Industrielle Leitsysteme in Gefahr angesichts US-Iran-Spannungen

Angesichts eskalierender US-Iran-Spannungen müssen Organisationen, die vernetzte industrielle Infrastruktur betreiben, ihre Cyber-Abwehr stärken.

„Die Cyber-Auswirkungen der Tötung von General Qasem Soleimani sind profund“, warnte Eyal Elyashiv, CEO und Co-Founder der Netzwerksicherheitsfirma Cynamics.

Branchenanalysten merken an, dass der jüngste US-Iran-Aufflammer das gesamte Cyber-Risiko erweitert. „Wir haben keine Insider-Intel zu spezifischen Attacken, aber erhöhte politische Spannungen werden wahrscheinlich mehr Cyber-Angriffe anregen“, sagte Bill Malik, Vice President of Infrastructure Strategies bei Trend Micro.

Nach Soleimanis Tod haben Cybersicherheitsspezialisten und US-Beamte gleichermaßen vor der Bedrohung gewarnt, die iran-affilierte Adversarien für industrielle Leitsysteme darstellen.

Einige Experten argumentieren, dass Angreifer kleinere, ablenkende Cyber-Vorfälle statt eines full-scale Cyberkriegs starten könnten. „Ein all-out Cyber-Konflikt für wahrscheinlich zu halten, ist verfrüht“, stellte Andrea Little Limbago, Ph.D., Chief Social Scientist bei Virtru, fest. „Irans Cyber-Aktivität, von zerstörerischen Angriffen bis Desinformation, ist seit Jahren pervasive und nicht einzigartig an jüngste Ereignisse geknüpft.“

Über das letzte Jahrzehnt sind Irans Cyber-Fähigkeiten dramatisch gewachsen. Sicherheitsforscher schreiben eine Reihe von Angriffen – darunter DDoS-Attacken auf US-Banken und Custom Malware gegen Saudi Aramco – iranischen Akteuren zu. 2015 berichteten Medien auch, iranische Hacker hätten das US-Stromnetz infiltriert.

„US-Beamte sollten zutiefst besorgt sein über Irans Cyber-Reichweite und -Fähigkeiten“, betonte Elyashiv.

Trotz Berichten über eine Abkühlung der bilateralen Spannungen warnte ein DHS Alert vom 4. Januar, dass Iran „Angriffe mit temporär disruptiven Effekten gegen kritische US-Infrastruktur“ starten könnte.

Die US Cybersecurity and Infrastructure Security Agency (CISA) flaggte ebenfalls ein erhöhtes Risiko für Angriffe und Cyber-Spionage gegen strategische Sektoren – Finanzen, Energie, Telekommunikation – und verwies auf einen wachsenden Fokus auf industrielle Leitsysteme und Operational Technology.

Iranische Akteure haben einen Track Record im Targeting US-Infrastruktur. 2016 unsealed das Justizministerium eine Anklage gegen sieben Auftragnehmer, die mit dem Islamic Revolutionary Guard Corps verbunden sind, für Cyberangriffe auf mehrere Banken und einen New Yorker Damm. DHS warnte auch, dass iran-affilierte Akteure „Infrastrukturziele auskundschaften und planen, cyber-enabled Angriffe auf eine Reihe US-Sites ausführen.“

Industrielle Ziele sind nicht verschont. Cyberscoop berichtet, dass die iran-verknüpfte Hacker-Gruppe Advanced Persistent Threat 33 wiederholt Verteidigung, Transport und Energie angegriffen hat.

Limbago warnt, dass es verfrüht ist, zu erwarten, dass Iran sich unmittelbar auf das Ausnutzen von ICS-Schwachstellen konzentriert. „Wenn Spannungen weiter steigen, kann sich die Strategie verschieben, aber derzeit bleibt Irans Cyber-Aktivität in der Grauzone – unterhalb offener Kriegsführung“, erklärte sie. „Iran weiß, dass zerstörerische Angriffe auf kritische Infrastruktur Vergeltung provozieren würden.“

Ehemalige CIA Counterterrorism Center Executive Carol Rollie Flynn prognostiziert, Iran werde kleinere Cyberangriffe starten, um US-Vergeltung zu vermeiden. „Sie wollen unter dem Radar bleiben“, sagte sie.

Limbago warnte auch, dass Iran private-Sektor-Entitäten ohne offensichtliche industrielle Links angreifen könnte. Sie zitierte einen 2015er Vorfall, als ehemaliger National Intelligence Director James Clapper einen Angriff auf Sands Casino Iran zuschrieb, als Vergeltung für Kommentare von CEO Sheldon Adelson. „Iran zielt typischerweise auf private Firmen mit Verbindung zur Exekutive, um finanziellen Schaden zuzufügen, ohne eine breitere US-Reaktion zu entfachen“, merkte Limbago an.

Desinformationskampagnen bilden einen Kern von Irans Cyber-Strategie. Limbago beschrieb sie als „extrem prolific und global“. „Diese Operationen werden sowohl domestic fortgesetzt, um pro-Regierung-Stimmung zu stärken, als auch international, um anti-amerikanische Narrative zu befeuern“, fügte sie hinzu.

Unabhängig davon, wie sich die aktuellen Spannungen entwickeln, bietet der Moment Betreibern industrieller Infrastruktur die Chance, ihre vernetzten Geräte zu auditieren. „Wir fordern Eigentümer und Betreiber industrieller Leitsysteme auf, ihre Technologie zu inventarisieren, Schwachstellen zu bewerten und Controls zu implementieren, die ihre Angriffsfläche verringern“, riet Malik.

Industrielle Entitäten priorisieren Uptime, was oft in Abhängigkeit von Legacy, ungepatchter Hardware und Software resultiert. „Sie müssen über diese antiquierten Systeme hinausblicken, da die Geschichte zeigt, dass sie leicht kompromittiert werden“, warnte Elyashiv.

Cyber Hygiene bleibt essenziell, aber David Goldstein, President und CEO von AssetLink Global LLC, betont die Notwendigkeit robuster physischer Sicherheit. „IIoT-Sicherheit ist nicht allein Hardware und Software“, sagte er.

Physischer Zugang war entscheidend in der 2010er Stuxnet-Operation gegen Irans Nuklearanreicherungsanlage Natanz. Doppelagenten, verbunden mit US-und israelischer Intelligence, führten Berichten zufolge Malware in das air-gapped Netzwerk ein, was letztlich etwa 1.000 Zentrifugen deaktivierte.

Goldstein merkt an, dass Stuxnet die Notwendigkeit strenger Zugangskontrolle und Vertrauens unterstreicht. „Mit wem Sie kollaborieren, das Vertrauen, das Sie Partnern entgegenbringen, und wer physischen Zugang hat, sind kritische Faktoren“, betonte er.

Mit der Proliferation von IoT in der Industrie entsteht ein Talent-Gap: Wenige Cyber-Experten spezialisieren sich auf industrielle Leitsysteme. „Viele Analytiker wenden konventionelle IT-Taktiken auf Industrial IoT an, ohne proprietäre Protokolle und Update-Herausforderungen zu berücksichtigen, was signifikante Verwundbarkeiten schafft“, warnte Goldstein.

Bundesbehörden – einschließlich des Department of Defense – und die MITRE Corporation adressieren diese Lücke mit industrial-control Frameworks wie MITRE ATT&CK for IC. „Dieses Framework ermöglicht Herstellern, Eigentümern und Betreibern, Angriffsszenarien zu artikulieren und Schwachstellen konsistent über Sektoren hinweg zu melden“, erklärte Malik. „Alle Organisationen sollten es adoptieren, um ihre IC-Sicherheitslage zu bewerten.“

Malik hob hervor, dass Cybersicherheit eine kontinuierliche Reise ist, kein Ziel. „Wenn die erhöhten Spannungen kurzlebig sind, haben Hersteller begrenzten Spielraum, ihre Produktionssicherheit schnell zu befestigen“, sagte er.

Er wies auf eine Schlüsselverwundbarkeit hin: Feldwartungslinks. „Wenn Vendors auf ihre Equipment für Wartung oder Fault Diagnosis zugreifen, werden diese Verbindungen zu potenziellen Angriffsvektoren“, warnte Malik.

Malik forderte Vendors auf, Kundendaten zu schützen, indem sie Traffic wo machbar verschlüsseln und Software-Updates sichern. „Es wäre katastrophal, wenn ein geringfügiges Problem bei einem Kunden einen Hersteller veranlasst, einen Patch zu deployen, der unbeabsichtigt Malware über sein gesamtes Portfolio einführt“, warnte er.