Innhold

6 Trusler og angrepsscenarioer
6.1 Ressursklassifisering
6.2 Trusler
6.3 Historiske cyberangrep og mulige scenarioer

6 Trusler og angrepsscenarioer

Dette kapittelet gir en beskrivelse av mulige typer av trusler og angrep som kan ramme industribedrifter i Norge, og som historisk sett allerede har rammet bedrifter globalt.

Kapittelet er delt opp i tre deler. Den første delen viser hvordan virksomhetens forskjellige ressurser kan klassifiseres i en oversiktlig struktur. Dette gir en god oversikt over hva som bør beskyttes med hensyn til mulige cyberangrep. Del to beskriver forskjellige typer av trusler og hvilken type ressurs disse truslene potensielt kan ramme. Den tredje delen gir en oversikt over historiske cybersikkerhetshendelser og eksempler på scenarioer av cyberangrep.

All informasjon i dette kapittelet er hentet fra rapportene Good Practices for Security of Internet of Things in the context of Smart Manufacturing (2018) og Baseline Security Recommendations for IoT (2017). Begge er publisert av ENISA (the European Union Agency for Network and Information Security), et senter for ekspertise innen nettverk- og informasjonssikkerhet for EU, medlemslandene, den private sektor og Europas innbyggere.

6.1 Ressursklassifisering

For å kunne fokusere på detaljene innen sikkerhet for IoT i Industri 4.0 (i ENISAs rapporter referert til som Industri 4.0 /Smart Manufacturing), som er store og komplekse systemer, er det vesentlig å starte med en identifisering av og inndeling i bedriftens relevante ressurser.

Figur 1: Ressursklassifisering i Industri 4.0.Figuren er hentet fra ENISAs Good Practices for Security of Internet of Things in the context of Smart Manufacturing (2018). Klikk på bildet for å laste ned høyoppløselig versjon.

Her gir vi en oversikt over hovedgrupperingene av ressursene og hvilke av disse som trenger å beskyttes. Hvordan ressurser i Industri 4.0 klassifiseres i hovedgrupper illustreres i Figur 1 og beskrives i Tabell 1.

De ulike nivåene som ressursgruppene er fordelt på i tabellen nedenfor er hentet fra en høynivå referansemodell som ENISA beskriver i rapporten sin fra 2018. Denne deler inn Industri 4.0-miljøer i seks nivåer, hvor det laveste nivået (nivå 0) er tilvirkningsprosesser, etterfulgt av fem nivåer med enheter, systemer og tjenester. Nivå 1-2 representerer OT-miljøet (Operational Technology), Nivå 3 er et mellomnivå mellom OT og IT (Information Technology), Nivå 4 representerer IT-systemene i virksomheten og det høyeste nivået, Nivå 5, er et spesifikt Industri 4.0-nivå hvor eksterne tjenester typisk brukes. Merk at det på de laveste nivåene beskrives et utdrag som ikke er fullstendig. For eksempel er ikke alle sensortyper og nettverksprotokoller listet, kun noen illustrative eksempler.

Tabell 1: Beskrivelse av nøkkelressurser for Industri 4.0

Ressursgruppe	Ressurser	Beskrivelse
IoT (tingenes internett) sluttenheter Nivå 1	Sensorer	Disse komponenter detekterer og/eller måler hendelser i systemet og sender informasjon som trigger elektroniske signaler til prosessering. Sensorer har mange ulike hensikter, som å måle temperatur, bevegelse, vibrasjon, osv.
Safety Instrumented systems (SIS)	Disse systemene består av sensorer, logiske solvers, og sluttkontrollelementer (aktuatorer) som har som mål å drifte systemet i sikkerhetsmodus ved et registrert innbrudd i IT- og OT-miljøet.
Aktuatorer	Disse enheter samhandler med omverdenoen ved å bevege eller kontrollere en mekanisme eller et system. Dette ved å omsette energi (f.eks. elektrisk, hydraulisk eller pneumatisk) til bevegelse.
IKT Nivå 2	PLS-er	Disse spesialiserte industridatamaskinene brukes til å automatisere kontrollfunksjoner i et industrielt nettverk. De er typisk utrustet med tilleggsmoduler som input-/output-moduler for å koble til sensorer og aktuatorer.
Remote Terminal Units (RTU-er)	Disse enhetene brukes vanligvis i understasjoner eller sub-understasjoner i fjernstyringsanlegg. Deres mål, i likhet med PLS, er å overvåke feltparametere og sende data til sentralstasjonen.
Distribuert kontrollsystem (DCS)	Et datastyrt styringssystem for en prosess eller et anlegg, hvor autonome kontrollsystemer er fordelt over hele systemet. Dette er, i motsetning til systemer som bruker sentraliserte kontrollsystemer, lokalisert ved et sentralt kontrollrom eller i en sentral datamaskin.
Supervisory Control and Data Acquisition (SCADA)	En kontrollsystemarkitektur som brukes til å visualisere, overvåke, samle inn data fra, og styre industrielle prosesser og infrastruktur. Slike arbeids-stasjoner bruker vanligvis et Windows operativsystem.
Menneske-maskin grensesnitt	Et kontrollpanel eller et brukergrensesnitt for overvåking og styring av PLS-er, RTU-er og andre elektroniske enheter.
IKT kommunikasjons-nettverk og -komponenter Nivå 1-3	Rutere	En enhet som videresender datapakker mellom forskjellige datanettverk i industrielle miljøer og IoT-økosystemer.
IoT Gateways/-er	Nettverksnoder som brukes som grensesnitt, med et nettverk fra et IoT-miljø som benytter forskjellige protokoller. Nettverksnodene kan inneholde protokolloversettere, feilisolatorer osv., for å tilrettelegge systeminteroperabilitet.
Switcher	En nettverkskomponent som filtrerer og videresender pakker i det lokale nettverket.
Trådløst tilgangspunkt	Komponenter som tilrettelegger for trådløse enheter å koble seg til et kablet nettverk ved bruk av Wi-Fi, eller relaterte standarder.
Brannmur	Nettverkssikkerhetsenhet/-system som kontrollerer trafikken mellom nettverk eller mellom en vert og et nettverk, basert på forhåndsbestemte regler.
Nettverk	Et system av samhandlende noder i et IoT-økosystem som utveksler data og informasjon med hverandre, via en data-lenke. Det finnes forskjellige typer nettverk avhengig av deres dekning, inkludert f.eks. (W)LAN, (W)PANs, PANs og (W)WANs.
Protokoller	De definerer de regler som bestemmer hvordan to eller flere IoT-enheter kommuniserer over en gitt kanal. Det finnes mange kommunikasjonsprotokoller, som enten kan være trådløse eller kablet.
Kraftforsyning	Gir elektrisk strøm til en IoT-enhet og dennes interne komponenter. Kraftforsyningen kan være ekstern og tilkoblet eller et batteri integrert i selve enheten.
Informasjon Alle nivåer	Drifts- og produksjonsdata	Dette inkluderer informasjon om IoT-systemets drifts- og produksjonsdata, for eksempel sensordata, MES- og SCADA-data, osv.
Enhets-informasjon	Dette inkluderer informasjon som modell, type, konfigurasjon, firmware-versjon, status, IP-adresse, fysisk beliggenhet, osv. Varebeholdningen inneholder denne informasjonen om alle systemenhetene.
Brukerinformasjon	Dette inkluderer informasjon som navn, rolle, tillatelser, osv.
Beslutningstaking algoritmer Nivå 2-5	Kunstig intelligens (AI) og Maskinlæring (ML)	Disse begrepene beskriver maskinens (f.eks. datamaskin, robot osv.) evne til å utføre oppgaver som er typiske for intelligente vesener. I Smart Produksjon, hvor enorme datamengder blir samlet inn fra industrielle prosesser, vil forskjellige ML og AI-algoritmer bruke dette til analyser.
Skytjenester (Cloud computing) Nivå 3-5	Disse tjenestene gir rask universell nettverkstilgang til et delt sett med ressurser som nettverk, servere og applikasjoner med minimalt krav til ledelsesinnsats og interaksjon mellom tjenesteleverandørene.
Big data analyse Nivå 3-5	Innen Industri 4.0 brukes dette begrepet om prosessen med å undersøke store mengder av forskjellige datasett, som er generert i sanntid av smarte sensorer, enheter, logg- video- og lydfiler. Disse dataene er opprettet på alle automatiseringsnivåer inkludert produksjonsanlegg, transaksjonsapplikasjoner, osv. Big Data analyseres for å avdekke skjulte mønstre, ukjente korrelasjoner, trender og annen nyttig informasjon som kan hjelpe bedriften med å ta bedre beslutninger.
Avansert robotikk Nivå 0	Smart robotikk, automatiserte trucker (Automated guided vehicles -AGV)	Sofistikerte industriroboter som er designet for å utføre komplekse oppgaver med smarte evner, for eksempel evnen til å lære av feil og forbedre ytelsen.
Sanntidsovervåking- og sikkerhetsverktøy Nivå 3-5	SIEM (Security Information and Event Management)-plattform	Disse applikasjonene brukes til å samle inn og sammensette sikkerhetsdata fra forskjellige systemkomponenter og gjengi dem i form av meningsfull informasjon via et enkelt grensesnitt.
IDS- (Intrusion Detection Systems) og IPS- (Intrusion Prevention Systems) tjenester	Systemer som muliggjør en automatisk overvåking og analyse av hendelsene som oppstår i et datasystem eller nettverk, og en automatisk identifikasjon av potensielle risikohendelser. I tillegg kan IPS utføre handlinger i et forsøk på å hindre identifiserte risikohendelser.
Programvare og lisenser Nivå 2-5	Program (kode)	Programmer som er skrevet for enheter i et IoT-økosystem, som skal oppnå spesifikke teknologiske mål, inkludert PLS-logikk, SCADA-applikasjoner, brukergrensesnitt-applikasjoner, industrirobotprogrammer, osv.
Operativsystem	Et system som administrerer og tildeler de forskjellige (maskinvare)ressursene i datamaskinen til andre programmer.
Mobil applikasjon	Programmer som kjøres på mobile enheter, for eksempel nettbrett og smarttelefoner, og som brukes til fjern-overvåking og -styring av en prosess (f.eks. mobile SCADA-klientapplikasjoner), utstyrsvedlikehold og til andre oppgaver (f.eks. lagerbeholdning).
Antivirus	En programvare som overvåker en datamaskin eller nettverk for å identifisere skadelig programvare, hindrer at den smitter enheter, samt rengjør infiserte enheter.
Firmware (fastvare)	En kategori programvare som er lagret i enhetenes skrivebeskyttet (read-only) minne og gir instruksjoner om hvordan enhetene skal fungere.
Servere og systemer Nivå 3-5	Historie-databaser (historians)	Programvaresystemer som samler inn data fra industrielle enheter og lagrer dem i spesialiserte databaser.
Applikasjons-servere	Datamaskiner som er vert for applikasjoner, f.eks. applikasjoner for arbeidsstasjoner.
Databaseservere	Servere som brukes til å arkivere hendelsesinformasjon fra sensorer, agenter og administrasjonsservere.
Organisatoriske driftssystemer (f.eks. ERP, CRM)	Disse systemene integrerer informasjon fra forskjellige deler av en organisasjon (dvs. produksjon, distribusjon, økonomi, menneskelige ressurser, osv.). De kobler også sammen organisasjonen med sine kunder og leverandører.
Driftssystemer for produksjon (f.eks. MES)	Systemer som automatiserer produksjonsstyring og prosess-automatisering ved hjelp av datanettet, og som kobler virksomheten og fabrikkgulvet sammen. Disse systemene brukes til å laste ned instruksjoner, til planlegging og til å laste opp informasjon om produksjonsresultater.
Mobile enheter Nivå 3	Nettbrett, smarttelefoner	Bærbare enheter - ofte med berøringsskjerm. De kjører mobilapplikasjoner som muliggjør en kombinasjon av ulike funksjonaliteter, f.eks. mobiltelefon, datamaskin, og digitalt kamera.
Personell Alle nivå	Operatører, vedlikehold personell, tredjeparter	Alle personer som har direkte eller virtuell tilgang til datanettverket. De kan skade datasystemet og kompromittere sikkerheten på en rekke måter, ved å bl.a. introdusere skadelig programvare (med vilje eller utilsiktet), eller bli mål for phishing. På den andre siden krever mennesker spesiell beskyttelse, ettersom deres personvern og personsikkerhet kan være i fare i tilfelle en risikohendelse.

Ressursgruppe

Ressurser

Beskrivelse

IoT (tingenes internett) sluttenheter
Nivå 1

Sensorer

Disse komponenter detekterer og/eller måler hendelser i systemet og sender informasjon som trigger elektroniske signaler til prosessering. Sensorer har mange ulike hensikter, som å måle temperatur, bevegelse, vibrasjon, osv.

Safety Instrumented systems (SIS)

Disse systemene består av sensorer, logiske solvers, og sluttkontrollelementer (aktuatorer) som har som mål å drifte systemet i sikkerhetsmodus ved et registrert innbrudd i IT- og OT-miljøet.

Aktuatorer

Disse enheter samhandler med omverdenoen ved å bevege eller kontrollere en mekanisme eller et system. Dette ved å omsette energi (f.eks. elektrisk, hydraulisk eller pneumatisk) til bevegelse.

IKT
Nivå 2

PLS-er

Disse spesialiserte industridatamaskinene brukes til å automatisere kontrollfunksjoner i et industrielt nettverk. De er typisk utrustet med tilleggsmoduler som input-/output-moduler for å koble til sensorer og aktuatorer.

Remote Terminal Units (RTU-er)

Disse enhetene brukes vanligvis i understasjoner eller sub-understasjoner i fjernstyringsanlegg. Deres mål, i likhet med PLS, er å overvåke feltparametere og sende data til sentralstasjonen.

Distribuert kontrollsystem (DCS)

Et datastyrt styringssystem for en prosess eller et anlegg, hvor autonome kontrollsystemer er fordelt over hele systemet. Dette er, i motsetning til systemer som bruker sentraliserte kontrollsystemer, lokalisert ved et sentralt kontrollrom eller i en sentral datamaskin.

Supervisory Control and Data Acquisition (SCADA)

En kontrollsystemarkitektur som brukes til å visualisere, overvåke, samle inn data fra, og styre industrielle prosesser og infrastruktur. Slike arbeids-stasjoner bruker vanligvis et Windows operativsystem.

Menneske-maskin grensesnitt

Et kontrollpanel eller et brukergrensesnitt for overvåking og styring av PLS-er, RTU-er og andre elektroniske enheter.

IKT kommunikasjons-nettverk og -komponenter
Nivå 1-3

Rutere

En enhet som videresender datapakker mellom forskjellige datanettverk i industrielle miljøer og IoT-økosystemer.

IoT Gateways/-er

Nettverksnoder som brukes som grensesnitt, med et nettverk fra et IoT-miljø som benytter forskjellige protokoller. Nettverksnodene kan inneholde protokolloversettere, feilisolatorer osv., for å tilrettelegge systeminteroperabilitet.

Switcher

En nettverkskomponent som filtrerer og videresender pakker i det lokale nettverket.

Trådløst tilgangspunkt

Komponenter som tilrettelegger for trådløse enheter å koble seg til et kablet nettverk ved bruk av Wi-Fi, eller relaterte standarder.

Brannmur

Nettverkssikkerhetsenhet/-system som kontrollerer trafikken mellom nettverk eller mellom en vert og et nettverk, basert på forhåndsbestemte regler.

Nettverk

Et system av samhandlende noder i et IoT-økosystem som utveksler data og informasjon med hverandre, via en data-lenke. Det finnes forskjellige typer nettverk avhengig av deres dekning, inkludert f.eks. (W)LAN, (W)PANs, PANs og (W)WANs.

Protokoller

De definerer de regler som bestemmer hvordan to eller flere IoT-enheter kommuniserer over en gitt kanal. Det finnes mange kommunikasjonsprotokoller, som enten kan være trådløse eller kablet.

Kraftforsyning

Gir elektrisk strøm til en IoT-enhet og dennes interne komponenter. Kraftforsyningen kan være ekstern og tilkoblet eller et batteri integrert i selve enheten.

Informasjon

Alle nivåer

Drifts- og produksjonsdata

Dette inkluderer informasjon om IoT-systemets drifts- og produksjonsdata, for eksempel sensordata, MES- og SCADA-data, osv.

Enhets-informasjon

Dette inkluderer informasjon som modell, type, konfigurasjon, firmware-versjon, status, IP-adresse, fysisk beliggenhet, osv. Varebeholdningen inneholder denne informasjonen om alle systemenhetene.

Brukerinformasjon

Dette inkluderer informasjon som navn, rolle, tillatelser, osv.

Beslutningstaking

algoritmer

Nivå 2-5

Kunstig intelligens (AI) og

Maskinlæring (ML)

Disse begrepene beskriver maskinens (f.eks. datamaskin, robot osv.) evne til å utføre oppgaver som er typiske for intelligente vesener. I Smart Produksjon, hvor enorme datamengder blir samlet inn fra industrielle prosesser, vil forskjellige ML og AI-algoritmer bruke dette til analyser.

Skytjenester (Cloud computing)

Nivå 3-5

Disse tjenestene gir rask universell nettverkstilgang til et delt sett med ressurser som nettverk, servere og applikasjoner med minimalt krav til ledelsesinnsats og interaksjon mellom tjenesteleverandørene.

Big data analyse

Nivå 3-5

Innen Industri 4.0 brukes dette begrepet om prosessen med å undersøke store mengder av forskjellige datasett, som er generert i sanntid av smarte sensorer, enheter, logg- video- og lydfiler. Disse dataene er opprettet på alle automatiseringsnivåer inkludert produksjonsanlegg, transaksjonsapplikasjoner, osv. Big Data analyseres for å avdekke skjulte mønstre, ukjente korrelasjoner, trender og annen nyttig informasjon som kan hjelpe bedriften med å ta bedre beslutninger.

Avansert robotikk

Nivå 0

Smart robotikk, automatiserte trucker (Automated guided vehicles -AGV)

Sofistikerte industriroboter som er designet for å utføre komplekse oppgaver med smarte evner, for eksempel evnen til å lære av feil og forbedre ytelsen.

Sanntidsovervåking- og

sikkerhetsverktøy

Nivå 3-5

SIEM (Security Information and Event Management)-plattform

Disse applikasjonene brukes til å samle inn og sammensette sikkerhetsdata fra forskjellige systemkomponenter og gjengi dem i form av meningsfull informasjon via et enkelt grensesnitt.

IDS- (Intrusion Detection Systems) og IPS- (Intrusion Prevention Systems) tjenester

Systemer som muliggjør en automatisk overvåking og analyse av hendelsene som oppstår i et datasystem eller nettverk, og en automatisk identifikasjon av potensielle risikohendelser. I tillegg kan IPS utføre handlinger i et forsøk på å hindre identifiserte risikohendelser.

Programvare og

lisenser

Nivå 2-5

Program (kode)

Programmer som er skrevet for enheter i et IoT-økosystem, som skal oppnå spesifikke teknologiske mål, inkludert PLS-logikk, SCADA-applikasjoner, brukergrensesnitt-applikasjoner, industrirobotprogrammer, osv.

Operativsystem

Et system som administrerer og tildeler de forskjellige (maskinvare)ressursene i datamaskinen til andre programmer.

Mobil applikasjon

Programmer som kjøres på mobile enheter, for eksempel nettbrett og smarttelefoner, og som brukes til fjern-overvåking og -styring av en prosess (f.eks. mobile SCADA-klientapplikasjoner), utstyrsvedlikehold og til andre oppgaver (f.eks. lagerbeholdning).

Antivirus

En programvare som overvåker en datamaskin eller nettverk for å identifisere skadelig programvare, hindrer at den smitter enheter, samt rengjør infiserte enheter.

Firmware (fastvare)

En kategori programvare som er lagret i enhetenes skrivebeskyttet (read-only) minne og gir instruksjoner om hvordan enhetene skal fungere.

Servere og

systemer

Nivå 3-5

Historie-databaser (historians)

Programvaresystemer som samler inn data fra industrielle enheter og lagrer dem i spesialiserte databaser.

Applikasjons-servere

Datamaskiner som er vert for applikasjoner, f.eks. applikasjoner for arbeidsstasjoner.

Databaseservere

Servere som brukes til å arkivere hendelsesinformasjon fra sensorer, agenter og administrasjonsservere.

Organisatoriske driftssystemer (f.eks. ERP, CRM)

Disse systemene integrerer informasjon fra forskjellige deler av en organisasjon (dvs. produksjon, distribusjon, økonomi, menneskelige ressurser, osv.). De kobler også sammen organisasjonen med sine kunder og leverandører.

Driftssystemer for produksjon (f.eks. MES)

Systemer som automatiserer produksjonsstyring og prosess-automatisering ved hjelp av datanettet, og som kobler virksomheten og fabrikkgulvet sammen. Disse systemene brukes til å laste ned instruksjoner, til planlegging og til å laste opp informasjon om produksjonsresultater.

Mobile enheter

Nivå 3

Nettbrett, smarttelefoner

Bærbare enheter - ofte med berøringsskjerm. De kjører mobilapplikasjoner som muliggjør en kombinasjon av ulike funksjonaliteter, f.eks. mobiltelefon, datamaskin, og digitalt kamera.

Personell

Alle nivå

Operatører, vedlikehold personell, tredjeparter

Alle personer som har direkte eller virtuell tilgang til datanettverket. De kan skade datasystemet og kompromittere sikkerheten på en rekke måter, ved å bl.a. introdusere skadelig programvare (med vilje eller utilsiktet), eller bli mål for phishing. På den andre siden krever mennesker spesiell beskyttelse, ettersom deres personvern og personsikkerhet kan være i fare i tilfelle en risikohendelse.

6.2 Trusler

Industri 4.0-miljøer står overfor en rekke sikkerhetsutfordringer forårsaket av flere forskjellige faktorer, og en må være forberedt på å være nødt til å håndtere cybersikkerhetshendelser.

Figur 2: Trusseltaksonomi for Industri 4.0. Figuren er hentet fra ENISAs "Good Practices for Security of Internet of Things in the context of Smart Manufacturing" (2018). Klikk på bildet for å laste ned høyoppløselig versjon.

I tillegg til trusler knyttet til IoT-teknologi, er Industri 4.0 også utsatt for andre trusler, typisk knyttet til OT (Operational Techonology) og IT (Information Technology).

I denne delen presenteres en oversikt over forskjellige typer trusler som bedriften kan stå overfor, delt opp i forskjellige kategorier. Disse truslene illustreres i Figur 2 og beskrives i Tabell 2.

Tabell 2: Beskrivelse av forskjellige typer trusler fordelt i kategorier

Kategori	Trussel	Beskrivelse	Påvirket ressurs
Kriminell aktivitet	DoS (tjenestenekt-angrep)	Et tjenestenektangrep kan være toveis-rettet: Det kan være rettet mot et IoT-økosystem og forårsake utilgjengelighet i systemet og produksjons-forstyrrelser på bakgrunn av et enormt antall forespørsler sendt til systemet. Et eventuelt angrep kan også skje ved utnyttelse av et stort antall IoT-enheter i et industrielt miljø, og dermed skape en “hær” av IoT botnett som plattform for å angripe øvrige systemer.	IoT-enheter ICS ICS kommunikasjons-nettverk og komponenter Informasjon Skytjenester Mobile enheter Servere og systemer Programvare
	Malware (skadevare)	Malware er forkortelse av “malicious software”. Det er en samlebetegnelse for dataprogrammer designet for å infiltrere og skade datamaskiner uten at brukerne samtykker. “Malware” er det generelle uttrykket som dekker forskjellige typer trusler mot datamaskinsikkerheten, f.eks. virus, spyware, ormer, trojanere, rootkits og så videre.	IoT-enheter ICS Servere og systemer Sanntidsovervåkning og sikkerhetsverktøy Informasjon Skytjenester Programvare
	Forfalskning av ondsinnede (malicious) enheter	Denne trusselen er vanskelig å oppdage, ettersom ondsinnede (malicious) enheter ikke enkelt skilles fra en upåvirket enhet. Disse enhetene har typisk en bakvei som kan bli brukt til å angripe andre IKT-systemer i miljøet.	- IoT-enheter - Andre IoT-økosystem-enheter - Infrastruktur
	Exploit kit	Kode som er designet for å utnytte sårbarheter for å få tilgang til et system. Denne trusselen er vanskelig å oppdage og i IoT-miljø har den en høy til kritisk alvorlighetsgrad, avhengig av hvilke enheter som blir berørt.	- IoT-enheter - Andre IoT-økosystemenheter - Infrastruktur
	Personvernangrep	Denne trusselen påvirker både brukeren og eksponerer nettverkets elementer for uautorisert personale.	- IoT-enheter - Andre IoT-økosystemenheter - Plattform og backend - Informasjon
	Endring av hardware og software	Trussel om uautorisert endring av en angriper i programvarer, applikasjoner el. i et OT-system. Om et slikt angrep skulle treffe et industrielt IoT-system kan dette omfatte manipulering av industrielle roboter, fjernkontroller som undertrykker status og modifisering av innstillinger i en kontrollenhet.	- IoT-enheter - ICS - ICS kommunikasjons-nettverk og komponenter - Programvare - Sanntidsovervåkning og sikkerhetsverktøy - Avansert robotikk - Personell
	Endring av informasjon	Trussel om at en uautorisert angriper uønsket endrer på data og dermed kompromitterer f.eks. et produksjonsstøttesystem. Konsekvensene av dette kan føre til at det treffes beslutninger basert på et feilaktig/ forfalsket data-grunnlag.	- IoT-enheter - ICS - Informasjon - Skytjenester - Big data analyse - Sanntidsovervåkning og sikkerhetsverktøy - Servere og systemer - Programvare og lisenser
	Målrettet angrep	Trussel om et cyberangrep rettet mot en spesifikk organisasjon (eller person). Et slikt angrep har som formål å skade organisasjonen og muligvis ta kontroll over systemer. Andre trusler kan være skade på omdømme eller bedrifts-hemmeligheter på avveie. Dersom angrepet skjer på en produksjonsbedrift kan angriperen forsøke å stjele formler, oppskrifter osv. for å selge til konkurrenter. En angriper kan benytte seg av kunstig intelligens og skreddersy angrepet til en utvalgt person eller gruppe.	- IoT-enheter - ICS - Informasjon
	Misbruk av persondata	Denne type angrep har som formål å få tak i sensitiv informasjon lagret i skytjenester og bruke den på ulovlig måte. I en produksjonsbedrift kan det gjelde navn og roller på ansatte i selskapet. Produksjonsdata anses ikke å være underlagt personvern, men dersom man kan knytte enkelte brukere/personer til ytelse kan dette regnes som persondata.	- IoT-enheter - Informasjon - Skytjenester - Personell
	Brute force (rå kraft)	Ved gjentakende forsøk på å gjette riktig kode eller nøkkel for å få uautorisert tilgang på organisasjonsressurser som data, systemer, enheter osv. Dersom organisasjonen tillater ukompliserte eller standard passord, kan man være spesielt utsatt for slike typer angrep.	- IoT-enheter - ICS - ICS kommunikasjons-nettverk og komponenter - Sanntidsovervåkning og sikkerhetsverktøy
Tyvlytting/ avskjæring/ kapring	Mannen-i-midten angrep	Avlytting av meldinger mellom uvitende parter. Angriperen kan videresende, endre eller slette disse meldinger. Førstnevnte for å få eller spre sensitiv informasjon, og sistnevnte for å skape kommunikasjonsforstyrrelser.	- Informasjon - ICS kommunikasjons-nettverk og komponenter - IoT-enheter - Mobile enheter
	IoT kommunikasjons-protokollkapring	Angriperen tar kontroll over eksisterende kommunikasjon mellom to nettverkskomponenter som kan føre til avsløring av passord eller annen konfidensiell informasjon.	- Informasjon - ICS kommunikasjons-nettverk og komponenter - IoT-enheter - Beslutningsalgoritmer
	Avskjæring av informasjon	Uautorisert avskjæring (og noen ganger endring) av privat kommunikasjon, som telefonsamtaler, meldinger og e-post.	- Informasjon - Kommunikasjon - IoT-enheter
	Nettverksovervåkning	Avdekking av intern nettverks-informasjon som f.eks. tilkoblede enheter, protokoller, åpne porter, brukte tjenester, osv., for en angriper. Dette er informasjon en angriper kan bruke til å planlegge handlinger for å kompromittere systemdriften.	- Informasjon - ICS kommunikasjons-nettverk og komponenter - IoT-enheter
	Sessionskapring	Kapring av forbindelse ved å fremtre som en legitim bruker for å stjele, endre eller slette overført data.	- Informasjon - Kommunikasjon - IoT-enheter
	Informasjonssanking	Passiv sanking av intern informasjon om nettverket: tilkoblede enheter, protokoll, osv.	- Informasjon - Kommunikasjon - IoT-enheter
	Manipulering av meldinger	Denne typen angrep bruker gyldige data på en ondsinnet måte ved å sende det gjentatte ganger eller forsinke dataen for å manipulere eller krasje en enhet.	- Informasjon - Kommunikasjon - IoT-enheter
Fysiske angrep	Hærverk og tyveri	En angriper forårsaker fysisk hærverk eller tyveri med fysisk tilgang på organisasjonens eiendeler (f.eks. ved innbrudd eller av en misfornøyd ansatt). Behovet for erstatning kan blant annet føre til uplanlagt stopp i produksjon dersom man f.eks. må vente på levering av nye deler osv.	- ICS - ICS kommunikasjons-nettverk og komponenter - IoT-enheter - Avansert robotikk - Mobile enheter - Personell
Fysiske angrep	Sabotasje	Trusselen av tukling med en enhet av en sabotør som får fysisk adgang til OT-miljøet – enten en uvedkommen som kommer seg gjennom utilstrekkelige fysiske barrierer, eller en misfornøyd ansatt som av forskjellige grunner ønsker å skade bedriften. Angriperen kan dra fordel av feilaktige innstillinger i porter eller utnytte åpne porter. Angriperen kan også bruke tilgangen til å utføre uautoriserte operatør-handlinger.	- IoT-enheter - ICS - Mobile enheter
Utilsiktet skade (ved uhell)	Utilsiktet endring av data eller konfigurasjon i OT-systemet	Trusselen av avbrudd i drift grunnet utilsiktet endring i data og innstillinger i OT-systemet utført av en utilstrekkelig opplært ansatt. Selv med gode hensikter kan en uopplært ansatt, uvitende om konsekvensene, gjøre uriktige endringer i systemet, spesielt hvis personen har flere tilganger enn nødvendig.	- IoT-enheter - ICS - ICS kommunikasjons-nettverk og komponenter - Avansert robotikk - Informasjon - Skytjenester - Big data analyse - Programvare og lisenser - Servere og systemer - Personell
	Feilaktig bruk eller administrasjon av enheter og systemer	Trusselen av brudd i drift eller fysisk skade på en enhet som følge av utilsiktet misbruk av en IoT-/OT-enhet av en utilstrekkelig opplært ansatt. Selv med gode hensikter, kan en uopplært ansatt unnlate å bruke en enhet i samsvar med manualer og retningslinjer, og dermed påvirke driften av enheten eller forårsake fysisk skade på den.	- IoT-enheter - ICS - ICS kommunikasjons-nettverk og komponenter - Avansert robotikk - Informasjon - Personell
	Skade påført av tredjepart	Trusselen av skade på OT-eiendeler påført av en tredjepart. I Industri 4.0, kan tredjeparter ha tilgang til OT-systemet f.eks. for vedlikehold eller programvare-oppdateringer. Hvis tilgangen ikke er tilstrekkelig styrt, kan brudd hos tredjeparten også påvirke bedriften som kjøper tjenestene deres.	- IoT-enheter - ICS - ICS kommunikasjons-nettverk og komponenter - Avansert robotikk - Informasjon - Skytjenester
Feil og funksjonsfeil	Funksjonsfeil på sensor/ aktuator	Trusselen av svikt eller funksjonsfeil på IoT-enheter. Dette kan skje med jevne mellomrom, spesielt hvis vedlikehold og overholdelse av enhetens manualer og instruksjoner under et angrep ikke er sikret.	- IoT-enheter - ICS
	Funksjonsfeil av et kontrollsystem (PLS, RTU, DCS)	Trusselen av svikt eller funksjonsfeil av kontrollsystemer. Dette kan skje med jevne mellomrom, spesielt hvis vedlikehold og overholdelse av enhetens manualer og instruksjoner under et angrep ikke er sikret.	- IoT-enheter - ICS - ICS kommunikasjons-nettverk og komponenter
	Utnyttelse av programvaresårbarhet	Trusselen av at en angriper utnytter IoT-enheters sårbarheter i program-varen. Slike enheter har ofte sårbarheter som følger av mangel på oppdateringer, bruk av svake eller standard passord og uriktige innstillinger.	- IoT-enheter - Informasjon - Programvare og lisenser
	Funksjonsfeil eller avbrudd av tjenesteleverandør	Trusselen av avbrudd i drift som avhenger av tredjepartstjenester hvor disse tjenestene svikter eller har feil.	- IoT-enheter - ICS - ICS kommunikasjons-nettverk og komponenter - Informasjon - Skytjenester - Big data analyse
Brudd	Brudd på kommunikasjons-nettverk	Trusselen av utilgjengelighet av kommunikasjon relatert til kablet, trådløs og mobilt nettverk.	- ICS kommunikasjons-nettverk og komponenter
	Brudd på enheter	Trusselen av svikt på hardware-enheter.	- IoT-enheter
	Brudd på system	Trusselen av svikt på programvare eller applikasjoner.	- IoT-enheter - Plattform og backend - Andre IoT-økosystem-enheter
	Strømbrudd	Trusselen av svikt eller funksjonsfeil for kraftforsyning. Hvis ikke et nødaggregat kan forsyne kritisk utstyr med strøm kan det føre til uønsket stopp i produksjons-linjen.	- IoT-enheter - ICS - ICS kommunikasjons-nettverk og komponenter - Avansert robotikk
	Tap av støttetjenester (MES, ERP, CRM)	Trusselen av svikt eller funksjonsfeil på systemets støttefunksjoner mot produksjon eller logistikk, f.eks. MES, ERP og CRM.	- Servere og systemer
Juridisk	Brudd på regler og forskrifter/ brudd på lovgivning/ Misbruk av persondata	Trusselen av juridiske problemer og finansielle tap relatert til persondata, f.eks. relatert til bruk av IoT-enheter uten å følge lokale lover og regler. I EU gjelder GDPR.	- IoT-enheter - Informasjon
Juridisk	Manglende oppfyllelse av avtaleforskrift	Trusselen av brudd på avtaleforskrifter fra delprodusenter og programvare-leverandører som ikke oppfyller nødvendige sikkerhetskrav.	- IoT-enheter - ICS - Informasjon - Skytjenester - Programvare og lisenser
Katastrofer	Naturkatastrofe	Naturkatastrofer som oversvømmelse, lynnedslag, kraftig vind, regn og snø som kan føre til fysisk skade på OT-miljøkomponenter.	- IoT-enheter - ICS - ICS kommunikasjons-nettverk og komponenter - Avansert robotikk - Personell
Katastrofer	Miljøkatastrofe	Miljøkatastrofer som brann, forurensning, støv, korrosjon, og eksplosjoner som kan føre til fysisk skade på OT-miljøkomponenter.	- IoT-enheter - ICS - ICS kommunikasjons-nettverk og komponenter - Avansert robotikk - Personell

6.3 Historiske cyberangrep og mulige scenarioer

Denne delen starter med en oversikt over historiske hendelser hvor cyberangrep har rammet virksomheter og private brukere i perioden fra 2005 og frem til 2017.

Disse vises i Tabell 3. Deretter presenteres eksempler på forskjellige scenarioer for cyberangrep.

Tabell 3: Beskrivelse av historiske cyberangrep fra 2005-2017

Cyberangrep	Dato	Beskrivelse
*Triton malware-angrep på sikkerhets-instrumentert* system (SIS)	November, 2017	Hensikten med et SIS-system er å iverksette øyeblikkelige tiltak når en kritisk prosess avviker fra planen. For eksempel hvis trykket i en tank overstiger en vis terskel vil SIS aktivere ventiler for å senke trykket, og hindre en eksplosjon. Å forstyrre denne mekanismen kan få alvorlige konsekvenser, spesielt på et industrianlegg. Et slikt system ble angrepet i 2017 av Triton – en industrimålrettet og svært skadelig malware. Dette er det aller første cyberangrepet på et SIS-system som er registrert. Etter å ha fått tilgang til en arbeidsstasjon, infiserte angripere SIS-systemet med skadelig programvare. Ved å utnytte null-dagssårbarheten til systemet klarte Triton å installere seg selv på SIS, og gi angripere full kontroll. Likevel, når angriperne var inne, utløste de en nedstengingsprosedyre til en av prosessene som var styrt av SIS. Den skadelige programvaren ble oppdaget av de ansatte, som hindret en potensiell ødeleggelse av infrastruktur og stans av produksjonen.
*Det globale WannaCry ransomware* cyberangrepet**	Mai, 2017	Dette enorme globale cyberangrepet smittet over 230 000 datamaskiner i over 150 land og berørte produsenter, banker og regjeringer. Bedrifter som Renault og Honda ble tvunget til å stoppe produksjon. FedEx-kunder opplevde forsinkelser på leveranser, og Storbritannias nasjonale helsevesen ble tvunget til å kansellere tusenvis av avtaler. Dette er bare noen få av de bekreftede ofrene for denne ransomware-en, ettersom mange organisasjoner ikke innrømmet å ha blitt infisert. WannaCry, som dette viruset ble kalt, brukte to sofistikerte programmer for å utnytte svakheter i Microsoft Windows-systemer, spredte seg gjennom SMB-protokollen, og installerte seg selv på en sårbar maskin uten noen form for brukerhandling (altså uten at brukeren åpner et skadelig e-postvedlegg o.l.). Når viruset har penetrert en maskin, identifiserer det nye mål, infiserer dem, og gjentar prosessen om og om igjen for å spre infeksjonen videre inn i systemet. Heldigvis ble angrepet bremset ned av forskere som oppdaget en kill-switch – en stor feil i viruset som tillot dem å "slå av" sprednings-funksjonaliteten, og som ga eiere noen timer til å sikre sine enheter og forberede seg på en ny bølge av infiseringer. Å sikre disse enhetene kunne ha vært like enkelt som å installere sikkerhetsoppdateringer utgitt av Microsoft noen måneder tidligere.
*Den skadelige ransomware-en NotPetya*	Juni, 2017	Kun seks uker etter WannaCry, dukket det opp et nytt globalt cyberangrep – NotPetya. Opprinnelig var viruset rettet mot Ukraina – sentralbank, regjering, og infrastruktur. Ved å spre seg videre smittet NotPetya (også kjent som ExPetr eller Petya) over 200 000 datamaskiner over hele verden og berørte industribedrifter som Rosneft, Merck og Maersk. NotPetya trengte seg inn ved å utnytte en SMB-protokoll. Viruset forsøkte å stjele legitimasjonsdata og ta kontroll over andre maskiner i nettverket, inkludert de som var immune for denne type utnyttelse. Dette gjorde NotPetya spesielt farlig, da selv en sårbar enkeltenhet kunne sette et helt nettverk i fare. Deretter krypterte NotPetya filer på datamaskinen, og filene som var kryptert gikk tapt for alltid. Angriperens manglende evne til å samle inn løsepenger, førte til alvorlige spekulasjoner om at NotPetya ikke var et ransomware men et cybervåpen forkledd som et ransomware.
Industroyer – det andre cyberangrepet på det ukrainske kraftnettet	17. desember, 2017	Det andre cyberangrepet på det ukrainske kraftnettet kom nesten et år etter det første. Dette cyberangrepet delte mange likheter med forgjengeren, men metoden som ble brukt var annerledes. Denne gangen brukte angripere et nytt malware som var spesielt designet for å angripe strømnettet – Industroyer. Dette retter seg mot kommunikasjons-protokoller som veldig ofte er i bruk, og kan gi angriperne tilgang til industrielle kontrollsystemer. Som ved forrige angrep, på kraftnettet, aktiverte angripere effektbrytere som stoppet kraftforsyningen. Nok en gang forsinket de gjenopprettingen ved hjelp av ytterligere midler, for eksempel ved å slette viktige filer og gjøre at systemet ikke responderte. Resultatet var at en femtedel av innbyggerne i Ukrainas hovedstad Kiev var uten strøm i en time. Det mistenkes at dette angrepet var en storstilt test, siden angripere ikke utnyttet programvarens fulle potensial. Ettersom Industroyer kan tilpasses til å skade andre typer infrastruktur, som f.eks. vann eller gass, utgjør dette viruset en stor reell trussel for industrielle kontrollsystemer.
*Mirai - IoT botnett* angrep**	21. oktober, 2016	Botnettet laget av IoT-enheter som var infisert av Mirai har blitt assosiert med et av de største Distributed Denial of Service (DDoS, distribuert tjenestenektangrep) som noensinne har blitt utført. Det mest bemerkelsesverdige angrepet var på DNS-leverandøren, Dyn. Ved å angripe Dyn med opptil 100 000 infiserte enheter over hele verden, klarte angriperne å samtidig forstyrre og til og med koble bort flere populære tjenester, som Twitter, Netflix og Spotify. Denne malware-en klarte å infisere så mange enheter ved å bruke de mest populære passordene fra leverandører for å få tilgang til enhetene. Etter å ha "rekruttert" dem, forlot angriperne enhetene nesten urørt, og tilsynelatende upåvirket av malware-en. Med en hær til disposisjon var angriperne i stand til å gi ordren om å overvelde utvalgte destinasjoner, for eksempel Dyn, for å overskride deres båndbreddegrenser og slå ut deres tjeneste. Det mest bekymringsverdige angående Mirai er at kildekoden er offentlig tilgjengelig og gir hvem som helst muligheten til å bygge et botnett. Hver måned blir en ny og forbedret versjon av Mirai oppdaget. Selv om den originale Mirai ikke var spesifikt målrettet mot IoT-enheter, kan en slik versjon dukke opp når som helst.
BrickerBot - permanent Benektelse av tjeneste	November, 2016-desember 2017	De første som varslet om BrickerBot, et botnett-angrep likt Mirai, var ICS-CERT. Botnett viruset bruker brute force (rå kraft) i telenettet for å få tilgang til en enhet og deretter sette den i en tilstand av permanent tjenestenekt. Dermed tvinger det eieren til å installere enheten på nytt eller erstatte enheten helt. Ifølge sin skaper, har BrickerBot "muret inn" over 10 millioner enheter på omtrent et år.
Cyberangrep på et strøm- nett i Ukraina	23. desember, 2015	Dette cyberangrep på strømnettet i Ukraina var godt planlagt, nøye forberedt og plettfritt gjennomført. Angriperens mål var ikke bare å forstyrre kraftforsyningen, men også å utsette gjenopprettelsen av systemet så lenge som mulig. Det startet på samme måte som mange andre angrep, nemlig med phishing-eposter som inneholdt ondsinnede Microsoft Office-filer med en innebygd skadelig programvare. Denne programvaren, kjent som BlackEnergy, tillot angriperne å stjele privilegert legitimasjonsdata, utføre nettverksgjenkjenning, og hente ut fullstendig informasjon om det infiserte systemet. Etter seks måneder fjernstyrte angripere et SCADA-system, slo av flere strømbrytere og etterlot rundt 230 000 mennesker uten strøm. Samtidig tok de en rekke skritt for å forlenge skadeeffektene. Harddisken til hver eneste infisert datamaskin ble tømt. To avbruddsfrie kraftforsyninger (UPS) ble kompromittert, noe som resulterte i servicebrudd. I tillegg lastet de opp skadelig firmware på gateway-enheter, noe som gjorde ekstern gjenoppretting umulig. Disse sideangrepene lyktes i å forsinke gjenopprettelsen, og etterlot folk helt uten strøm i opptil 6 timer. Dette angrepet og hjelpeløsheten til å forsvare seg mot det, var en oppvekker for mange produsenter.
Cyberangrepet på Kemuri Water Company's vann-behandlingsanlegg	2015	Kemuri Water Company (KWC) er et alias for et anonymt firma som opplevde et sikkerhetsbrudd på vannbehandlingsanlegget i 2015. Dette firmaet brukte et utdatert operativsystem og lagret alle sine data på en "eldgammel" server (IBM AS / 400 fra 1988). Dermed utnyttet angriperne sårbarheten i et online betalingssystem og fikk tilgang til alle KWCs kundedata og deres ICS. Ved å manipulere PLSene, endret de mengden kjemikalier som ble brukt, noe som påvirket drikkevannets kvalitet. Heldigvis var denne endringen ufarlig, siden angripernes tilsynelatende hovedmål var å få tak i følsom kundedata og ikke å forstyrre vannbehandlings-prosessen. Hadde deres mål vært å skade vannbehandlings-prosessen, kunne dette ha skapt en alvorlig trussel for allmenheten.
Det tyske stålfabrikkangrepet	2014	Dette angrepet startet som mange andre, med en phishing-epost uheldigvis åpnet av en ansatt. Når angriperen var koblet til bedriftens nettverk, og ved å bruke en ukjent teknikk, beveget de seg gjennom anleggsnettet og tok kontroll over flere ICS-komponenter (inkludert PLS, brukergrensesnitt og varselsystemer). Deretter, ved å manipulere enkelte systemer og forårsake at de sviktet, forstyrret de den sikre nedstengingen av en masovn, noe som førte til alvorlige fysiske skader på systemet.
Havex/ Dragonfly – en trojaner for fjerntilkobling rettet mot SCADA- PLS- og DCS-systemer	2014	I 2014 ble det rapportert at en rekke europeiske og amerikanske kraftanlegg var infisert av en ny malware laget av gruppen kjent som Dragonfly. Skadevaren målrettet seg mot ICS-er og bestod at to trojanere for fjerntilkobling (Remote Access Trojans, RATs) som lot angriperne laste opp, laste ned og starte filer fra de infiserte datamaskinene. Hovedmålet var å samle data og informasjon om de infiserte systemene, med en vedvarende bakdørstilgang som enkelt kunne bli omgjort til noe mer ondsinnet. Det som er verd å merke seg med dette angrepet er hvordan skadevaren infiserte ofrene. Foruten phishing-eposter og watering hole-angrep, hacket de også noen ICS-leverandørers programvarenedlastninger og plantet RATs, og på den måten smittet noen av de mer forsiktige målene.
Shamoonviruset – Cyberangrep på det Saudi-Arabiske oljeselskapet (Saudi Aramco)	15. august, 2012	Dette angrepet startet da en IT-ansatt i Saudi Aramco åpnet en ondsinnet phishing-epost, noe som skapte en inngangsdør for hackerne. Så snart de var inne i systemet, la hackerne igjen et virus senere kjent som Shamoon. Umiddelbart begynte viruset å spre seg over hele Saudi Aramcos sitt IT-nettverk, og infiserte minst 35 000 datamaskiner. Omsider, på den nasjonale helligdagen i Saudi Arabia, begynte viruset å slette all data på de infiserte maskinene, og erstatte det med bilder av et brennende amerikansk flagg. Etter det, begynte viruset å skrive over maskinens Master Boot Record, noe som gjorde maskinen ubrukelig. Til tross for at angrepet bare påvirket IT-nettverket, og lot ICS være fullstendig operativ, hadde angrepet en betydelig innvirkning på forretningsdriften, som lasting av drivstoff på tankbiler.
Daqu – Stuxnet 2.0	2011	Daqu er et nesten identisk angrep som Stuxnet (som beskrevet senere i tabellen), men med et forskjellig mål, ifølge Symantec. Viruset målrettet seg mot Microsoft Windows, og brukte Windows Word for å skrive kommandoer i kommandovinduet. Så snart en maskin var infisert, var Daqus mål å sanke informasjon som kan brukes i fremtidige angrep. Foruten å loggføre tastetrykk og systeminformasjon, stjal Daqu også digitale sertifikater som kan brukes for å få fremtidige virus til å fremstå som mer legitimt, ifølge McAfee. Til tross for at ingen kode relatert til industriell kontroll ble funnet i analysen, kan informasjonen som ble sanket av Daqu tillate fremtidige angrep på IoT.
Cyberangrep på et SCADA-system hos en amerikansk vann- og avløpsbedrift som forårsaket ødeleggelse for en av vannpumpene	8. november, 2010	Dette angrepet startet med at bedriftens leverandør av SCADA-programvare ble hacket og at en liste med brukernavn og passord til kundesystemet ble stjålet. Slike lister finnes ofte hos leverandører hvor det er nødvendig for leverandøren å gjøre vedlikehold hos kunden. Så snart hackerne hadde tilgang til påloggingsinformasjon, kunne de få tilgang til pumpens kontrollsystem og skrive kommandoer som til slutt førte til ødeleggelsen av pumpen.
Cyberangrep på smartmålere	2010	I 2010 ble det rapportert at krafttyver utnyttet en sårbarhet i et smartmålersystem som gjorde at PREPA (Puerto Rico Electric Power Authority) gikk på et tap på 400 millioner dollar årlig. Bare et par verktøy krevdes for å utføre angrepet: optisk sonde, fritt tilgjengelig programvare, og fysisk tilgang til måleren. Grunnet sin enkelhet, var angrepet svært utbredt og førte til et enormt tap for PREPA.
Struxnet-ormangrep på Natanz kjernefysiske anrikningslaboratorium i Iran	2010	I 2010 la de ansatte ved Natanz kjernefysiske anlegg merke til at flere av deres sentrifuger for uran-anrikelse ble ødelagt. Etter inspeksjon ble det funnet at en Stuxnet-orm som angriper PLS-er hadde infisert datasystemene. Viruset ble trolig introdusert i systemet via en USB-minnepinne, hvor viruset kunne angripe Microsoft Windows og Siemens Step7 programvare ved å utnytte sårbarheter for å få tilgang til PLS-er. Her kunne viruset endre kode og gi uventede kommandoer til PLS-en men likevel gi umistenkelig tilbakemelding til brukeren. I dette tilfellet kunne angriperen få sentrifugen til å spinne hurtig nok til å ødelegge maskinen, uten å gi varsel til operatøren. Til tross for at ingen offisiell rapport har blitt publisert, har det blitt beregnet at nesten en femtedel av Irans kjernefysiske sentrifuger ble ødelagt.
Forstyrrelse av flere av DaimlerChryslers bilfabrikker av en Zotob-orm	16. august, 2005	Bilprodusent DaimlerChrysler ble utsatt for et cyberangrep i 2005 forårsaket av en Zotob-orm – et virus som sprer seg på nett og utnytter sårbarheter i Windows Plug and Play tjeneste. Til tross for separasjonen mellom OT- og IT-nettverk med brannmur, kunne ormen spre seg fritt i fabrikken grunnet mangel på programvare-oppdatering på Windows 2000-servere. Hendelsen påvirket 13 lokasjoner i over en time, noe som førte til et tap på 14 millioner dollar.

De cyberangrepene som er presentert ovenfor er et utdrag av historiske hendelser globalt. I Norge har vi også mange eksempler på mer eller mindre vellykkede historiske cyberangrep. Vi vil komme tilbake til dette i et senere kapittel. Cyberangrepene fra virkeligheten er av forskjellige typer. De forskjellige typene utnytter eksisterende trusler og risikoer, og kan kombineres for å skape en større effekt. Angriperen kan derigjennom skape en dominoeffekt som kan resultere i ytterligere skader på forskjellige nivåer i bedriftens infrastruktur.

ENISA har laget en oversikt over mulige angrepsscenarioer som vises i Tabell 4 og beskrives i etterfølgende tekst. Underlaget til dette er samlet ut fra forskning, samt informasjon fra de ekspertene som har bidratt til ENISAs rapporter som denne teksten er hentet fra.

Det er verdt å merke seg at angrepene kan finne sted gjennom hele prosessen og effekten av angrepene på hver spesifikk del av prosessen har blitt analysert. Viktighetsnivået som gis for hvert angrepsscenario representerer de negative effektene disse angrepene kan ha i en virkelig hendelse og varierer fra lavt til middels til høyt og kritisk.

Tabell 4: Oversikt over angrepsscenarioer og tilhørende viktighetsnivå

Angrepsscenarioer	Viktighetsnivå
1. Angrep mot nettverkskoblingen mellom kontroller og aktuatorer	Høy-kritisk
2. Angrep mot sensorer, endre avleste verdier eller terskelverdier og innstillinger	Høy-kritisk
3. Angrep mot aktuatorer, endre eller sabotere enheters innstillinger	Høy-kritisk
4. Angrep mot IoT-administrasjonssystemer	Høy-kritisk
5. Angrep som utnytter sårbarheter i protokoller	Høy
6. Angrep mot utstyr, skrive kommandoer inn i systemkonsollen	Høy-kritisk
7. *Springbrettangrep (stepping stones attack)*	Medium-høy
8. DDoS ved hjelp av IoT botnet	Kritisk
9. Kraftforsyningmanipulasjon og utnyttelse av sårbarheter i dataavlesning	Medium-kritisk
10. Løsepengevirus	Medium-kritisk

1. Angrep mot nettverkskoblingen mellom kontroller og aktuatorer

Avlytting er en trussel som lar en angriper trekke ut sensitiv og operativ informasjon som kan brukes til flere ondsinnede hensikter, inkludert et senere angrep mot IoT-systemer. I et angrep med avansert vedvarende trussel (APT Advanced Persistent Threat) utgjør avlytting og innsamling av informasjon et av de første stadiene som utføres for å identifisere svake områder og potensielle inngangs- eller angrepspunkter.

Effekt: hovedeffekten er lekkasje av data. Avhengig av miljøet kan alvorlighetsgraden være lavere eller større, men det kan også være et signal om et pågående større angrep.
Trusler: avlytting og lekkasje av sensitive data.

2. Angrep mot sensorer, endring av avleste verdier eller terskelverdier og innstillinger

sensorene, for å tillate å akseptere utenforliggende avlesningsverdier. Dette utgjør en alvorlig trussel for systemene og installasjonene. Ettersom større installasjoner vanligvis har flere og redundante sensorer, vil angriperen måtte angripe flere sensorer for at angrepet skal være effektivt; hvis bare en sensor blir kompromittert, kan avlesningene kompenseres med data fra resten av sensorene.

Effekt: lar sensorer rapportere og godta uriktige verdier som setter IoT-økosystemet i fare; en utdatert sensor kan tillate ukontrollert strømøkning (power surge) gjennom sensorene, med fysisk skade/ kortslutning av systemene som resultat.
Trusler: angrep på personvern og lekkasjer av sensitive data/ endring av informasjon.

3. Angrep mot aktuatorer, endring av eller sabotasje på enheters innstillinger

Manipulering av aktuatorenes konfigurasjon/ parametere som gjør at de bruker uriktige innstillinger, terskelverdier eller data, og påvirker derfor deres normale oppførsel ved å sabotere driftsinnstillinger.

Effekt: varierer avhengig av hvilke aktuatorere som er berørt. Det kan f.eks. påvirke produksjonsprosessene.
Trusler: nettverksstopp og forfalskning utført av skadelige enheter.

4. Angrep mot IoT-administrasjons-systemer

En angriper prøver å få full kontroll over administrasjonssystemet til et IoT-system eller -enhet, og potensielt kompromitterer hele IoT-økosystemet. Et slikt angrep kan være nokså vellykket hvis svake eller standard passord brukes. Angrepet består av flere stadier/ faser, og starter vanligvis med å penetrere systemet uoppdaget. Denne typen angrep bør tas i betraktning når det gjelder hele livssyklusen til enheten.

Effekt: manipulering eller forstyrrelse av visse IoT-systemer kan påvirke mennesker, forårsake miljøproblemer og til og med spres til andre systemer og påvirke deres kommunikasjon eller til og med deaktivere dem.
Trusler: svake passord, installasjonspakker (exploit kits), angrep på personvern, malware (skadevare) og DDoS.

5. Angrep som utnytter sårbarheter i protokoller

Denne typen angrep er vanligvis inngangen til å starte andre typer angrep. Slike angrep brukes for å få uautorisert tilgang til et system, noe som kan føre til installasjon av skadelig innhold eller bakdører. Det brukes som en del av et angrep, uavhengig av om målet er et enkelt system/ enhet eller et helt nettverk. Det er vanskelig å oppdage denne typen angrep, men det er mye lettere å oppdage de handlingene som utføres når angrepet har lykkes.

Effekt: hvis vellykket dannes et inngangspunkt til systemet, i noen tilfeller med admin-rettigheter. Hvis det ikke lykkes, vil systemet sannsynligvis krasje eller bli ustabilt. Dette angrepet brukes alltid som en del av et større angrep, som kan være et enkelt datatyveri eller en kompleks APT (Advanced Persistent Threat).
Trusler: installasjonspakker (exploit kits), malware og APT-er.

6. Angrep mot utstyr, skriving av kommandoer inn i systemkonsollen

Denne typen angrep finner sted når en angriper skriver og utfører kommandoer med admin-rettighet i et kompromittert system gjennom konsollen.

Effekt: hvis angriperen kan skrive kommandoer i en enhet, kan han eller hun klare å bryte inn i en annen maskin i miljøet. Dette ville gi en dominoeffekt på systemet, og angriperen vil kunne bruke alle disse enhetene til ondsinnede formål.
Trusler: installasjonspakker (exploit kits), DDoS og nettverksbrudd.

7. Springbrettangrep (stepping stones attack)

Denne typen angrep er en vanlig måte å starte anonyme angrep på. De blir ofte brukt av nettverksinntrengerne for å skjule identiteten deres, ettersom de ikke lanserer angrep fra sin egen datamaskin, men fra mellomledd som de tidligere har kompromittert.

Effekt: hvis en angriper setter i gang et springbrettangrep, kan denne angripe en hel samling verter/ enheter og bruke dem som springbrett for å videresende angrepskommandoer.
Trusler: APTs, DDoS, forfalskinger utført av ondsinnede enheter.

8. DDoS-angrep ved hjelp av IoT-botnet

Denne typen angrep er ikke målrettet mot IoT-enheter i seg selv, men i stedet bruker de enhetene til å angripe andre enheter, ikke nødvendigvis IoT-enheter. Først finner et malware (skadevare) sårbare IoT-enheter, for så å infisere og kode dem om til ett botnet. Deretter kan enhetene brukes til å initiere ett DDoS-angrep, og oversvømmer målets servere med ondsinnet trafikk.

Effekt: målenheten eller tjenesten vil bli overveldet av ondsinnet trafikk og bryter den ned.
Trusler: installasjonspakker (exploit kits), DDoS og forfalsking fra ondsinnede enheter.

9. Kraftforsyningsmanipulasjon og utnyttelse av sårbarheter i data-avlesning

Disse angrepene fokuserer på å manipulere kraftkilder og utnytte sårbarheter ved å endre avlesningen av strømdataene. En angriper kan tukle med enhetens batteri eller strøminngangskabling enten fysisk, ved å manipulere strømkilden selv, eller med skadelig programvare. Ved å manipulere måten en slik enhet leser informasjonen som kommer fra kraftkilden på, kan enheten tro at batterinivået er høyere eller lavere enn det faktiske nivået. Noen typer smarte enheter kan være avhengige av batterier for normal drift. Batteridrevne enheter kan virke tryggere og ha en fordel i forhold til kablede enheter, men dette er et angrepsscenario som også bør vurderes i risikobildet.

Effekt: fysisk manipulering av et batteri kan skade det, noe som kan føre til at enheten ikke kan fungere i det hele tatt. Manipuleringen av måten en enhet leser ladenivået fra batteriet kan føre til at enheten tror at batterinivået er høyere enn det faktisk er, noe som får enheten til å gå tom for batteri og slå seg av, eller får enheten til å gå inn i en strømsparende driftsmodus, som påvirker enhetens ytelse.
Trusler: malware, fysiske angrep.

10. Løsepengevirus

Disse angrepene blir utført av en skadelig programvare som permanent blokkerer tilgangen til offerets data med mindre det blir utbetalt løsepenger. Siden denne typen angrep er basert på malware, kan de unngås ved å oppdatere/ forbedre sårbare enheter. Dette kan også gjøres utenfor IoT-økosystemet, for eksempel med WannaCry-angrepet som fant sted mai 2017, hvor oppdateringen som skulle reparere sårbarheten som WannaCry utnyttet ble utgitt flere måneder før angrepet. Problemet med IoT er vanskeligheten med å oppdatere/ forbedre de forskjellige enhetene - noen av dem er det ikke mulig å oppdatere eller forbedre.

Effekt: det er mange mulige mål for løsepengevirus innen IoT – en angriper kan ta kontroll over en smart termostat midt på vinteren og kreve betaling før varmen kan slås på, han kunne overstyre strømnett eller sykehussystemer for løsepenger, osv., som da setter mange mennesker i fare.
Trusler: installasjonspakker (exploit kits), DDoS, malware (skadevare), svake passord.

Cybersikkerhet og Industri 4.0

Veikart med digitale kurs om cybersikkerhet i industrien

Innhold

6 Trusler og angrepsscenarioer

6.1 Ressursklassifisering

Tabell 1: Beskrivelse av nøkkelressurser for Industri 4.0

6.2 Trusler

Tabell 2: Beskrivelse av forskjellige typer trusler fordelt i kategorier

6.3 Historiske cyberangrep og mulige scenarioer

Tabell 3: Beskrivelse av historiske cyberangrep fra 2005-2017

Tabell 4: Oversikt over angrepsscenarioer og tilhørende viktighetsnivå

1. Angrep mot nettverkskoblingen mellom kontroller og aktuatorer

2. Angrep mot sensorer, endring av avleste verdier eller terskelverdier og innstillinger

3. Angrep mot aktuatorer, endring av eller sabotasje på enheters innstillinger

4. Angrep mot IoT-administrasjons-systemer

5. Angrep som utnytter sårbarheter i protokoller

6. Angrep mot utstyr, skriving av kommandoer inn i systemkonsollen

7. Springbrettangrep (stepping stones attack)

8. DDoS-angrep ved hjelp av IoT-botnet

9. Kraftforsyningsmanipulasjon og utnyttelse av sårbarheter i data-avlesning

10. Løsepengevirus

Cybersikkerhet og Industri 4.0

Veikart med digitale kurs om cybersikkerhet i industrien

Innhold

6 Trusler og angrepsscenarioer

Publisert 11.06.2020

6.1 Ressursklassifisering

Tabell 1: Beskrivelse av nøkkelressurser for Industri 4.0

6.2 Trusler

Tabell 2: Beskrivelse av forskjellige typer trusler fordelt i kategorier

6.3 Historiske cyberangrep og mulige scenarioer

Tabell 3: Beskrivelse av historiske cyberangrep fra 2005-2017

Tabell 4: Oversikt over angrepsscenarioer og tilhørende viktighetsnivå

1. Angrep mot nettverkskoblingen mellom kontroller og aktuatorer

2. Angrep mot sensorer, endring av avleste verdier eller terskelverdier og innstillinger

3. Angrep mot aktuatorer, endring av eller sabotasje på enheters innstillinger

4. Angrep mot IoT-administrasjons-systemer

5. Angrep som utnytter sårbarheter i protokoller

6. Angrep mot utstyr, skriving av kommandoer inn i systemkonsollen

7. Springbrettangrep (stepping stones attack)

8. DDoS-angrep ved hjelp av IoT-botnet

9. Kraftforsyningsmanipulasjon og utnyttelse av sårbarheter i data-avlesning

10. Løsepengevirus