Building Automation Security

CLASSIFICATIE: OpenbaarKPN Managed Security Services

FHI 2018

1

The Cyber security landscape, current trends and

developments

Intro – Wie ben ik

Portfoliomanager Security @KPN

12Y ervaring in cybersecurity

Fox-IT

Nederlands Forensisch Instituut

TNO Defensie en Veiligheid

Passie voor technologie

MBA (deels Technische Informatica)

Intelligence, privacy

CLASSIFICATIETITEL VAN DE PRESENTATIE2

Vandaag: Building Automation Security

“Building automation systems en cybersecurity, moeten we ons zorgen

maken?”

Cybersecurity essentials

Wie zijn hackers?

Trends en ontwikkelingen in cybersecurity

Een BAS hack explained

Het cybersecurity landschap in Nederland

Samenvatting

CLASSIFICATIETITEL VAN DE PRESENTATIE3

Cybersecurity essentials

CLASSIFICATIETITEL VAN DE PRESENTATIE4

Wat zijn essentials?

“Cybersecurity is het vrij zijn van gevaar of schade veroorzaakt door

verstoring of uitval van ICT of door misbruik van ICT. Het gevaar of de

schade door misbruik, verstoring of uitval kan bestaan uit beperking van de

beschikbaarheid en betrouwbaarheid van de ICT, schending van de

vertrouwelijkheid van de ICT opgeslagen informatie of schade aan de

integriteit van die informatie”

Beschikbaarheid – betrouwbaarheid – vertrouwelijkheid - integriteit

CLASSIFICATIETITEL VAN DE PRESENTATIE5

CLASSIFICATIETITEL VAN DE PRESENTATIE6

CLASSIFICATIETITEL VAN DE PRESENTATIE7

Waarom cybersecurity?

Don’t argue with idiots….

Cybersecurity en building automation systems (I)

2.7 miljard apparaten zijn gekoppeld in smart buildings ter verbetering van

operationale efficiency, veiligheid, comfort en functionaliteit.

2015 : 84% BAS-exploitanten maakt gebruik van op internet aangesloten

systemen. > 70% verleent remote access aan vendoren.

2015 : 29% BAS-exploitanten neemt cybersecurity maatregelen.

2018 : Gartner voorspelt dat 20% van alle smart buildings zal last hebben

gehad van digitaal vandalisme.

CLASSIFICATIETITEL VAN DE PRESENTATIE8

CLASSIFICATIETITEL VAN DE PRESENTATIE9

Waarom cybersecurity?

Een wereld te winnen….

Wie zijn hackers

CLASSIFICATIETITEL VAN DE PRESENTATIE10

CLASSIFICATIETITEL VAN DE PRESENTATIE11

CLASSIFICATIETITEL VAN DE PRESENTATIE12

CLASSIFICATIETITEL VAN DE PRESENTATIE13

CLASSIFICATIETITEL VAN DE PRESENTATIE14

CLASSIFICATIETITEL VAN DE PRESENTATIE15

Wie zijn hackers?

Journalisten

Statelijke actoren

Hacktivisten / white-hat hackers

Scriptkiddies

Concurrenten

Criminelen

CLASSIFICATIETITEL VAN DE PRESENTATIE16

Maar dreigingen kunnen ook komen van…..

Ontevreden medewerkers

Fraudeleuze medewerkers

Ingehuurd personeel

Leveranciers

Business partners

Supertargets

Trends en ontwikkelingen

CLASSIFICATIETITEL VAN DE PRESENTATIE17

CLASSIFICATIETITEL VAN DE PRESENTATIE18

CLASSIFICATIETITEL VAN DE PRESENTATIE19

CLASSIFICATIETITEL VAN DE PRESENTATIE20

CLASSIFICATIETITEL VAN DE PRESENTATIE21

Cybercrime te koop…

CLASSIFICATIETITEL VAN DE PRESENTATIE22

Cybercrime als een RaaS en een CaaS model

CLASSIFICATIETITEL VAN DE PRESENTATIE23

Cybercrime as a service

Rent-a-hacker

Aanbod van diverse services

DDOS

Malware

Ransomware

Trojans, worms etc.

Afpersing/social media extortion

http://hireanhacker.com/

Ransomware as a service

“Philadelphia” – 389 dollar

Onbeperkte licentie

Promotie via YouTube

Ransomware-personalisatie

Stampado – 39 dollar

Simpele variant

Diverse betaalmodellen

Frozr Locker – 220 dollar

250 file extensions

Online support desk

Cybersecurity en building automation systems

Mogelijke aanvallen op building automation systems:

Energy-demand shock

Het uitschakelen van de verwarming of koeling

Wijziging van beschermingsinstellingen en limieten (bij bv ketelhuizen)

Pompen en andere aandrijvingen in storingsmodus zetten

Data diefstal

Het uitzetten van alarmen of genereren van valse alarmen

Het inzetten van apparaten in een zombie netwerk

Veel Building Automation Systems zijn niet ontwikkeld met security-in-mind

CLASSIFICATIETITEL VAN DE PRESENTATIE24

Cybersecurity beeld Nederland

Recent uitgekomen beeld 2018:

Sabotage en verstoring door staten grootste dreiging nationale

veiligheid.

Aanvallers blijven succesvol door ontbreken basismaatregelen.

Blijvend functioneren samenleving en economie afhankelijk van

cybersecurity.

Digitale dreiging is permanent

Risico via toeleveranciers is aanwezig

CLASSIFICATIETITEL VAN DE PRESENTATIE25

Realiteit? Het gebeurt nú!

2012 : Target Hack

2013 : Google Wharf Australie gehackt

2016 : Lappeenranta DDOS attack

2016 – 2017: 4x hack op Seehotel Oostenrijk

2017 : >70% van alle CCTV in Washington DC gehackt

2018 : Camera’s sportschool Brabant gehackt

2018 : AIVD hackt ‘CozyBear’ hackers door CCTV

CLASSIFICATIETITEL VAN DE PRESENTATIE26

Lappeenranta hack

Lappeenranta heeft 60.000 inwoners, ligt in Oost-Finland

Valtia is een service provider bedrijf, verantwoordelijk voor de centrale

verwarming en het warm-water-systeem in deze regio.

De systemen van Valtia werden bestookt met een DDOS aanval.

Twee appartementencomplexen zonder verwarming en warm water, in de

winter.

Bij opnieuw opstarten kwam het systeem vast in een loophole, waardoor

het hitte afgifte systeem niet meer werkte.

Systemen herstart, DDOS gerouteerd… probleem opgelost.

CLASSIFICATIETITEL VAN DE PRESENTATIE27

Wat is het cybersecurity landschap?

Kwaadwillende

Cybersecurity bedrijven

Overheid

Universiteiten en onderzoeksinstellingen

Afnemers

In deze: BMS/BAS vendoren

Nauwelijks onderzoek naar building automation security… investeringen

vanuit Min.EZ en RVO naar Building Automation Security (BrAIN). Enige focus

vanuit overheid, universiteiten en onderzoeksinstellingen naar SCADA.

CLASSIFICATIETITEL VAN DE PRESENTATIE28

Cybersecurity organisaties…

CLASSIFICATIETITEL VAN DE PRESENTATIE29

Installateurs…

CLASSIFICATIETITEL VAN DE PRESENTATIE30

Enorme diversiteit in bedrijven, grootte en aantal werknemers…

“Building automation systems en cybersecurity, moeten we ons zorgen maken?”

Half, we hebben een gezamenlijke uitdaging.

En er is nog een wereld te winnen voor wat betreft awareness.

Waar te beginnen?

Zorg voor digitaal bewustzijn;

Ontwikkel een architectuur met security-in-mind, zowel met de IT

componenten als met de BAS en identificeer risico’s;

Definieer een baseline, detecteer afwijkingen en blijf elke opzet testen.

Toekomst? Security als basis.

Een keurmerk voor installateurs, met trainingen, certificeringen en audits. 31

Vragen of informatie?

Suzanne Rijnbergen : suzanne.rijnbergen@kpn.com

CLASSIFICATIETITEL VAN DE PRESENTATIE32