Neem het volgende, alledaagse verloop. Een machineleverancier uit Zuid-Duitsland levert een verpakkingslijn aan uw fabriek. Tijdens de inbedrijfstelling configureert de servicemonteur de besturingen, de bedieningsstations en de koppeling met SCADA. Hij stelt wachtwoorden in, richt een VPN-verbinding in voor ondersteuning op afstand, maakt accounts aan op uw netwerk, en reist daarna terug.

Een halfjaar later weet niemand binnen uw organisatie welke wachtwoorden zijn ingesteld, welke accounts er bestaan of dat die VPN-verbinding nog openstaat. De leverancier beschikt wel over die informatie, samen met de gegevens van de twintig andere klanten waar hij hetzelfde heeft gedaan, veelal met dezelfde wachtwoorden.

Dit is geen uitzonderingsgeval. Het is de situatie die wij bij het merendeel van de Nederlandse productiebedrijven aantreffen waar wij een assessment uitvoeren.

Hoe het probleem ontstaat

Het begint bij de inbedrijfstelling. Wanneer een nieuwe machine of productielijn wordt geïnstalleerd, staat alles onder tijdsdruk. De monteur moet de installatie werkend opleveren en de fabriek wil produceren. In die omstandigheden sneuvelen beveiligingsafspraken als eerste, niet uit onwil maar omdat niemand er op dat moment eigenaar van is.

De monteur hanteert de wachtwoorden die hij bij elke klant gebruikt. Op het bedieningsstation een standaardcombinatie, op de besturing een cijferreeks, en een gedeeld VPN-account onder de naam service met een wachtwoord dat al jaren ongewijzigd is. Deze gegevens worden niet vastgelegd, niet overgedragen aan de klant en na oplevering niet gewijzigd.

Daarna begint de fase van ondersteuning op afstand. De leverancier heeft een servicecontract dat hem toegang geeft voor storingsafhandeling en onderhoud. Dat is op zichzelf logisch en vaak noodzakelijk, maar de uitvoering ervan is vrijwel altijd gebrekkig:

  • Gedeelde VPN-accounts: één account dat door alle monteurs van de leverancier wordt gebruikt. Vertrekt er een monteur, dan wordt het wachtwoord niet gewijzigd.
  • Permanente verbindingen: de tunnel staat doorlopend open, ook wanneer er geen onderhoud plaatsvindt. Activering op verzoek ontbreekt.
  • Geen logging: er wordt niet vastgelegd wie wanneer heeft ingelogd en wat er is gebeurd. Bij een incident is de betrokkenheid van de leverancier daardoor niet vast te stellen, in geen van beide richtingen.
  • Rechtstreekse toegang tot het OT-netwerk: de verbinding eindigt in de productieomgeving, zonder tussenliggende jump server of ander controlepunt.
  • Vastgelegde wachtwoorden in software: sommige leveranciers hebben wachtwoorden opgenomen in hun applicatiesoftware of configuratiebestanden, waardoor wijzigen de applicatie onbruikbaar maakt.

Waarom dit een tijdbom is

Het probleem wordt pas zichtbaar wanneer het misgaat, en dan is de situatie niet meer te herstellen. Drie scenario's maken duidelijk waar het risico zit. Zij zijn opgesteld als illustratie van patronen die in deze sector bekend zijn.

De vertrokken monteur. Een servicemonteur verlaat de leverancier, maar zijn toegang tot de gedeelde VPN-accounts van tientallen klanten blijft bestaan omdat niemand aan klantzijde weet dat die accounts er zijn. Er hoeft geen kwade opzet in het spel te zijn: een gestolen laptop of een hergebruikt wachtwoord levert hetzelfde resultaat op.

De gecompromitteerde leverancier. Wordt de leverancier zelf getroffen door ransomware, dan liggen de toegangsgegevens van al zijn klanten in één systeem bij elkaar. Vanaf dat punt is er rechtstreekse toegang tot de OT-netwerken van tientallen fabrieken. Dit is het ketenscenario waar in deze sector al jaren voor wordt gewaarschuwd, en het verklaart waarom afnemers hun leveranciers tegenwoordig contractueel toetsen.

Het fabriekswachtwoord op een kritiek systeem. Een besturing die een veiligheidsfunctie aanstuurt, draait nog op de combinatie uit de handleiding van de fabrikant. Die handleiding is openbaar. Iedereen die het netwerk bereikt en het document opzoekt, kan de instellingen wijzigen.

Wat de cijfers laten zien: Claroty analyseerde ruim 125.000 OT-assets en stelde vast dat 3,7% daarvan een onveilige internetverbinding heeft. Bij engineering workstations en bedieningsstations, juist de systemen die als toegangspunt voor onderhoud dienen, loopt dat op tot 13%. Van die onveilig verbonden systemen bevat 36% ten minste één kwetsbaarheid waarvan bekend is dat die actief wordt misbruikt.

Controleer dit bij uw leverancier

Loop onderstaande punten na voor iedere leverancier die toegang heeft tot uw OT-omgeving, op afstand of ter plaatse:

  1. Inventariseer alle verbindingen van buitenaf Welke leveranciers beschikken over toegang tot uw OT-netwerk, hoeveel verbindingen zijn er actief, en welke staan permanent open? Stel de lijst volledig op; het aantal valt in de praktijk vrijwel altijd hoger uit dan verwacht.
  2. Controleer of toegangsgegevens persoonlijk en uniek zijn Heeft iedere monteur een eigen account, of wordt er één serviceaccount gedeeld? Zonder persoonlijke accounts is achteraf niet vast te stellen wie wat heeft gedaan.
  3. Verifieer dat fabriekswachtwoorden zijn gewijzigd Controleer besturingen, bedieningsstations, switches en routers. Gebruik daarvoor de openbare handleidingen van de fabrikanten, want dat is ook de bron die een aanvaller raadpleegt.
  4. Stel multifactor-authenticatie verplicht Iedere verbinding van buitenaf naar uw OT-omgeving hoort daarmee beveiligd te zijn. Stelt een leverancier dat dit bij zijn systeem niet mogelijk is, dan is dat een signaal om door te vragen.
  5. Verleen toegang uitsluitend op het moment dat het nodig is De leverancier vraagt toegang aan, u keurt die goed, de sessie staat een beperkte tijd open en sluit daarna automatisch. Permanente tunnels horen daar niet bij.
  6. Zorg voor volledige logging Leg per sessie vast wie er inlogde, wanneer, hoe lang en op welke systemen. Een voorziening voor beheer van bevoorrechte toegang kan sessies bovendien opnemen.
  7. Werk met een jump server Laat een leverancier nooit rechtstreeks in het OT-netwerk uitkomen. Alle toegang loopt via een beveiligde jump server in een DMZ, van waaruit uitsluitend de benodigde systemen bereikbaar zijn.
  8. Leg het vast in het contract Neem op dat leveranciers unieke toegangsgegevens gebruiken, dat wachtwoorden periodiek wijzigen, dat gedeelde accounts niet zijn toegestaan en dat de leverancier u informeert bij incidenten aan zijn kant.

De oplossing: credential management voor OT

De technische middelen bestaan. De opgave is ze ook in OT-omgevingen daadwerkelijk in te voeren, waar de gewoonten anders liggen dan in de kantooromgeving. Vier onderdelen zijn daarbij bepalend.

Beheer van bevoorrechte toegang. Een dergelijke voorziening beheert alle accounts met verhoogde rechten centraal, roteert wachtwoorden automatisch, verleent toegang via een goedkeuringsstap en legt sessies vast. Voor het beheersen van toegang op afstand in OT-omgevingen is dit het meest volledige antwoord.

Segmentatie met een jump server. Plaats een beveiligde tussenstap tussen het externe netwerk en uw OT-omgeving. Daarmee ontstaat één punt waarop u kunt vastleggen, toezien en begrenzen, in plaats van een reeks verbindingen die niemand overziet.

Multifactor-authenticatie op alle toegangspunten. Moderne oplossingen werken ook met industriële systemen en VPN-verbindingen. Waar het echt niet kan, hoort daar een vastgelegde afweging en een compenserende maatregel tegenover te staan.

Periodieke controle van toegangsgegevens. Toets ten minste halfjaarlijks op fabriekswachtwoorden, gedeelde accounts, inactieve accounts en accounts van vertrokken medewerkers of leveranciers.

Het gesprek met uw leverancier

Het lastigste onderdeel is doorgaans niet de techniek maar het gesprek. Veel OT-leveranciers zijn gehecht aan hun werkwijze en ervaren beveiligingseisen als vertraging. Dat gesprek is niettemin onvermijdelijk.

Begin met vragen in plaats van met eisen. Hoe beheert u de toegangsgegevens voor ondersteuning op afstand bij uw klanten? Wat gebeurt er met een account wanneer een monteur uit dienst gaat? Hoe worden wachtwoorden aan uw kant opgeslagen? De antwoorden geven u een vrij volledig beeld, ook wanneer ze uitblijven.

Vallen die antwoorden tegen, en dat gebeurt regelmatig, dan heeft u een concreet verbeterpunt om contractueel vast te leggen. Maak het onderdeel van het servicecontract en geef een redelijke termijn. Blijft medewerking uit, dan is dat een gegeven om mee te wegen bij de volgende aanbesteding: uw beveiligingsniveau hoort niet af te hangen van de bereidwilligheid van een derde.

Onthoud: iedere leverancier met toegang tot uw OT-netwerk vormt een mogelijke aanvalsroute. Niet omdat die partij kwade bedoelingen heeft, maar omdat haar beveiligingsniveau het uwe mede bepaalt. Behandel die toegang met dezelfde zorgvuldigheid als uw eigen toegangsbeheer, want voor een aanvaller gaat het om dezelfde deur.