Protokol ICS Umum dan Risikonya

Protokol industri adalah bahasa yang digunakan pengendali, SCADA, dan perangkat lapangan untuk bertukar data dan perintah. Sebagian besar dirancang untuk jaringan yang terisolasi dan dipercaya sehingga tidak memiliki autentikasi dan enkripsi yang diharapkan dalam IT.

Memahami kelemahannya memberi tahu Anda dengan tepat apa yang dapat dilakukan penyerang di jaringan OT dan kontrol kompensasi apa yang diperlukan.

Modbus adalah salah satu protokol industri tertua dan paling banyak digunakan, serta sederhana dan mudah diterapkan. Modbus/TCP menjalankan protokol ini melalui Ethernet.

• Perangkat utama membaca dan menulis register/koil pada perangkat bawahan
• Tanpa autentikasi: perangkat apa pun yang dapat menjangkau perangkat bawahan dapat memberinya perintah
• Tanpa enkripsi: lalu lintas berupa teks biasa dan mudah dibaca atau dipalsukan
• Tidak ada pemeriksaan integritas untuk mendeteksi pengirim berbahaya

Penyerang di segmen tersebut cukup menulis ke sebuah koil untuk menggerakkan peralatan.

DNP3 (Protokol Jaringan Terdistribusi) umum digunakan pada perusahaan utilitas listrik dan air, serta dirancang untuk sambungan jarak jauh yang tidak andal dengan fitur seperti pemberian cap waktu dan pelaporan berdasarkan pengecualian.

• Lebih kaya fitur daripada Modbus, tetapi protokol dasarnya tetap tidak memiliki keamanan bawaan
• Rentan terhadap pemalsuan dan pemutaran ulang pada jaringan terbuka
• Ekstensi Autentikasi Aman (DNP3-SA) tersedia, tetapi tidak selalu diterapkan

Jika DNP3-SA tidak didukung, kontrol jaringan harus menutupi kekurangan tersebut.

Lanskap OT memiliki banyak protokol; beberapa yang akan sering Anda temui:

• EtherNet/IP (CIP) — tersebar luas dalam otomasi manufaktur
• PROFINET / PROFIBUS — umum di lingkungan industri Eropa
• IEC 60870-5-104 — utilitas ketenagalistrikan, dengan peran serupa DNP3
• IEC 61850 — otomasi gardu induk
• OPC / OPC-UA — standar pertukaran data; OPC-UA terutama mendukung keamanan

OPC-UA menonjol karena dirancang dengan autentikasi dan enkripsi sebagai opsi.

Kelemahan paling serius pada protokol lama adalah tidak adanya autentikasi. Protokol tersebut tidak dapat membedakan perangkat utama yang sah dari penyerang.

• Komputer mana pun di jaringan dapat mengeluarkan perintah yang tampak valid
• Pesan tersebut tidak memiliki konsep kredensial atau otorisasi
• Perangkat memercayai apa pun yang diterimanya

Itulah sebabnya kontrol akses jaringan menjadi pertahanan garis depan: jika penyerang tidak dapat menjangkau protokol, mereka tidak dapat menyalahgunakannya.

Protokol teks biasa membuat proses dapat dilihat oleh siapa pun yang mengamati lalu lintas jaringan secara pasif.

• Penyerang dapat memetakan proses dari pembacaan dan penulisan yang diamati
• Nilai setelan, alarm, dan perintah dapat dilihat
• Jika berada di antara kedua pihak, penyerang dapat mengubah lalu lintas saat transit

Penangkapan lalu lintas semacam ini untuk analisis harus dilakukan dengan hati-hati dan hanya pada sistem yang Anda berwenang untuk nilai; titik penyadapan pasif mencegah gangguan pada proses yang sedang berjalan.

Tanpa autentikasi atau jaminan kesegaran data, lalu lintas yang direkam dapat digunakan kembali.

• Pemutaran ulang — menangkap perintah yang sah lalu mengirimkannya kembali untuk mengulangi suatu tindakan
• Injeksi perintah — membuat pesan protokol yang valid untuk menggerakkan peralatan
• Injeksi data palsu — memasukkan nilai sensor yang direkayasa ke HMI

Injeksi data palsu sangat berbahaya: operator mungkin melihat pembacaan normal sementara proses perlahan masuk ke kondisi yang tidak aman.

Penyerang yang berada di antara SCADA dan pengendali dapat membaca dan menulis ulang pertukaran data.

• Menampilkan nilai aman kepada operator sambil mengirim perintah berbahaya ke PLC
• Menekan alarm agar gangguan tidak diketahui
• Mengubah nilai setelan tanpa sepengetahuan operator

Pembutaan operator sambil menyabotase proses ini merupakan ciri khas serangan ICS canggih dan mendorong pemantauan integritas di tingkat jaringan.

Jika didukung oleh peralatan, pilih opsi protokol yang menambahkan keamanan.

• OPC-UA dengan kebijakan keamanan yang diaktifkan menyediakan autentikasi, penandatanganan, dan enkripsi
• DNP3-SA menambahkan autentikasi tantangan-respons ke DNP3
• Pembungkus TLS atau gerbang aman dapat melindungi lalu lintas protokol lama antar-zona

Fitur-fitur ini tidak tersedia secara universal pada perangkat lama, sehingga perancangan mengasumsikan banyak titik akhir tetap tidak aman dan melindunginya di batas jaringan.

Karena Anda sering tidak dapat memperbaiki protokol, sebagai gantinya Anda mendeteksi penyalahgunaan. Pemantauan yang memahami OT mengenali protokol-protokol ini dan menandai anomali tanpa menyuntikkan lalu lintas.

• Bangun tolok ukur perangkat utama, perangkat bawahan, dan pola perintah yang normal
• Beri peringatan untuk perintah penulisan yang tidak terduga atau perangkat baru
• Deteksi nilai setelan di luar rentang atau perintah dari komputer yang tidak berwenang
• Gunakan titik penyadapan pasif agar pemantauan tidak pernah mengganggu proses

Karena protokol lama tidak dapat melindungi diri, jaringan harus melindunginya.

• Lakukan segmentasi agar hanya komputer berwenang yang dapat menggunakan protokol untuk berkomunikasi dengan pengendali
• Gunakan tembok api yang memahami protokol untuk mengizinkan hanya kode fungsi yang diharapkan
• Terapkan deteksi penyusupan pasif yang disesuaikan dengan protokol ICS
• Jika memungkinkan, beralihlah ke varian aman

Ini mempersiapkan pertahanan arsitektur pada pelajaran terakhir.

Analisis risiko inti protokol ICS lama.

Anda telah mempelajari protokol-protokol tersebut dan kelemahan bawaannya.

• Modbus, DNP3, dan protokol sejenisnya dibuat untuk jaringan tepercaya dan tidak memiliki autentikasi maupun enkripsi
• Hal ini memungkinkan penyadapan, pemutaran ulang, injeksi perintah, injeksi data palsu, dan MITM
• Penyerang dapat membutakan operator sambil menyabotase proses
• Utamakan varian aman (OPC-UA, DNP3-SA) jika didukung
• Jika tidak, lakukan pertahanan dengan segmentasi, tembok api yang memahami protokol, dan pemantauan pasif

Berikutnya: merancang perlindungan untuk infrastruktur penting.