelian perangkat itu”, menurut Wyckhouse.
Jika pembelian perangkat IIoT banyak dan sering, sebaiknya siapkan proses penilaian formal untuk memastikan bahwa semua vendor dan produk diperiksa dengan tepat.
"Jangan hanya mengambil secarik kertas kecil yang mengatakan, 'Kami menganggap serius keamanan,'" kata Byres. “Dapatkan laporan yang tepat dari mereka atau pergi ke pihak ketiga dan dapatkan analisis yang tepat, dan cari tahu apakah pemasok Anda mengerjakan pekerjaan rumah mereka tentang keamanan.”
Anda juga dapat mengetuk sumber daya seperti National Institute of Standards and Technology (NIST) National Vulnerability Database (NVD) untuk memeriksa daftar Common Vulnerabilities and Exposures (CVEs).
Kelas layanan dan aplikasi baru muncul, khususnya untuk mengatasi situasi rantai pasokan IIoT. Adolus dan Finite State adalah contoh perusahaan dengan layanan yang membantu pengguna menentukan keamanan peralatan yang telah mereka pasang atau pertimbangkan.
Adolus dimulai sebagai proyek Departemen Keamanan Dalam Negeri AS sebelum berkembang menjadi layanan yang tersedia secara komersial. Itu dibangun di atas database yang mengumpulkan informasi yang dipublikasikan dan anekdot terkait dengan ribuan perangkat IoT, termasuk kompilasi dari setiap kerentanan yang diketahui. Pengguna akhir atau produsen perangkat dapat mengetuk database untuk melacak garis keturunan suatu komponen dan menemukan detail tentang suku cadang dan pemasok penyusunnya.
“Teknologi kami adalah tentang membangun tagihan perangkat lunak ini,” kata CEO Adolus Eric Byres. “Jadi, kami dapat memiliki seluruh sumber tentang tidak hanya produk dasar yang baru saja Anda beli dan pasang, tetapi juga semua komponen yang menyertainya.”
Finite State juga mengambil pendekatan baru untuk masalah ini. Teknologi perusahaan dapat secara efektif mengurai firmware untuk menentukan apakah itu menimbulkan risiko pada infrastruktur IIoT. Ini sangat penting karena, seperti yang ditunjukkan oleh CEO Finite State Matt Wyckhouse, “ketika pembaruan firmware diterapkan, firmware itu menggantikan semua perangkat lunak pada perangkat itu. Ini sepenuhnya menggantikannya dan, dengan demikian, dapat sepenuhnya mengubah profil risiko perangkat.”
