Supply Chain Vulnerabilitäten bedrohen Industrial IoT Security

Industrial IoT (IIoT) Firmen hängen von einer verlässlichen Supply Chain ab, um Rohmaterialien und Komponenten zu sourcen, die Produktionslinien am Laufen halten. Während diese primären Supply Chains eng überwacht werden, liefert eine zweite, oft übersehene Chain die Hardware, die IIoT-Infrastruktur antreibt. Wegen limitierter Transparenz sind die Ursprünge interner Komponenten in IIoT-Devices schwer zu tracken, und viele kommen mit exploitable Security Flaws an.

Mit einem einzelnen IIoT-Device, das oft aus Dutzenden globaler Supplier assembliert wird, multipliziert sich das Risiko embedded Vulnerabilities. Finite States 2019 Finite State Supply Chain Assessment Report merkt an, dass Komponenten durch multiple Layers von Suppliern und Integratoren passieren, bevor sie auf ein Board integriert, getestet und vom OEM versendet werden.

Reale und viele Risiken für IIoT-Infrastrukturen

Network Operator erkennen Supply-Chain-Risiken, aber das Pinpointen spezifischer Vulnerabilities ist herausfordernd. IIoT-Deployments erstrecken sich oft über Herstellerwände hinaus zu Shippers, Merchants und Partnern. Wenn das Netzwerk wächst, steigt die Chance, dass malicious code propagiert – und dass scheinbar benign Firmware offene Ports exponiert.

Matt Wyckhouse, CEO von Finite State, beobachtet, dass viele Embedded Systems versteckte Vulnerabilities enthalten, die Asset Owner unaware sind. Ein Breach kann zum Foothold für Angreifer werden, um Corporate Systems zu infiltrieren, Industrial Control Systems (ICS), Production Prozesse und kritische Corporate Data zu kompromittieren. Das Problem wird verstärkt, wenn Firmware-Updates verzögert oder nie angewendet werden.

ARC Advisory Groups Juli 2019 The State of Industrial Cybersecurity Survey fand, dass 26 % der Befragten Third-Party-Threats wie Supply-Chain- oder Partner-Risiken als Major Concern betrachteten, während 44 % sie als Minor Concern ansahen. Bemerkenswert: Ransomware (70 %) und gezielte Angriffe (68 %) könnten via Supply-Chain-Breach gestartet werden.

In derselben Survey fühlten 28 % der Befragten, es sei „very likely“ oder „quite likely“, dass ihre ICS gezielt würden. Die Irdeto 2019 Global Connected Industries Cybersecurity Survey offenbarte, dass nur 17 % der IoT-Devices, die von großen Enterprises genutzt wurden, im vergangenen Jahr attack-free blieben.

Für mehr zu IoT Security, registrieren Sie sich für unseren IoT Security Summit im Dezember.

Wie IIoT Supply Chains kompromittiert werden

Im Gegensatz zu konventionellen Supply-Chain-Disruptions, die Produktion stoppen, sind IIoT-Breaches covert, oft entfaltend über Wochen oder Monate. Angreifer kompromittieren typischerweise Tier-2 Industrial IoT Supplier, infiltrieren deren Websites und ersetzen legitime Firmware durch trojanisierte Versionen. Network Admins laden diese malicious Firmware unwissentlich herunter und deployen sie, was Angreifern einen Foothold inside der Plant-Firewalls gibt.

Einmal drinnen, können Angreifer von Industrial Networks zu Corporate Data Networks spreaden, was einen Multiplikator-Effekt erzeugt. Ältere Devices – Sensoren und Komponenten, die seit einem Jahrzehnt oder mehr in Place sind – bergen höhere Risiken durch veralteten Support und Patching. Finite States Research zitierte eine Huawei-Komponente, die eine 2003er OpenSSL-Version nutzte, eine wohl-dokumentierte Vulnerability.

Backdoors – ob intentionale Debug-Ports oder versteckte API Access Points – können auch als Entry Routes für malicious Actors dienen. In vielen Fällen lassen Hersteller diese Ports offen, um Support zu erleichtern, und bieten Angreifern inadvertent einen einfachen Weg rein. Manche Länder exportieren sogar Produkte mit intentionalen Backdoors, um Intellectual Property zu stehlen.

Forschung von NYUs Tandon School of Engineering hebt hervor, dass IoT weitgehend unreguliert in Security Standards bleibt. Device Owner haben wenig Kontrolle über Upstream Supply Chains, und viele Supplier versäumen es, ihre Cybersecurity-Praktiken zu disclosieren.

Ziele maliziöser Akteure

Angriffe zielen oft auf Ransomware, die Produktion stoppen kann bis Ransom gezahlt wird. Disruptionen von Production Lines – durch alterierte Sensor-Daten oder unsichere Machine Settings – können zu defekten Produkten und Safety Hazards führen. Ein März 2020 OT Security Best Practices Report warnte, dass solche Breaches menschliche Safety, Umwelt und nationale Ökonomien bedrohen.

High-Profile-Sektoren – Energie, Power Grids, Oil & Gas, und zunehmend Healthcare amid der Pandemie – sind Prime Targets. Finite States Wyckhouse merkt steigende Ransomware-Angriffe auf Hospitals an, während Adolus' Byres den Medical Sector als neue target-rich Environment identifiziert.

Jenseits finanzieller Motive können Angreifer Intellectual Property suchen oder die Supply Chain als initialen Foothold nutzen, um Corporate Networks zu infiltrieren.

IIoT Supply Chain Weaknesses mitigieren

Effektive Defense beginnt mit einem umfassenden Inventory aller IIoT-Devices. Darauf folgt eine Supply-Chain-Risk-Assessment, die Macro-Risiken identifiziert – wie Ransomware und Data Theft – und jede Device-spezifische Vulnerability evaluiert.

IIoT-Traffic via Air-Gapping isolieren, um OT von IT Networks zu trennen. Supplier am Point of Purchase evaluieren; Vendor Security Posture ist während Procurement am besten assessbar. Für High-Volume-Purchases formale Vetting-Prozesse etablieren, um konsistente Security Standards zu gewährleisten.

Mehr als ein Security Statement verlangen – detaillierte Security Reports oder Third-Party-Assessments anfordern. Public Resources wie NIST National Vulnerability Database nutzen, um Common Vulnerabilities and Exposures (CVEs) zu cross-referenzieren.

Emerging Services adressieren diese Challenges. Adolus, geboren aus einer U.S. Department of Homeland Security Initiative, bietet eine Database, die Device Lineage, Component Origins und bekannte Vulnerabilities trackt. Finite State bietet Firmware Analysis Tools, die versteckte Risiken detektieren und Risk Profiles nach Updates reassessieren.