Scada-beveiliging: een structureel probleem

Wat is een scada-systeem?

De toepassingen waarmee industriële systemen worden beheerd, worden scada-systemen genoemd. Scada staat voor supervisory control and data acquisition en is een verzamelnaam voor beheersystemen voor bijvoorbeeld rioleringen, energie-opwekking, fabricage en oliepijplijnen. Afhankelijk van de exacte definitie vallen er ook beheersysteemen voor treinen, verkeerslichten, telefonienetwerken, vliegtuigmotoren en pretparkattracties onder. Soms worden scada-systemen ook wel 'ics' genoemd: industrial control systems.

Het spreekt voor zich dat het handiger is om dergelijke systemen op afstand te beheren, dan door fysiek hendels en knoppen te bedienen. Diverse bedrijven, waaronder Siemens, Schneider Electric en General Electric, hebben daarom scada-toepassingen ontwikkeld.

Sommige scada-systemen kunnen alleen worden gebruikt om informatie af te lezen. Onderstaand screenshot is volgens Internet Security Systems, een onderdeel van IBM, een 'typisch voorbeeld' van een dergelijke interface.

Andere systemen kunnen ook voor daadwerkelijke beheertaken worden gebruikt. Een inmiddels berucht voorbeeld is dat van de frequentieregelaars in Iraanse uraniumverrijkingsfabrieken, die werden ontregeld door het Stuxnet-virus. Dat virus is volgens de geruchten ontwikkeld door de Verenigde Staten en Israël en zou specifiek bedoeld zijn om de Iraanse plannen voor kerncentrales te ondermijnen.

Het Stuxnet-virus was in sommige opzichten geavanceerd. Zo maakte het gebruik van maar liefst vier zero day-exploits; het misbruikte dus gaten in de beveiliging die tot op dat moment nog niet bekend waren. Eén zo'n zero-day-lek is op de zwarte markt al een fortuin waard.

Het bouwen van een virus als Stuxnet of het vergelijkbare - en waarschijnlijk van dezelfde bron afkomstige - Duqu-virus is niet voor iedereen weggelegd; het vereist diepgaande kennis van het systeem dat moet worden gekraakt. Iran claimt zelfs dat Siemens, de fabrikant van de getroffen frequentieregelaars, bij de aanval betrokken was.

De vraag is dan of de vaardigheden die nodig waren om Stuxnet en Duqu te ontwikkelen, een voorwaarde zijn om industriële beheersystemen te kunnen binnendringen - en het antwoord is vermoedelijk 'nee'.

• Volgende pagina 3. Direct aan het internet