Een snelle scan met IoT-scanners “S” en “C” (waarbij gezocht is naar de paginatitel van de controller of de favicon-handtekening) op 12 oktober brengt ongeveer 700 Danfoss-hosts aan het licht die in België aan het internet zijn blootgesteld. Ongeveer 400 daarvan lijken een kwetsbare versie te draaien. Verschillende Belgische winkelketens, waaronder enkele grote spelers, behoren tot de getroffenen.
Het topje van de ijsberg
Supermarktdiepvriezers zijn slechts het topje van de ijsberg. Wat we hier zien is een veelvoorkomend cybersecurity anti-patroon, dat terug te vinden is in elke sector die afhankelijk is van IoT-controllers. Vaak uit gemakzucht of door een gebrek aan bewustzijn kiezen ICT-integratoren en onderhoudspartners van IoT-apparatuur voor de slechtst mogelijke optie om een apparaat op afstand te bereiken: ze openen een poort op de firewall of router en sturen deze door naar het apparaat.
Open een poort, en het apparaat staat op het internet
Een veelgehoord tegenargument is: “Mijn apparaat staat niet rechtstreeks op het internet. Het zit achter onze firewall, we openen slechts één poort.” Dat is precies wat directe blootstelling inhoudt. Een poortdoorsturing (port-forward) publiceert de eigen webinterface van het apparaat naar het gehele internet, en de firewall laat het verkeer simpelweg door. Iedereen, inclusief een scanner, kan het apparaat vervolgens bereiken, testen en misbruiken, zonder dat er een VPN of authenticatie voor zit.
De olifant in de kamer
Niemand praat erover. Toch weet iedereen in het werkveld dat een IoT-apparaat dat gepubliceerd staat op een willekeurige poort van het openbare internet vroeg of laat getroffen zal worden door een kwetsbaarheid. Integratoren weten het, onderhoudstechnici weten het, en de klanten die voor de dienst betalen vermoeden het vaak. Toch zet deze praktijk zich voort, omdat het snel is, goedkoop is, en er schijnbaar niets kapot gaat tot op de dag dat het wél gebeurt. Een poort die “tijdelijk” geopend is voor een technicus, heeft de neiging om permanent open te blijven staan.
De Franse aanval vereiste geen geavanceerde technieken: vind kwetsbare apparaten met zoekmachines, misbruik de kwetsbaarheid en stel de temperatuur in op 50°C. De verfijning zit hem elders: in het gelijktijdig uitvoeren bij honderden winkels en verschillende ketens. Dat niveau van coördinatie toont voorbereiding aan, en het bewijst dat deze blootstelling bekend is en op grote schaal misbruikt kan worden.
Wat is de oplossing?
Het gebruikelijke antwoord bestaat uit twee woorden: “patch management”. Maar iedereen weet dat in de IoT-wereld end-of-life modellen in gebruik blijven omdat ze simpelweg blijven werken. Oude Danfoss-temperatuurcontrollers (AK-SM800, AK-SC355) sturen de diepvriestemperaturen nog steeds prima aan, totdat ze gehackt worden. Deze modellen ontvangen geen beveiligingsupdates meer, dus alleen patchen kan de oplossing niet zijn.
Het juiste antwoord is een correcte netwerksegmentatie: IoT-apparaten achter firewalls plaatsen, met toegang op afstand uitsluitend via een VPN en jump hosts. Bovenal geldt één regel: stel een apparaat nooit rechtstreeks bloot aan het internet, en onthoud dat het openen van een poort precies dat inhoudt.
Waar staat u?
Weet u welke van uw apparaten vandaag vanaf het internet bereikbaar zijn? Approach Cyber kan uw blootstelling evalueren en u helpen uw infrastructuur te beveiligen met AXS Guard, onze in België ontwikkelde firewall-oplossing.