Strømnettet er slagmarken

Hvordan en angriper slår av strømmen, og hva som faktisk skal til for å stoppe angrepet

Joakim Nordheim Larssen

Hvorfor strømnettet er et sårbart mål

Vi begynner med arkitekturen, for sårbarhetene følger direkte av den.

Et strømnett er bygd opp i flere lag: kraftverk, høyspentlinjer for overføring og lokal distribusjon. Hvert lag er avhengig av operasjonell teknologi, eller OT, for å fungere. Styringen domineres av to typer systemer: SCADA, som gir operatørene sentralisert overvåking og overordnet kontroll over anlegg spredt over tusenvis av engelske mil, og distribuerte kontrollsystemer og programmerbare logiske styringer, som gjør det lokale arbeidet med å regulere en generator eller en transformator.

SCADA er den delen som gjør strømnettet mulig å angripe på avstand. En hovedstasjon i et kontrollsenter henter jevnlig data fra fjernterminaler på transformatorstasjoner, og operatørene bruker forbindelsen til å åpne og lukke effektbrytere, justere spenninger og håndtere feil over et enormt område. Hele poenget er å kunne nå anleggene på avstand. Der ligger også hele risikoen.

Disse systemene ble ikke bygd med cybersikkerhet som hovedhensyn. De ble bygd for tilgjengelighet og sikker drift. Det er ikke bare å ta en transformatorstasjon ut av drift for å installere sikkerhetsoppdateringer. Mange enheter har begrenset regnekraft og kan derfor ikke kjøre moderne sikkerhetsagenter. Protokollene de bruker, DNP3, Modbus, IEC 61850 og IEC 60870-5-104, mangler ofte innebygd kryptering eller autentisering. Det betyr at en kommando som kommer over nettverket, blir stolt på ganske enkelt fordi den kom frem.

I flere tiår hadde dette liten betydning, fordi OT-nettverkene var isolerte, fysisk frakoblet andre nettverk og basert på proprietære løsninger. Den tiden er forbi. Kraftselskapene har koblet sammen IT og OT for fjernadministrasjon og datadeling, og kontrollsystemene kjører nå på kommersielle operativsystemer og standard Ethernet. Det gir reelle fordeler. Konsekvensene er like reelle: vanlige IT-problemer som programvare uten sikkerhetsoppdateringer, svak autentisering og skadevare når nå frem til maskinene som styrer strømmen.

Resultatet er et nettverk der inngangsdøren er et IT-miljø fullt av e-post, mens bakrommet består av eldre kontrollenheter som lydig utfører enhver kommando de mottar. Kobler du de to sammen uten nødvendig omtanke, har du laget en vei fra en phishing-e-post til en effektbryter.

Gjennom angrepskjeden

Den mest oversiktlige måten å forstå et angrep mot strømnettet på er angrepskjeden, eller «cyber kill chain»: rekognosering, klargjøring av angrepsverktøy, levering, utnyttelse, installasjon, kommando og kontroll, og til slutt gjennomføring av angrepsmålet. Jeg går gjennom den med Industroyer2 som eksempel, fordi det er trusselen jeg modellerte, og fordi den er reell.

Industroyer2 er etterfølgeren til Industroyer fra 2016, skadevaren bak et strømbrudd i Ukraina. Den angriper industrielle kontrollsystemer ved å misbruke protokollen IEC 60870-5-104 til å manipulere effektbrytere direkte og utløse ukontrollerte strømbrudd. Trusselaktøren som passer denne profilen, er en statsstøttet gruppe med solid kompetanse på industrielle kontrollsystemer, ICS. Originalen fra 2016 knyttes til Sandworm, en enhet i Russlands militære etterretning [1][2].

Rekognosering. Angriperen samler informasjon fra åpne kilder om målets infrastruktur: hvilke kraftselskaper, hvilke leverandører, hvilke ansatte og hvilke innganger for fjerntilgang. Mottiltaket er å begrense hva som eksponeres, og se etter skanningen som går forut for et innbrudd. Du kan ikke hindre noen i å lese offentlig tilgjengelige rapporter, men du kan la være å publisere nettverksdiagrammer og oppdage når noen kartlegger nettverkets yttergrense.

Klargjøring og levering. Angrepskoden tilpasses ICS-protokoller og leveres deretter til målet. To pålitelige leveringsveier er målrettede phishing-e-poster med ondsinnede vedlegg og misbruk av en leverandørs tilgang. Det er her menneskene og leverandørkjeden blir angrepsflaten. Jeg kommer tilbake til begge.

Utnyttelse og installasjon. Angriperen utnytter en VPN uten sikkerhetsoppdateringer eller svake innloggingsopplysninger for å komme inn, og sikrer seg deretter varig tilgang gjennom en bakdør. Mottiltakene er de kjedelige grunnprinsippene: systematisk håndtering av sikkerhetsoppdateringer, flerfaktorautentisering, nettverkssegmentering og deteksjon på endepunktene. At det er kjedelig, betyr ikke at det er valgfritt. Innbruddet hos Colonial Pipeline i 2021 begynte med én VPN-konto som hadde et gjenbrukt passord og manglet MFA [3].

Kommando og kontroll, deretter gjennomføring av angrepsmålet. Skadevaren kommuniserer med dem som styrer den, ofte over krypterte kanaler, og gjør deretter det den ble bygd for: Den sender kommandoene til effektbryterne. Den siste forsvarslinjen på dette stadiet er sanntidsovervåking av kontrollnettverket og muligheten til å gå over til manuell drift, der operatørene styrer strømnettet for hånd når de automatiserte systemene ikke lenger er til å stole på.

Poenget med å kartlegge et angrep slik er at det viser at forsvaret består av mer enn én mur. Det er sju muligheter til å oppdage den samme inntrengeren. Overser du angriperen under leveringen, kan du fortsatt oppdage vedkommende under installasjonen. Overser du også det, kan overvåkingen varsle om C2-trafikken. Angriperen må lykkes i hvert ledd. Forsvareren trenger bare å lykkes én gang.

Angrepene i Ukraina var virkelige

Angrepskjeden over er ikke en abstraksjon fra en lærebok. Den beskriver angrep som faktisk har skjedd.

I desember 2015 kuttet angripere strømmen til omtrent 230 000 mennesker i Ukraina i én til seks timer. Det var det første offentlig bekreftede cyberangrepet som førte til et strømbrudd. De kom seg inn med skadevaren BlackEnergy og betjente deretter effektbrytere manuelt gjennom kaprede operatørarbeidsstasjoner. De slettet systemer med KillDisk for å forsinke gjenopprettingen og oversvømte kundesentrene med et tjenestenektangrep mot telefonlinjene, slik at kundene ikke kunne melde fra om strømbruddet. Angrepet ble knyttet til Sandworm [4].

Et år senere, i desember 2016, skjedde det igjen i den nordlige delen av Kyiv, denne gangen med Industroyer, også kalt CRASHOVERRIDE. Det var dette som var det avgjørende spranget. Angrepet i 2015 var en manuell kapring: mennesker som klikket seg gjennom stjålne økter. Industroyer var den første skadevaren som var spesialbygd for å manipulere strømnettets kontrollprotokoller på egen hånd, helt uten operatørenes programvare. Kapasiteten hadde utviklet seg fra å bryte seg inn og betjene kontrollene manuelt til et gjenbrukbart, automatisert våpen mot strømnettet [5].

Og i 2022, under fullskalainvasjonen, forsøkte Sandworm en tredje gang med Industroyer2. Angrepet ble oppdaget og avverget før det førte til strømbrudd [1].

Tre forsøk med stadig mer avanserte metoder, rettet mot sivil kraftinfrastruktur. Skadevaren fra 2016 ble analysert offentlig, og det var nettopp slik trusselen jeg studerte for Western Interconnection, ble en kjent og dokumentert kapasitet fremfor en antakelse om det verst tenkelige. Dette er det sentrale, ubehagelige faktumet: Verktøy for å angripe strømnettet finnes, de har blitt brukt, og når de først er brukt, blir de analysert og teknikkene spres.

Hvem som faktisk forsøker

Industroyer-familien er eksempelet på statlige angrep, og stater er de mest kapable motstanderne. Men strømnettet står overfor et bredere trusselbilde. De andre aktørene er viktige fordi de er flere og på noen måter vanskeligere å forutse.

Kriminelle grupper som bruker løsepengevirus, er den mest aktive trusselen. De er økonomisk motiverte og ser på kraftselskaper som mål som vil betale for å gjenopprette driften raskt. De ønsker vanligvis ikke et langvarig strømbrudd, for ødeleggelse betaler ingen løsepenger. Likevel forstyrrer angrepene driften. Colonial Pipeline er det tydeligste eksempelet: DarkSide-gruppen rammet Colonials IT- og faktureringssystemer, ikke driftssystemene som flytter drivstoff. Colonial stengte rørledningen som et føre-var-tiltak fordi selskapet ikke kunne fakturere. Den største drivstoffrørledningen i USA, som frakter rundt 45 % av forsyningene til østkysten, stanset i omtrent seks dager [3]. Løsepengevirus trenger ikke å nå kontrollenhetene for å sette strømnettet ut av drift. Det holder at operatørene ikke vil fortsette driften uten oversikt.

Hacktivister er mindre kapable, men mindre forutsigbare. De foretrekker den digitale inngangsdøren: DDoS, manipulering av nettsider, datalekkasjer og phishing for å sette noen i forlegenhet fremfor å kreve løsepenger. Historisk har de ikke forsøkt å utløse strømbrudd. I 2012 advarte NSA om at Anonymous en dag kunne bli i stand til å slå ut deler av strømnettet. Anonymous avviste ideen som meningsløs, siden det ikke tjente noe formål å slå av folks strøm [6]. Den egentlige bekymringen er eskalering og spredning: En hacktivist som får tak i lekket ICS-skadevare, eller bruker et botnett av nettilkoblede apparater med høyt effektforbruk til å skape svingninger i strømforbruket, kan gjøre reell skade med andres verktøy.

Terrorister og ekstremister har sterk vilje, men begrenset evne. De ønsker størst mulig forstyrrelse og lar seg ikke avskrekke av skade på sivile; det er nettopp hensikten. Så langt har cyberforsøkene deres strandet på manglende ferdigheter. Hackere med tilknytning til ISIS forsøkte å bryte seg inn hos amerikanske kraftselskaper uten å lykkes. En FBI-relatert vurdering fra denne perioden ble oppsummert som «sterk intensjon, lav kapasitet» [7]. Faren oppstår den dagen viljen møter evnen, enten gjennom en lekkasje eller fordi en statlig støttespiller gir verktøy til en stedfortreder for å skjule sin egen innblanding.

Den praktiske lærdommen på tvers av alle tre gruppene er at forsvarstiltakene overlapper. Segmentering, MFA, overvåking og ansatte som står bedre imot phishing, øker kostnaden for både løsepengegrupper, hacktivister og statlige aktører. Du bygger ikke et eget strømnett for hver motstander. Du bygger ett som er vanskelig å angripe for dem alle.

Det menneskelige forsvarslaget fortsetter å svikte

Alle angrepskjedene over har det samme første trekket som faktisk virker: Et menneske blir lurt. Sosial manipulering utnytter psykologi, ikke programvare, og er den mest pålitelige veien forbi tekniske sikkerhetstiltak fordi den omgår dem.

Tre teknikker dekker det meste. Phishing og målrettet phishing bruker en overbevisende melding, ofte forkledd som en henvendelse fra et tilsynsorgan som NERC eller det amerikanske energidepartementet, for å samle inn påloggingsopplysninger gjennom en falsk innloggingsportal. Den målrettede varianten bygger også på rekognosering, slik at e-posten viser til et virkelig prosjekt eller en faktisk kollega og virker ekte. Påskudd, eller «pretexting», bygger på en oppdiktet historie: En angriper utgir seg for å være en revisor eller en innleid leverandør som raskt trenger tilgang for å kontrollere regelverksetterlevelse, og utnytter respekten for autoriteter. Lokkemidler, eller «baiting», spiller på nysgjerrighet. Det klassiske eksempelet er en infisert minnepinne med en uimotståelig merkelapp, etterlatt et sted en ansatt vil finne den [8][9].

Forsvaret er konkret og målrettet opplæring. Lær operatørene i kontrollrommet hvordan et cyberangrep fremstår i et operatørgrensesnitt, HMI, sammenlignet med en vanlig utstyrsfeil. Gjennomfør phishing-simuleringer. Innfør en regel om at enhver forespørsel om påloggingsopplysninger eller tilgang skal bekreftes gjennom en uavhengig kanal, aldri ved å svare på meldingen som ba om det. Gjør det enkelt å melde fra uten å bli klandret, slik at den ansatte som klikket på lenken, sier fra med en gang i stedet for å skjule det.

Ingenting av dette fjerner risikoen. Mennesker vil fortsette å klikke. Det tiltakene gjør, er å redusere andelen angrep som lykkes, og korte ned tiden fra klikket til responsen. Det er ofte forskjellen mellom en avgrenset hendelse og et strømbrudd.

Leverandørkjeden er noen andres nettverk

Selv et godt sikret kraftselskap arver svakhetene til leverandørene sine. Strømnettet er avhengig av et lite antall leverandører av kritiske komponenter som store transformatorer, og av eksterne vedlikeholdsfirmaer med legitim tilgang til kontrollnettverkene.

Denne tilgangen er en angrepsvei. Et målrettet phishing-angrep mot en leverandør med en vedlikeholdsforbindelse kan gi en vei inn i kraftselskapet som selskapets eget ytre forsvar aldri oppdager, fordi trafikken kommer gjennom en betrodd inngang. SolarWinds-angrepet i 2021 er det klassiske eksempelet på prinsippet: Angripere la inn trojanere i signerte programvareoppdateringer, og rundt 18 000 organisasjoner lastet ned den forgiftede versjonen. Den videre, manuelle utnyttelsen rammet imidlertid et langt mindre utvalg [10]. Lærdommen ligger ikke i antallet. Den er at en betrodd oppdateringskanal også er en angrepskanal.

Risiko i leverandørkjeden handler ikke bare om cyberangrep. Kuldebølgen i Texas i 2021 viste hvor sårbare avhengighetene av komponenter og drivstoff er under press, da svikt i naturgassforsyningen utløste omfattende strømbrudd [11]. Forsvarstiltakene er leverandørrevisjoner, testing av komponenter før de tas inn i kritiske systemer, og håndtering av leverandørers fjerntilgang som den privilegerte risikoen den er: med mellomtjenere for tilgang og godkjenning for hver økt, fremfor permanente forbindelser. I tillegg trengs reservedeler til utstyr med lang leveringstid, som transformatorer, klare til bruk ved gjenoppretting.

Dybdeforsvar i praksis

Så til det konstruktive. Strømnettet kan ikke gjøres umulig å hacke. Målet er derfor forsvar i flere lag: nok uavhengige sikkerhetstiltak til at én svikt ikke blir en katastrofe. Tre tekniske lag bærer det meste av vekten.

Segmentering og brannmurer. Dette er den første og viktigste forsvarslinjen. OT-nettverket må isoleres fra virksomhetens IT-nettverk og internett ved hjelp av demilitariserte soner og brannmurer som bare slipper gjennom den konkrete trafikken som er nødvendig, som SCADA-forespørsler og svar eller trafikk fra en bestemt ingeniørarbeidsstasjon, og blokkerer alt annet. CISAs veiledning for ICS sier uttrykkelig at trafikken mellom ICS- og virksomhetsnettverk må kontrolleres strengt [12]. Mikrosegmentering inne i OT-miljøet går et skritt videre: Releer, fjernterminaler og bærbare vedlikeholdsmaskiner plasseres i egne soner. Det begrenser angriperens mulighet til å bevege seg videre i nettverket, selv etter at vedkommende har fått fotfeste. NERC CIP, de obligatoriske minstekravene for det amerikanske hovedkraftsystemet, krever definerte elektroniske sikkerhetsgrenser rundt kritiske digitale ressurser av nettopp denne grunnen [13]. God segmentering gjør «de brøt seg inn på en arbeidsstasjon» til en avgrenset hendelse i stedet for en hendelse som rammer hele strømnettet.

Deteksjon og forebygging av inntrenging. Når en angriper har passert den ytre sikkerhetsgrensen, må du kunne oppdage vedkommende. IDS-sensorer inne i OT-miljøets demilitariserte sone undersøker trafikken for kjente angrepssignaturer og avvik, som kommandoer som bryter med normale mønstre. Utfordringen er at vanlige deteksjonssystemer for IT ofte ikke engang kan tolke strømnettets protokoller. Det kreves derfor verktøy utviklet for ICS for å gjenkjenne for eksempel en sekvens av utkoblingskommandoer til effektbrytere som sendes utenfor vanlige driftsperioder [14]. I kritisk OT foretrekkes deteksjon som regel fremfor automatisk blokkering, fordi en falsk alarm som blokkerer en legitim kommando, i seg selv kan utløse et strømbrudd. Forebygging tas i bruk selektivt, for de tydeligste signaturene og i de minst kritiske nettverkssegmentene.

Sentralisert overvåking med SIEM. Enkeltvarsler er støy til de blir satt i sammenheng. Et SIEM-system samler logger fra brannmurer, IDS, operatørarbeidsstasjoner og VPN-gatewayer i én oversikt. Dermed kan sikkerhetsteamet koble en uvanlig innlogging på et HMI til en nettverksskanning og en uautorisert skriving til en programmerbar logisk styring, PLC, og se at alt skyldes ett og samme innbrudd [15]. Det er dette som gjør hendelseshåndtering mulig: Når noe går galt, kan analytikerne følge angriperens vei fra inngang til handling og fastslå skadeomfanget i stedet for å gjette.

Over disse lagene ligger standardene og kryptografien. NERC CIP setter det obligatoriske minimumsnivået. NSAs veiledning om dybdeforsvar bygger på samme logikk: segmentering, tilgang etter minste privilegiums prinsipp og kontinuerlig overvåking, behandlet som en helhet fremfor en sjekkliste [16]. Og der de eldre protokollene tillater det, tilfører IEC 62351-serien kryptering og gjensidig autentisering gjennom TLS og en infrastruktur for offentlige nøkler. Da blir en kommando i nettverket stolt på fordi den er kryptografisk bekreftet, ikke bare fordi den kom frem [17]. Det tar tid å ettermontere dette på utstyr som er flere tiår gammelt, men det lukker gapet som gjør et overtatt nettverk så farlig.

Teknologi er ikke nok

Verktøy svikter når disiplinen rundt dem glipper. Derfor er driftsrutinene like viktige som utstyret.

Systematisk håndtering av sikkerhetsoppdateringer er den lite glamorøse kjernen. Kraftselskaper bør ha oversikt over alt utstyr og alle programvareversjoner og oppdatere etter en fast plan. Oppdateringene må først testes i et laboratorium eller et vedlikeholdsvindu, fordi uplanlagt nedetid er uakseptabelt. Når en eldre enhet faktisk ikke kan oppdateres, må den få kompenserende sikkerhetstiltak: isolasjon bak strenge brannmurregler eller en virtuell sikkerhetsoppdatering i form av en IPS-signatur. Colonials VPN uten sikkerhetsoppdateringer er det advarende eksempelet [3].

Sikker konfigurasjon og tilgangskontroll betyr minste privilegium overalt: egne operatørkontoer, ingen delte innlogginger, MFA, atskilte roller slik at en operatør ikke kan gjøre endringer som krever ingeniørtilgang, utskiftede standardpassord, deaktiverte ubrukte porter og tjenester, og godkjente, tidsbegrensede økter via mellomtjenere i stedet for permanent fjerntilgang til OT-nettverket. Fysisk sikring hører også hjemme her. En inntrenger som kan koble en uautorisert enhet til en nettverkssvitsj på en transformatorstasjon, har omgått nettverksforsvaret fullstendig.

Hendelseshåndtering må planlegges og øves på, ikke improviseres. En målbevisst motstander vil før eller siden komme seg gjennom et av forsvarslagene. Planen trenger derfor tydelige roller, kriterier for når systemer skal isoleres eller kobles fysisk fra, og rutiner for ren gjenoppretting. Systemene må bygges opp igjen fra betrodde sikkerhetskopier fremfor bare å startes på nytt, slik at skjult skadevare ikke overlever. Bransjen øver på dette i stor skala gjennom NERCs GridEx-øvelse annethvert år. Der trener tusenvis av deltakere fra kraftselskaper, myndigheter og det amerikanske forsvarsdepartementet på å håndtere kombinerte cyberangrep og fysiske angrep [18]. Alle organisasjoner bør gjennomføre egne diskusjonsøvelser og tekniske øvelser, også på scenariet der SCADA er borte og operatørene må styre strømnettet for hånd.

Muligheten til å gå over til manuell drift er den stillferdige bærebjelken i hele planen. Grunnen til at angrepene i Ukraina førte til strømbrudd som varte i timer fremfor dager, er at operatørene kunne gå tilbake til manuell styring. Strømnettets analoge grunnstruktur er det siste og mest pålitelige forsvaret. Det er en underlig ting å si om en cyberstrategi, men det er også sant.

Oppdragsevne gjør strømnettet til et nasjonalt sikkerhetsspørsmål

Grunnen til å investere i alt dette handler om mer enn å holde lysene på. Strømnettet er også fundamentet som landets forsvar er avhengig av.

Det amerikanske forsvarsdepartementet er svært avhengig av kommersiell strømforsyning for funksjoner som er avgjørende for oppdragene. Derfor er cybersikkerhet i strømnettet en nasjonal sikkerhetsprioritet, og derfor er «mission assurance», arbeidet med å holde kritiske oppdrag i gang under angrep, relevant for strømnettet. Militærets delvise svar er lokal motstandsdyktighet: Baser installerer egne generatorer og mikronett som kan koble seg fra hovednettet og forsyne kritiske funksjoner gjennom et regionalt strømbrudd. Men det virker bare en viss tid. Et langvarig strømbrudd over et stort område tømmer de lokale reservene og svekker den sivile infrastrukturen rundt basen, som vannforsyning og transport, som personellet også er avhengig av [19].

Arbeidet med å sikre oppdragsevnen kan derfor ikke stoppe ved gjerdet. Det krever tett koordinering med kraftselskapene gjennom informasjonsdeling via E-ISAC, felles øvelser og samordning av forsvarsbehovene med NERC CIP-rammeverket som allerede regulerer hovedkraftsystemet. Strømnettets sikkerhet er et felles ansvar for myndighetene og en privat sektor som eier størstedelen av anleggene. Ingen av partene kan løse det alene.

Et realistisk forsvar av strømnettet

Jeg tror ikke strømnettet kan gjøres usårbart, og jeg tror ikke det hjelper å late som noe annet. Den ærlige vurderingen er den dokumentasjonen støtter: Angrepene er reelle, verktøyene finnes og har blitt brukt i Ukraina tre ganger, og trusselbildet strekker seg fra stater til enkeltstående ekstremister. Det er denne verdenen Western Interconnection opererer i.

Men avstanden mellom «sårbart» og «fortapt» er stor, og den fylles av arbeid vi allerede vet hvordan vi skal gjøre. Segmenter nettverkene slik at ett innbrudd ikke rammer alt. Overvåk OT-trafikken for kommandoer som ikke hører hjemme der. Oppdater det du kan, og isoler det du ikke kan oppdatere. Gjør menneskene bedre rustet, for det er hos dem angrepskjeden begynner. Øv på responsen, og behold evnen til å styre strømnettet manuelt når det digitale laget svikter. Ingen enkelttiltak løser alt. Samlet utgjør de forskjellen mellom en avgrenset hendelse og et regionalt strømbrudd.

Angriperen må lykkes i hvert ledd av angrepskjeden. Forsvareren trenger bare å lykkes i ett. Dybdeforsvar er ganske enkelt disiplinen som sikrer at det alltid finnes et neste ledd der forsvareren kan vinne. Strømnettet er slagmarken nå, enten vi liker det eller ikke. Arbeidet består i å gjøre det til et terreng som gir fordelen til dem som holder lysene på.