Bij cybersecurity denken organisaties aan firewalls, endpoints, e-mailbeveiliging en wellicht het ERP-systeem. Waar vrijwel nooit aan wordt gedacht, is het systeem dat de verwarming regelt. Of de toegangscontrole van de deuren. Of de brandmeldinstallatie. Daar zit precies het probleem: het gebouwbeheersysteem is in veel organisaties de zwakste schakel in het netwerk, en er is niemand die erop let.

Gebouwbeheersystemen vormen de stille infrastructuur van elk modern pand. Zij regelen klimaat, verlichting, toegang, camerabewaking, liften, brandmelding en energiebeheer, en zijn via sensoren en regelaars door het hele gebouw verbonden. In toenemende mate zijn zij bovendien gekoppeld aan het IT-netwerk en aan het internet, voor bewaking op afstand, energierapportages en onderhoud door leveranciers.

Juist die connectiviteit maakt ze interessant voor een aanvaller.

De Target-les die iedereen vergeten is

In december 2013 werd de Amerikaanse winkelketen Target getroffen door een van de grootste datalekken uit die periode: veertig miljoen creditcardgegevens en zeventig miljoen persoonsgegevens werden ontvreemd, met kosten die uiteindelijk in de honderden miljoenen euro's liepen. De aanvallers kwamen niet binnen via een geavanceerde kwetsbaarheid of een phishingaanval op een IT-medewerker, maar via Fazio Mechanical Services, het bedrijf dat de klimaatinstallatie van Target onderhield.

Fazio beschikte over toegang tot het netwerk van Target voor facturatie en projectbeheer rond het klimaatbeheer. Die toegang was niet gescheiden van het betalingssysteem. De aanvallers compromitteerden eerst de leverancier, gebruikten diens inloggegevens om het netwerk van Target binnen te komen en bewogen zich vandaar naar de kassasystemen. Een onderhoudspartij voor airconditioning bleek de toegangsweg tot veertig miljoen creditcards.

Geen incidenteel geval: Kaspersky analyseerde via telemetrie ongeveer 40.000 gebouwen met geautomatiseerde beheersystemen en stelde vast dat 37,8% daarvan doelwit was van aanvalspogingen. Dat cijfer stamt uit 2019; de connectiviteit van deze systemen is sindsdien alleen toegenomen.

De vergeten systemen in uw gebouw

Het vraagstuk begint bij de vaststelling dat niemand zich verantwoordelijk voelt. Facilitair beheer beheert de systemen maar beschikt niet over beveiligingskennis. De IT-afdeling is verantwoordelijk voor beveiliging, maar weet vaak niet dat deze systemen bestaan of dat zij op het netwerk zijn aangesloten. Zo ontstaat een blinde vlek waar geen van beide partijen zicht op heeft.

Dit zijn de systemen die wij bij vrijwel elk assessment onbeveiligd aantreffen:

Klimaatinstallaties

Moderne regelaars draaien op ingebedde besturingssystemen, beschikken over een webinterface voor configuratie en zijn via protocollen als BACnet of Modbus met het netwerk verbonden. Leveranciers hebben toegang op afstand voor onderhoud. Fabriekswachtwoorden blijven doorgaans ongewijzigd en firmware wordt zelden bijgewerkt.

Toegangscontrolesystemen

Paslezers, slagbomen en deurregelaars zijn verbonden met een centrale server op het bedrijfsnetwerk. Veel installaties gebruiken verouderde protocollen die eenvoudig zijn af te luisteren. De beheersoftware draait op een standaardplatform met een gangbare database, vaak zonder versleuteling of sterke authenticatie.

Brandmeldinstallaties

Brandmeldcentrales worden steeds vaker via IP gekoppeld aan meldkamers en gebouwbeheersystemen. Een compromittering kan leiden tot loze alarmen met ontruimingen tot gevolg, of tot het onderdrukken van een alarm tijdens een werkelijke brand. Hier raken brandveiligheid en cybersecurity elkaar rechtstreeks.

Camerasystemen

IP-camera's staan bekend om hun kwetsbaarheden. Het Mirai-botnet bestond voor een groot deel uit gecompromitteerde camera's en opnameapparatuur. Veel camera's bevatten vast ingebouwde inloggegevens, draaien op verouderde firmware en zijn rechtstreeks vanaf het internet bereikbaar. Daarmee levert een camera een aanvaller niet alleen beeld op, maar ook een positie in uw netwerk.

Liften en roltrappen

Liftinstallaties worden op afstand bewaakt door de leverancier, via permanente verbindingen die zelden worden getoetst. De regelaars ontvangen geen beveiligingsupdates en zijn met het gebouwnetwerk verbonden.

Energiemanagementsystemen

Slimme meters, energiedashboards en verlichtingsautomatisering zijn gekoppeld aan clouddiensten en het lokale netwerk. Zij geven inzicht in bezettingspatronen en kunnen worden misbruikt om verlichting of klimaat te manipuleren.

Waarom BMS-systemen zo kwetsbaar zijn

Die kwetsbaarheid berust niet op toeval, maar op een aantal structurele kenmerken van de manier waarop deze systemen worden ontworpen, verkocht en beheerd.

Ontworpen op functie, niet op beveiliging. Gebouwbeheersystemen zijn ontwikkeld door installatiebedrijven, niet door beveiligingsleveranciers. Protocollen als BACnet, LonWorks en Modbus stammen uit een tijd waarin beveiliging geen overweging was en missen basisvoorzieningen als authenticatie en versleuteling. Iedere partij die het protocol spreekt, kan commando's naar de regelaars sturen.

Een levensduur van vijftien tot vijfentwintig jaar. Waar IT-apparatuur elke drie tot vijf jaar wordt vervangen, blijven deze installaties decennia in bedrijf. Er zijn dan ook gebouwen waarin regelaars draaien op software van twintig jaar oud, zonder mogelijkheid tot bijwerken en zonder ondersteuning van de leverancier.

Leverancierstoegang zonder toezicht. Leveranciers beschikken vrijwel altijd over toegang op afstand tot de systemen die zij beheren. Die toegang is doorgaans permanent, wordt niet bewaakt en berust op gedeelde inloggegevens die al jaren ongewijzigd zijn. In het geval van Target was het precies die route die werd gebruikt.

Geen eigenaar binnen de organisatie. Facilitair beheer beschouwt het als gebouwtechniek, de IT-afdeling niet als haar verantwoordelijkheid, en beveiliging weet vaak niet dat het bestaat. Het gevolg is dat niemand patcht, niemand meekijkt en niemand toetst.

Een bruikbare toets: vraag om een overzicht van alle met het netwerk verbonden systemen in uw gebouw die niet door de IT-afdeling worden beheerd. Blijft dat overzicht uit, dan is dat op zichzelf het antwoord.

De verbinding die niemand ziet

Het onderliggende probleem is dat deze systemen zelden op een gescheiden netwerk draaien. Bij assessments treffen wij met regelmaat aan dat de klimaatregelaar op hetzelfde netwerksegment zit als kantoorwerkplekken, dat het toegangscontrolesysteem een directe route heeft naar de directoryomgeving, of dat camera's bereikbaar zijn vanaf het gastennetwerk.

Zulke verbindingen ontstaan niet uit onwil. Zij ontstaan doordat de installateur een netwerkaansluiting nodig had en de dichtstbijzijnde switch gebruikte, doordat de IT-afdeling niet werd geïnformeerd over de installatie, en doordat er geen netwerktekening wordt bijgehouden waarin ook de gebouwsystemen voorkomen.

Het resultaat is een plat netwerk waarin een gecompromitteerd gebouwsysteem toegang biedt tot het volledige bedrijfsnetwerk. Omgekeerd geldt hetzelfde: wie via phishing het kantoornetwerk bereikt, kan doorstoten naar de gebouwsystemen en daarmee fysieke gevolgen veroorzaken.

Wat u moet doen

Het beveiligen van deze systemen vraagt om samenwerking tussen IT, OT, facilitair beheer en beveiliging. De stappen die wij aanbevelen:

  • Breng alle gebouwsystemen in kaart. Inventariseer ieder met het netwerk verbonden systeem in het pand: camera's, thermostaten, deurregelaars, liften, energiemeters. Wat u niet kent, kunt u niet beveiligen.
  • Segmenteer het gebouwnetwerk. Plaats alle beheersystemen in een eigen segment met strikte firewallregels, zonder rechtstreeks verkeer naar het kantoor- of productienetwerk. Laat gegevensuitwisseling via een DMZ verlopen.
  • Beheer de toegang van leveranciers. Vervang permanente verbindingen door toegang op verzoek met multifactor-authenticatie, leg de activiteit vast en vervang gedeelde accounts door persoonlijke accounts met minimale rechten.
  • Patch wat kan, isoleer wat niet kan. Werk firmware en software bij waar dat mogelijk is. Voor installaties zonder ondersteuning geldt maximale isolatie, met bewaking van het verkeer van en naar die systemen.
  • Neem gebouwsystemen op in uw bewaking. Betrek deze netwerken bij uw monitoring en signaleer ongebruikelijk verkeer, ongeautoriseerde verbindingen en afwijkende commando's.
  • Betrek ze bij uw tests. Neem gebouwbeheersystemen op in penetratietests en laat een gespecialiseerde partij kijken naar protocollen, segmentatie, leverancierstoegang en de kwetsbaarheden in de regelaars.

De urgentie groeit

Met de opkomst van slimme gebouwen en de verdere koppeling van installaties aan netwerken groeit het aanvalsoppervlak gestaag. De Cyberbeveiligingswet stelt bovendien eisen aan risicobeheer in de keten, waaronder de fysieke beveiliging en de systemen die daarmee samenhangen. Wie deze systemen buiten beschouwing laat, loopt daarmee naast een operationeel risico ook een risico op het punt van naleving.

Het ongemakkelijke van dit onderwerp is de wanverhouding: organisaties investeren aanzienlijke bedragen in de beveiliging van hun IT-omgeving, terwijl de klimaatinstallatie onbeheerd aan hetzelfde netwerk hangt. Die wanverhouding is bij aanvallers bekend, en zij is met een inventarisatie van een dag al voor een groot deel in beeld te brengen.

Wij combineren OT-security met kennis van gebouwbeheersystemen, juist omdat deze blinde vlek zich op het snijvlak van beide bevindt en daardoor bij beide partijen buiten beeld blijft.