LEIF MARTIN KIRKNES

leif.kirknes@lomedia.no

Nettselskapene er ikke godt nok forberedte på å møte tradisjonelle IT-sikkerhetstrusler, kan man lese i rapportens kortversjon.

Studien er utført av blant annet SINTEF-forsker Marie B. Line, som har vært omtalt i fagbladet Nettverk tidligere (nr. 3 2014 - arkivlenke). Hun har over flere år opparbeidet seg ekspertise på det som skjer når strømnett møter internett og er med sin pågående doktorgrad om feltet blant Norges største eksperter på området.

Funnet er særlig interessant sett i lys av at Nasjonal sikkerhetsmyndighet nå har gått ut og slått alarm om målrettede angrep mot norsk olje- og energisektor, og at Statnett har sagt de ble forsøkt angrepet.

Les også: Dataangrep mot Statnett

– Målrettede angrep er en økende trend, og kraftindustrien er attraktivt mål. Spionasje eller fysiske ødeleggelser kan typisk være hensikten med slike angrep, sier hun, og advarer mot potensielt store konsekvenser:

– Store områder, inkludert kritisk infrastruktur, kan rammes av strømbrudd.

I studien har hun, sammen med Ali Zand, Gianluca Stringhini og Richard A. Kemmerer studert og kategorisert velkjente, målrettede angrep. Deretter har de utført en intervjustudie blant norske nettselskap for å vurdere hvor godt forberedt de er til å oppdage og respondere på slike angrep.

– Våre funn tyder på at kraftbransjen er godt forberedt på tradisjonelle, fysiske angrep, men IT-angrep, og spesielt avanserte målrettede angrep, har ikke vært høyt nok oppe på agendaen, forteller Line.

Problemet ligger særlig i at nettselskapene mangler verktøy for å overvåke og oppdage angrep, samt systematisk oppfølging av logger og varsler.

– Ved å forstå kjente angrep, håper vi å hjelpe bransjen med å forbedre deres evne til å oppdage og respondere på angrep, forteller Line.

Er du inne, er du inne

«Målrettede angrep er gjerne vanskelig å oppdage. De utføres over lang tid, hvilket gjør dem vanskelig å identifisere av vanlige deteksjonssystemer. Dessuten bruker angripere gjerne ulike teknikker for sosial manipulering for å kartlegge organisasjonen som skal angripes, samt dens IT-systemer. Slike teknikker lar seg ikke oppdage av deteksjonssystemer. Videre er ikke nødvendigvis de aller nyeste verktøyene i bruk blant organisasjoner,» heter det i rapportens kortversjon.

Det konstateres at målrettede angrep gjerne er inkludert i risikovurderinger, men selv om konsekvensene er alvorlige er sannsynligheten også lav. Derfor er det vanskelig å vurdere i hvor stor grad sikkerhetsmekanismer som kan hindre slike angrep skal prioriteres. Angrep/hendelser med høyere sannsynlighet vil gjerne prioriteres høyere på lista.

Nettselskapene har god innsikt i hensikten med egne systemer og avhengigheten mellom ulike komponenter, viser studien. De har også god forståelse for å sikre kontrollsystemene mot generelle informasjonstrusler

«Nettselskapene har imidlertid ikke gode verktøy for å oppdage og overvåke hendelser på innsiden av kontrollsystemene sine,» heter det i rapporten. «Deteksjonssystemer er i bruk i begrenset omfang, og ingen har systemer for å korrelere alarmer og se sammenhenger. De har brannmurer som kan være i stand til å oppdage mistenkelig trafikk til og fra nettverket, men dersom angriper greier å komme seg forbi denne, kan han operere på innsiden uten å bli overvåket.»

Altså kort fortalt: med en gang en angriper er inne i systemet, er sikkerhets-guarden nede.

Har noen råd

«Det er bred felles enighet om at kontrollrommet kan kobles av nett dersom de opplever angrep. Dette krever imidlertid at angrepet oppdages,» påpekes det i rapportens kortversjon.

Av de seks store, norske nettselskapene som har blitt spurt, er det kun én som har gjennomført beredskapsøvelse med utgangspunkt i en IT-sikkerhetshendelse. Sannsynligheten for fysiske angrep vurderes som høyere.

Tre av nettselskapene bruker det som kalles IPS, Intrusion Prevention Systems. Men disse er kjent for å generere et høyt antall alarmer, og det går frem i studien at det ikke finnes ressurser til jevnlig oppfølging. Dessuten er IPS best på å oppdage angrep som er kjent fra før, mens nye angrep, for eksempel de som blir skreddersydd og målrettet, ikke vil kunne oppdages uten videre.

Line og hennes medforskere har på bakgrunn av studien og dens funn følgende råd til nettselskapene:

• Gjennomfør beredskapsøvelser basert på IT-sikkerhetshendelser jevnlig. Det er et paradoks at alle nettselskapene er enige om hva som er verste mulige hendelse, men at ingen likevel har øvd på dette scenarioet.

• Vær i stand til å oppdage og stå imot angrep basert på sosial manipulering. Dette krever bevisste ansatte på alle nivå i organisasjonen. Det finnes ingen 1-2-3-løsning på hvordan man skal få til dette, det krever kontinuerlig innsats og bevisstgjøring. Samtidig er sosial manipulering svært effektivt for angripere som ønsker informasjon.

• Ha et fysisk skille mellom kontrollsystemene og andre IT-systemer i den grad det er mulig. Vi er fullstendig klar over at utviklingen går den andre veien av hensyn til effektivitet og funksjonalitet. Vi vil likevel påpeke at det ikke er anbefalt fra et sikkerhetsståsted.

• Ta i bruk systemer for avviksdeteksjon. Dette er svært effektivt for f.eks. kontrollsystemer som i stor grad inneholder forutsigbare hendelser.

• Bruk myndighetspålagte tiltak for å sikre forbedringer. Tiltak som er pålagt fra myndighetene, blir i stor grad etterlevd. Myndighetene har derfor et stort ansvar i å stille riktige og tilstrekkelige krav.