Een monteur sluit om half negen 's ochtends een USB-stick aan op een werkstation op de fabrieksvloer. Om één uur 's middags staat de productielijn stil. Er is geen phishingmail aan te pas gekomen, geen zero-day en geen aanvaller die zich maandenlang door het netwerk heeft bewogen. Alleen een gegevensdrager die van de ene laptop naar de andere reist. Dit type incident komt in de praktijk veel vaker voor dan de aandacht die het krijgt in beveiligingsplannen doet vermoeden.
Removable media, en in het bijzonder de USB-stick, staat al jaren bovenaan de lijst van infectievectoren in operationele technologie. De rapportages van Honeywell, Dragos en het ICS-CERT komen daar onafhankelijk van elkaar op uit. Honeywell stelde in 2023 vast dat 52% van alle malware die in industriële omgevingen werd gedetecteerd via USB-apparaten binnenkwam. Dat is meer dan de helft, in omgevingen waar de beveiligingsaandacht vrijwel volledig uitgaat naar de netwerkzijde.
De les van Stuxnet die niemand heeft geleerd
Het bekendste voorbeeld blijft Stuxnet. In 2010 raakte de Iraanse uraniumverrijkingsfaciliteit in Natanz besmet via een USB-stick. De malware was toegesneden op de Siemens S7-300 PLC's die de centrifuges aanstuurden en liet deze buiten hun ontwerptoleranties draaien. Honderden centrifuges raakten onherstelbaar beschadigd, terwijl de operators op hun schermen normale procesparameters bleven zien.
Vijftien jaar later zou men mogen verwachten dat elke industriële organisatie beschikt over een sluitend beleid voor gegevensdragers. Dat is niet wat wij aantreffen. Bij het merendeel van de assessments die wij uitvoeren, ontbreekt een effectief beleid rond removable media volledig. Een deel van deze organisaties staat er zelfs minder goed voor dan tien jaar geleden: hun OT-netwerken zijn in die periode aanzienlijk complexer geworden, terwijl het beveiligingsbeleid ongewijzigd is gebleven.
Hoe het in de praktijk misgaat
USB-incidenten in OT-omgevingen komen zelden voort uit een gerichte actie met geprepareerde gegevensdragers. De werkelijkheid is aanzienlijk alledaagser, en juist daardoor moeilijker te beheersen.
Neem de servicemonteur die langskomt voor onderhoud aan een PLC. Op zijn laptop staan configuratiebestanden, firmware-updates en diagnosetools, en diezelfde laptop was kort daarvoor aangesloten op het netwerk van een andere opdrachtgever. De bestandsuitwisseling verloopt via USB. Aan uw zijde controleert niemand die gegevensdrager voordat hij in het engineering workstation wordt geplaatst, omdat de monteur al jaren over de vloer komt.
Of neem de operator die thuis, op een computer die ook door het gezin wordt gebruikt, een presentatie afrondt. De volgende ochtend belandt die gegevensdrager in het HMI-werkstation op de productievloer. Dat werkstation draait nog op Windows 7, omdat de SCADA-leverancier geen versie beschikbaar heeft gesteld die op een recenter besturingssysteem functioneert.
Uit hetzelfde rapport: volgens het Honeywell USB Threat Report van 2023 was 26% van de aangetroffen USB-malware in staat tot ernstige verstoring van industriële processen, waaronder verlies van zicht op de operatie en verlies van controle over systemen.
Anatomie van een USB-aanval: stap voor stap
Waarom dit type aanval in OT-omgevingen zo effectief is, laat zich het beste illustreren aan de hand van het tijdsverloop. Onderstaande reconstructie is samengesteld uit incidenten zoals wij die in de praktijk tegenkomen.
De USB-stick wordt aangesloten
De monteur sluit de gegevensdrager aan om een PLC-configuratie over te zetten. Windows herkent het apparaat en voert een autorun-script uit, of de monteur opent zelf een bestand waarin een verborgen payload is opgenomen.
Malware nestelt zich op het werkstation
De malware installeert zich. Antivirus is op dit werkstation niet bijgewerkt of in het geheel niet aanwezig, wat in OT-omgevingen eerder regel dan uitzondering is. Vervolgens wordt het lokale netwerk in kaart gebracht.
Laterale verspreiding binnen het OT-netwerk
Bij het ontbreken van segmentatie ligt de weg open naar HMI-werkstations, de historian en overige engineering stations. Omdat monitoring ontbreekt, wordt de verspreiding nergens gesignaleerd.
Eerste symptomen op de productievloer
Operators melden traag reagerende schermen en afwijkende waarden. De eerste reactie is een herstart, de tweede een melding bij IT over een vermoedelijke netwerkstoring. Aan een beveiligingsincident wordt op dat moment niet gedacht.
Productie valt stil
PLC's ontvangen onjuiste commando's, of de verbinding met de SCADA-server valt weg. De veiligheidsvoorzieningen treden in werking en schakelen het proces af. De productielijn ligt stil.
Crisisteam wordt bijeengeroepen
Pas op dit moment wordt een beveiligingsincident vermoed. Het crisisteam start het onderzoek, maar zonder forensische voorzieningen, zonder logging en zonder netwerkmonitoring in de OT-omgeving is er nauwelijks materiaal om dat onderzoek op te baseren.
Herstel en herbouw
Elk systeem wordt handmatig gecontroleerd, geschoond en opnieuw opgebouwd. PLC-programma's worden teruggezet vanaf back-up, voor zover deze beschikbaar zijn en de juiste versie te herleiden is. De productie blijft stilliggen tot het laatste systeem is vrijgegeven. De kosten lopen daarbij op tot in de honderdduizenden euro's aan verloren productietijd.
Waarom air-gapped systemen niet veilig zijn
In vrijwel elk gesprek over OT-beveiliging wordt het argument aangevoerd dat de kritieke systemen niet met het internet verbonden zijn en daarmee buiten schot blijven. Juist die redenering verklaart de effectiviteit van USB als aanvalsroute.
Een systeem zonder netwerkverbinding heeft immers nog steeds gegevens nodig. Software-updates, gewijzigde configuraties, receptuurbestanden en logbestanden die ten behoeve van rapportage moeten worden geëxporteerd: al dat verkeer verloopt via gegevensdragers. De air gap leidt daarmee niet tot minder afhankelijkheid van removable media, maar tot meer.
Natanz was volledig air-gapped. Updates en configuraties werden via USB naar binnen gebracht, en langs die weg voltrok zich de aanval. Wat de air gap vooral opleverde, was een onterecht gevoel van veiligheid: de gegevensdragers werden niet gecontroleerd, juist omdat het systeem niet met het internet was verbonden.
De kern: een air gap is geen beveiligingsmaatregel maar een architectuurkeuze. Hij verplaatst de aanvalsroute van het netwerk naar fysieke gegevensdragers. Zonder controle op die dragers is de situatie ongunstiger dan bij een systeem dat wel is aangesloten en waarop wel toezicht wordt gehouden.
Wat u vandaag nog kunt doen
USB-risico's in OT-omgevingen zijn goed beheersbaar, mits beleid en techniek in samenhang worden ingezet. Beleid zonder technische ondersteuning wordt genegeerd; techniek zonder beleid wordt omzeild. De zes maatregelen die wij bij onze opdrachtgevers doorvoeren:
1. Leg het beleid voor gegevensdragers vast. Dit lijkt vanzelfsprekend, maar bij de meeste eerste assessments blijkt een dergelijk beleid niet te bestaan. Wees specifiek: welke apparaten zijn toegestaan, wie mag ze gebruiken, op welke systemen, en onder welke voorwaarden.
2. Richt een USB-kiosk in. Een kiosk is een losstaand systeem waarop elke gegevensdrager verplicht wordt gescand voordat deze in het OT-netwerk wordt gebruikt. Uitsluitend goedgekeurde bestanden worden overgezet naar een schone, bedrijfseigen drager. Daarmee wordt de infectieketen doorbroken op het punt waar dat nog mogelijk is.
3. Schakel USB-poorten uit waar zij niet nodig zijn. Via groepsbeleid, in het BIOS of met fysieke poortblokkers. Technisch is dit de meest effectieve maatregel; de inspanning zit in de inventarisatie vooraf, omdat er altijd systemen zijn waar USB om operationele redenen noodzakelijk blijft.
4. Segmenteer het OT-netwerk. Treedt er onverhoopt een infectie op, dan bepaalt de segmentatie hoe ver de schade reikt. Zones en conduits conform IEC 62443 beperken een besmetting tot één werkstation in plaats van de gehele productieomgeving.
5. Betrek uw medewerkers. Niet door middel van een jaarlijkse e-learning, maar met een toelichting op de reden waarom een gegevensdrager een risico vormt. Dat geldt in versterkte mate voor externe monteurs: neem het beleid op in de instructie die zij bij binnenkomst ontvangen, naast de reguliere veiligheidsvoorschriften.
6. Zorg dat u een incident zou opmerken. Endpointdetectie op OT-werkstations waar dat mogelijk is, en anders in elk geval monitoring van het netwerkverkeer op afwijkende patronen. Zonder zicht op het OT-netwerk wordt een USB-infectie pas vastgesteld op het moment dat de productie stilvalt.
De werkelijke kosten van nalatigheid
Wat een uur stilstand kost, verschilt sterk per bedrijf. Voor de vijfhonderd grootste ondernemingen ter wereld becijferde Siemens in The True Cost of Downtime 2024 dat ongeplande stilstand elf procent van de omzet wegneemt, tegen acht procent in 2019, met een uitschieter tot circa 2,1 miljoen euro (2,3 miljoen dollar) per uur in de automotive. Die bedragen zeggen weinig over een middelgroot Nederlands maakbedrijf, en een gemiddelde over uw sector evenmin. Reken het daarom zelf uit: neem de dekkingsbijdrage per geproduceerde eenheid, vermenigvuldig die met uw uurcapaciteit, en tel er de kosten bij die doorlopen terwijl er niets van de band komt. Loon, afschrijving en energie stoppen niet als de lijn stilstaat. Vermenigvuldig die uitkomst vervolgens met achtenveertig uur, wat zonder incident response plan voor OT een realistische duur is. Daar komen forensisch onderzoek, hervalidatie van processen, mogelijke milieuschade, verantwoording richting afnemers en, afhankelijk van uw sector, een meldplicht onder de Cyberbeveiligingswet nog bovenop.
Een USB-kiosk vertegenwoordigt in vrijwel elke uitkomst van die som een fractie van het bedrag. Het opstellen van beleid kost nog minder, en vergt vooral tijd. Die verhouding vormt het volledige argument.
Wij treffen geregeld organisaties aan die hun OT-omgeving als veilig beschouwen omdat er een firewall aanwezig is en een directe internetverbinding ontbreekt. Eén vraag is doorgaans voldoende: weet u wat er de afgelopen maand via gegevensdragers uw productieomgeving is binnengekomen? Op die vraag hebben wij tot op heden geen enkele keer een onderbouwd antwoord gekregen.
Dat is geen verwijt. Het is wel de plaats waar uw beleid voor gegevensdragers zou moeten beginnen.