Industrielle Leitsysteme: Erhöhtes Cyber-Risiko durch US-Iran-Spannungen

Eyal Elyashiv, CEO und Co-Founder von Cynamics, warnte, dass die Cyber-Auswirkungen der Tötung des iranischen Generals Qasem Soleimani signifikant sein könnten.

Branchenanalysten merken an, dass der eskalierte US-Iran-Konflikt das gesamte Cyber-Risiko erhöht. Bill Malik, VP Infrastructure Strategies bei Trend Micro, erklärte: „Wir haben keine Insider-Kenntnisse über konkrete Angriffspläne, aber es ist logisch, dass steigende politische Spannungen mehr Cyberangriffe anregen könnten.“

Nach der Tötung warnten zahlreiche Cybersicherheitsexperten und US-Regierungsbeamte vor erhöhtem Risiko durch iran-affilierte Adversarien.

Andrea Little Limbago, Ph.D., Chief Social Scientist bei Virtru, warnte, dass die Wahrscheinlichkeit kleinerer, ablenkungsorientierter Cyberangriffe höher sei als ein ausgewachsener Cyberkrieg. Sie fügte hinzu: „Irans Cyber-Aktivität – von zerstörerischen Angriffen bis Desinformation – ist seit langem weit verbreitet. Das ist nicht neu und nicht mit den Ereignissen dieser Woche verknüpft.“

Über das vergangene Jahrzehnt haben Irans Cyber-Fähigkeiten dramatisch zugenommen. Analysten haben eine Reihe von Angriffen – darunter Denial-of-Service-Attacken auf US-Banken und maßgeschneiderte Malware gegen Saudi Aramco – iranischen Akteuren zugeschrieben. 2015 berichteten Medien, iranische Hacker hätten das US-Stromnetz infiltriert.

US-Beamte sollten Irans Cyber-Reichweite und -Fähigkeiten sehr ernst nehmen, betonte Elyashiv.

Ein Department of Homeland Security Alert vom 4. Januar warnte, dass Iran mindestens Angriffe mit temporär disruptiven Effekten gegen kritische US-Infrastruktur starten könnte.

Ebenso hob die US Cybersecurity and Infrastructure Security Agency ein erhöhtes Risiko für Cyber-Spionage und Angriffe gegen Finanzen, Energie, Telekommunikation und industrielle Leitsysteme hervor.

Die 2016er Anklage des US-Justizministeriums belastete sieben iranische Auftragnehmer, die mit dem Islamic Revolutionary Guards Corps verbunden sind, mit Cyberangriffen auf mehrere Banken und einen New Yorker Damm. Das DHS warnte auch vor iranischen Akteuren, die „Infrastrukturziele auskundschaften und planen sowie cyber-enabled Angriffe auf eine Reihe US-basierter Ziele ausführen.“

Im Industriesektor hat eine Hacker-Gruppe namens Advanced Persistent Threat 33, die mit Iran in Verbindung gebracht wird, laut Cyberscoop Verteidigung, Transport und Energieorganisationen angegriffen.

Limbago glaubt, dass Iran angesichts der aktuellen Spannungslage unwahrscheinlich ist, explizite ICS-Schwachstellen kurzfristig zu priorisieren. Sie merkte an: „Iran versteht, dass zerstörerische Angriffe auf kritische Infrastruktur wahrscheinlich Eskalation und Vergeltung auslösen.“

Ehemalige CIA Counterterrorism Center Executive Director Carol Rollie Flynn prognostiziert, dass iranische Akteure sich auf kleinere Cyberangriffe konzentrieren werden, um Vergeltung zu vermeiden.

Limbago schlägt zudem vor, dass iranische Adversarien private Sektoren ohne offensichtlichen ICS-Bezug angreifen könnten. Historischer Präzedenzfall, wie der angeblich mit Iran verbundene Sands Casino Angriff 2015, stützt diesen Ansatz.

Desinformation bleibt ein Kernbestandteil von Irans Cyber-Strategie. Limbago beschrieb diese Operationen als „extrem prolific und global“, gezielt auf Stärkung der innenpolitischen Unterstützung und Säen anti-amerikanischer Stimmung weltweit.

Cyber-Risiko managen

Unabhängig von der sich wandelnden geopolitischen Lage müssen industrielle Betreiber ihre vernetzten Geräte auditieren. Malik empfiehlt, Technologieinventare zu prüfen, Schwachstellen zu bewerten und Controls anzuwenden, die die Angriffsfläche reduzieren.

Da Uptime oberste Priorität hat, nutzen viele industrielle Umgebungen weiterhin veraltete, ungepatchte Hardware und Software. Elyashiv warnte: „Organisationen müssen über diese antiquierten Systeme hinausblicken, die derzeit kritische Infrastruktur schützen, da die jüngere Geschichte klar zeigt, dass sie leicht kompromittiert werden können.“

David Goldstein, President und CEO von AssetLink Global LLC, betonte, dass IIoT-Sicherheit mehr erfordert als Hardware und Software. „Die Antwort auf IIoT-Sicherheit liegt nicht vollständig in Hardware und Software“, sagte er.

Der Stuxnet-Angriff auf Irans Nuklearanlage Natanz veranschaulichte die Wichtigkeit physischer Zugangskontrollen. Bei dieser Operation installierten Doppelagenten Malware in einem air-gapped zentralen Netzwerk und zerstörten letztlich rund 1.000 Zentrifugen.

Goldstein hob hervor, dass Vertrauen und Zugangskontrolle kritisch sind. Er fragte: „Mit wem arbeiten Sie, wem vertrauen Sie, wer hat Credentials für Ihr System, wer hat physischen Zugang? Vertrauen zwischen Akteuren und Partnern wird zunehmend wichtig, da IoT-Systeme alles durchdringen.“

Mit der Ausbreitung von IoT-Technologien in industriellen Kontexten besteht ein Mangel an Cyber-Experten, die mit industriellen Leitsystemen vertraut sind. Goldstein merkte an, dass die meisten Analytiker generische IT-Techniken auf Industrial IoT anwenden, dabei proprietäre Protokolle und Update-Herausforderungen übersehen, die signifikante Verwundbarkeiten darstellen.

Organisationen wie das US Department of Defense und MITRE Corp. schließen diese Lücke mit Frameworks wie MITRE ATT&CK for ICS. Malik erklärte, dass dieses Framework Herstellern, Eigentümern und Betreibern ermöglicht, Angriffsszenarien zu diskutieren und Schwachstellen konsistent über Sektoren hinweg zu melden.

Malik betonte, dass Cybersicherheit eine Reise ist, kein Ziel. Angesichts der kurzfristigen Natur der aktuellen Spannungen sagte er: „Es gibt wenig, was IC-Hersteller tun können, um ihre Produktionssicherheit kurzfristig signifikant zu stärken.“

Er identifizierte auch eine spezifische Verwundbarkeit: Feldwartungslinks, die für Diagnosen genutzt werden, können zu Angriffsvektoren werden. Malik forderte Vendors auf, Kundendaten zu schützen, Traffic wo möglich zu verschlüsseln und sicherzustellen, dass Software-Updates malware-frei sind.