integratie VOORKOM DE HACK VAN EEN Gebouwbeheersystemen zijn steeds intelligenter en vaak via internet aan te sturen. Dat biedt voordelen, maar maakt ze tegelijkertijd kwetsbaar. Stel dat hackers op een GBS inbreken en de toegangsbeveiliging uitschakelen? Bij de inrichting en beheer van een gebouw moet digitale veiligheid hoger op de agenda komen. Vijf stappen voor een veiliger systeem. Tekst: Karin van Hoogstraten, freelance publicist Fotografie: UNEtO-VNi, industrie, Herbert Wiggerman. Weinig mensen weten dat de kosten van cybercrime hoger zijn dan de opbrengsten van de wereldhandel in marihuana, cocaïne en heroïne bij elkaar. Een internationaal bureau berekende dat de kosten voor de slachtoffers bijna 400 miljard euro per jaar bedragen. De financiële impact verschilt van land tot land en tussen sectoren, maar zeker is dat het ondernemingen elk jaar méér kost. De financiële consequenties van een cyberaanval betreffen allereerst directe kosten, zoals het beveiligingsonderzoek, technische ondersteuning, gemiste opbrengsten en het heeft nu geen verbinding?, zegt Erik Zwaan, segment manager EcoBuilding bij Schneider Electric. Gebouwbeheersystemen waren voorheen on-site en stand-alone. Nu maken de huidige intelligente systemen deel uit van netwerken met datacenters, servers die op afstand benaderbaar zijn en met toepassingen die via open protocollen ELK APPARAAT HOORT EEN UNIEKE TOEGANGS CODE TE HEBBEN, ZOALS ELK HUIS EEN EIGEN SLEUTEL HEEFT verbeteren van de veiligheid. De indirecte kosten maken echter een veel groter deel van de schade uit, bijvoorbeeld productieverlies, verlies van intellectueel eigendom en waarschijnlijk het meest kostbaar reputatieschade of verlies van klanten. Vijf stappen Het lastigste is dat elk bedrijf met een connectie naar internet theoretisch gezien kwetsbaar is. En welk bedrijf Slimme systemen bieden veel voordelen maar brengen ook risico s met zich mee. 32 VV+ juli/augustus 2015
GEBOUWBEHEERSYSTEEM wat is kwetsbaar? waarom? beste aanpak standaardinstellingen makkelijker te vinden in online databanken standaardinstellingen wijzigen voordat het systeem wordt aangesloten eenvoudige wachtwoorden eenvoudig gekraakt tien tot vijftien karakters en multitypewachtwoorden demonstratiesystemen vaste codes standaardinstellingen wijzigen voordat het systeem wordt aangesloten dezelfde instellingen voor meer aansluitingen instellingen delen onder groep gebruikers Tabel 1. Naar een beter beheer van wachtwoorden. bij een hack zijn alle aangeslotenen in gevaar bij een hack zijn alle aangeslotenen in gevaar unieke instellingen voor elke aansluiting unieke instellingen voor elke gebruiker toegankelijk zijn. Natuurlijk bieden deze slimme systemen grote voordelen, maar het maakt ondernemingen vele malen kwetsbaarder voor cybercrime dan voorheen. Om deze risico s te beperken, moeten organisaties vijf stappen nemen die systemen veel veiliger maken. Hoewel deze soms voor de hand liggen en heel eenvoudig klinken, is het toch belangrijk ze nauwgezet te volgen. Het gaat om het beheer van de wachtwoorden, het netwerk, de gebruikers, de software en de risico s. 1. Wachtwoordbeheer Het juiste gebruik van wachtwoorden is volgens Erik Zwaan de eerste eenvoudige stap om een datasysteem veiliger te maken (tabel 1). De meeste aanvallen op systemen slagen doordat hackers de toegangscode kunnen kraken. Regel één? Verander het standaardwachtwoord van een nieuw apparaat. Dat moet de allereerste actie zijn bij de installatie. Hoe langer een computer met het standaard ingestelde wachtwoord functioneert, hoe groter de kans dat het wordt gehackt. Het klinkt zo simpel, maar waarom gaat het dan toch vaak fout? Mensen denken dat het onnodig is een standaardwachtwoord te veranderen, omdat ze menen dat niemand geïnteresseerd is in hun toepassing of computer. Of ze denken dat deze niet vindbaar is op internet. Niets is echter minder waar. Apparaten met een default wachtwoord maken het inbreken op een systeem kinderlijk eenvoudig. Fabrikanten vermelden namelijk vaak de standaardcodes ergens in de gebruikershandleidingen, die op internet te vinden zijn. Standaardcodes aanpassen Hetzelfde geldt voor demonstratiemodellen, die vaak met internet worden verbonden terwijl ze nog standaardinstellingen bevatten. Hackers kunnen vooral op oudere apparaten en systemen codes vinden die fabrikanten erin hebben geplaatst. Als het wachtwoord daarna wordt veranderd, kunnen zij toch inbreken. Dat fabrikanten dit soort codes inbouwen, was ooit bedoeld als service naar de gebruiker. Het supportteam van de fabrikant kon zo het apparaat of systeem bij vergeten of verloren wachtwoorden weer aan de praat krijgen. Hackers kunnen deze vertrouwelijke informatie makkelijk opsporen. Omdat zo n standaardcode voor vergelijkbare apparaten vaak hetzelfde is, kunnen zij die toepassen op een hele set apparaten. De beste aanpak is om standaardwachtwoorden al te veranderen voordat het apparaat wordt verbonden met internet. Elk apparaat hoort bovendien een unieke toegangscode te hebben, zoals elk huis een eigen sleutel heeft, aldus Zwaan. Complexe wachtwoorden Met het uitsluiten van standaardwachtwoorden of codes zijn we er echter nog niet. De tijd van simpele zesletterige wachtwoorden is echt voorbij. Tegenwoordig zijn er al goedkope computers die makkelijk 348 miljard wachtwoorden per seconde kunnen testen. Om serieuze bescherming te bieden, moeten wachtwoorden minstens VV+ juli/augustus 2015 33
integratie HACKERS VERSPREIDEN ZELFS BESMETTE USB- STICKS, BIJVOORBEELD DOOR ZE TE VERLIEZEN OP DE PARKEERPLAATS VAN EEN BEDRIJFS TERREIN BIM vraagt om scherpere digitale beveiliging Steeds meer projecten worden ingericht en gebaseerd op een Bouw Informatie Model (bim). In dit gebouwmodel wordt alle relevante informatie gedurende het hele bouwproces opgeslagen, gebruikt en beheerd. Dat biedt vele voordelen, maar door deze open samenwerking met verschillende partners wordt databeveiliging een belangrijker issue. Iedereen begrijpt dat mensen die kwaad in de zin hebben, interesse hebben in deze modellen. Wellicht niet om tijdens de bouwfase iets met die informatie te doen, maar mogelijk pas als het gebouw enige tijd in gebruik is. Dus ook in dit proces komt het aan op zorgvuldigheid en beveiliging. Verschillende leveranciers spelen daarop in met centrale beveiligingsoplossingen. Maar ook hier zit de grootste winst in bewustwording. tien karakters hebben. Bovendien is een mix van nummers, hoofdletters, kleine letters en speciale karakters nodig. Regelmatig van wachtwoord veranderen, is een absolute noodzaak. In theorie moet elke toegangscode worden gewijzigd binnen de periode dat het hackers kost om de code te kraken. Een wachtwoord moet minimaal tien tekens hebben, maar vijftien karakters is nog beter. Om het de gebruikers niet onmogelijk te maken om zo n lang wachtwoord te onthouden, is een geheime zin aan te raden. Zwaan maakt de kanttekening dat het voor bedrijven die voor hun gebouwbeheersysteem overstappen op moeilijker te kraken wachtwoorden al dan niet gecombineerd met Active Directories en/of Single Sign On-oplossingen het van belang is te checken of het systeem deze complexiteit toelaat. In het verleden waren de mogelijkheden op het gebied van wachtwoordbeheer namelijk soms beperkt. Onderzoek daarom eerst welke mogelijkheden het systeem biedt. 2. Netwerkbeheer Als met een goed wachtwoordbeheer stap één is afgerond, kan de tweede hobbel worden genomen: veilig netwerkbeheer (tabel 2). Hierbij draait het om de beveiliging van alle plekken en manieren waarop een hacker in het systeem kan komen. Kwetsbare toegangspoorten zijn bijvoorbeeld de web-interface, usb-poorten, open ip-poorten en netwerkapparaten die met open protocollen werken. De web-interface is het eerste, meest gevoelige punt. Er zijn verschillende cyberaanvallen via deze weg bekend. Een daarvan is de zogeheten sql-injectie, waarbij de hacker in het invoerveld een teken vaak een apostrof invoert die niet goed wordt afgevangen. Vervolgens krijgt de hacker informatie terug, waarmee hij wachtwoorden kan aanpassen. Netwerkbeheerders kunnen in dit geval het beste bij de fabrikant van een gebouwbeheersysteem nagaan hoe goed beveiligd de web-interface is. Lijkt die kwetsbaar te zijn, dan kan worden besloten apparaten nooit direct op internet aan te sluiten. Een firewall tussen het apparaat en het internet kan de risico s beperken. Een andere optie is het blokkeren van poort 80, poort 443 en eventuele andere poorten die het http/https-protocol ondersteunen. Autorun-risico Een andere risicovolle toegangspoort van het systeem is de usb-poort. De softwaredrivers voor deze poorten zijn namelijk zo ontworpen dat een programma op een usbstick automatisch gaat draaien als deze wordt ingeplugd. Is de stick besmet met malware, dan zorgt die zogeheten autorun-functie dat de malware zonder enige waarschuwing gaat draaien. De oplossing voor dit probleem is simpelweg om deze functie voor alle usb-poorten uit te schakelen. Als dat niet mogelijk is, is het beter gebruikers geen toegang te geven. Hackers verspreiden zelfs besmette usb-sticks, bijvoorbeeld door ze te verliezen op de parkeerplaats van een bedrijfsterrein. Hun enige doel is dat iemand met toegang op een systeem de besmette stick gebruikt. Zodra de gebruiker 34 VV+ juli/augustus 2015
Integratie met kantoorapplicaties maken gebouwsystemen kwetsbaar. wat is kwetsbaar? waarom? beste aanpak web-interface sql-injectie firewall installeren usb-poort toegang tot het hele systeem autorun uitzetten of poort beveiligen / onbruikbaar maken tcp/ip-poorten toegang tot het hele systeem poorten sluiten en firewall installeren open protocollen geven hacker mogelijkheid commando s te geven risicoanalyse uitvoeren en delen fysiek beveiligen Tabel 2. De beste aanpak voor veilig netwerkbeheer. deze stick in een onbeveiligde usb-poort plaatst, wordt het systeem geïnfecteerd en krijgt de hacker onbeperkt toegang tot het apparaat. De beste aanpak volgens Zwaan? Gebruik alleen usb-sticks uit een afgesloten verpakking, afkomstig van een bekende en veilige leverancier. Aantal poorten minimaliseren Een volgende methode om het netwerk veiliger te maken is het aantal tcp/ip-poorten te minimaliseren. Vaak is het voor het functioneren van een systeem helemaal niet nodig alle poorten open te houden. Het is van belang om goed na te gaan welke toegang in welk deel van het netwerk nodig is en daarna de onnodige poorten te sluiten. Als dat niet mogelijk is, doen organisaties er goed aan een firewall te installeren. Een ander zwak punt in het netwerk is het gebruik van onveilige protocollen. Hoewel wordt gewerkt aan veiliger protocollen, zijn niet alle nieuwe apparaten en systemen daar standaard mee uitgerust. Het beste is een goede risicoanalyse uit te voeren. Daarna moeten de delen van het systeem die kwetsbaar blijken fysiek worden beveiligd. 3. Accountbeheer Na een adequaat wachtwoord- en netwerkbeheer moet het accountbeheer van het systeem worden aangepakt. Door de jaren heen heeft een gebouwbeheersysteem zich ontwikkeld van een simpel pakket met enkele gebruikers tot een complex systeem met vele gebruikers en dito mogelijkheden. Erik Zwaan: Hoewel het makkelijk lijkt iedereen als gebruiker met veel rechten aan te merken, is dat sterk af te raden. Een van de belangrijkste bedreigingen van het systeem is namelijk ontevreden gebruikers. De mate waarin gebruikers het systeem schade kunnen toebrengen, hangt af van de mate waarin zij rechten hebben. Als zij veel privileges hebben, kan dat catastrofale gevolgen hebben. De beste aanpak? Elke (groep van) gebruiker(s) krijgt alleen de privileges die hij nodig heeft om zijn werk te kunnen doen. Verantwoord accountbeheer Accountbeheer is daarmee een belangrijk onderdeel om de veiligheid van een systeem te behouden. Soms heeft het bedrijf de dienst geautomatiseerd of uitbesteed. Als dat VV+ juli/augustus 2015 35
innovatie Een heldere inventarisatie van de risico s is een belangrijke stap. niet het geval is, raadt Zwaan aan om een aantal stappen te volgen: Wachtwoord laten verlopen. Als eerste worden alle accounts zo worden ingericht dat het wachtwoord na een bepaalde datum of een bepaald aantal dagen verloopt. Dit betekent dat regelmatige gebruikers hun wachtwoord periodiek moeten resetten. Als bepaalde accounts niet binnen een bepaalde tijd worden gebruikt, worden deze automatisch uitgeschakeld. Pas als de systeembeheerder ingrijpt, wordt het account weer actief. Vertrekkende medewerkers. De tweede stap is het uitschakelen van het account van werknemers die bij het bedrijf vertrekken. Vaak wordt dat over het hoofd gezien, maar het brengt significante veiligheidsrisico s met zich mee. Nieuwe functies van medewerkers. Een derde onderdeel van verantwoord accountbeheer is de rechten van de medewerkers wijzigen als zij een andere functie binnen het bedrijf krijgen. De toegang en rechten moeten namelijk passen bij het niveau van de nieuwe baan. 4. Softwarebeheer Na het juiste beheer van wachtwoorden, het netwerk en gebruikers om een systeem veilig te maken, volgt het softwarebeheer. Wanneer hackers proberen in te breken, onderzoeken ze eerst of alle veiligheidspakketten zijn geïnstalleerd. Is er een veiligheidslek, dan maken zij daar handig gebruik van. Zorg er verder voor dat alleen geautoriseerde gebruikers de software kunnen implementeren. Bovendien is het van belang dat alleen geautoriseerde software volgens de juiste methode wordt geïnstalleerd. Cyberaanvallen via een vervalst softwarepakket komen helaas steeds vaker voor. Voor wie vertrouwd is met de beveiligingsinstellingen en -procedures van het systeem, is het makkelijker die nauwgezet te volgen. ALS MEDEWERKERS ZICH REALISEREN HOE BELANGRIJK EEN VEILIG SYSTEEM IS, HEBBEN HACKERS VEEL MINDER KANS VAN SLAGEN 5. Inventariseer de risico s De allerlaatste stap naar een betere beveiliging is vaststellen hoe kwetsbaar het systeem mag zijn. Een plan met daarin de risico s en hun prioriteit geeft richting. Aan elk bekend risico wordt dan een kwalitatieve waardering toegekend, bijvoorbeeld van hoog tot laag of van 1 tot 10. Zo kunnen grote risico s het eerst worden aangepakt. Minder ernstige zaken kunnen tijdens het regulier onderhoud worden opgelost. De beste aanpak is om per onderdeel een rapportage van de kwetsbaarheid te maken. Met deze laatste acties is het vijfstappenplan om van een gebouwbeheersysteem veiliger te maken afgerond. De laatste tip van Erik Zwaan? Veiligheid blijft mensenwerk. Als medewerkers zich realiseren hoe belangrijk een veilig systeem is, hebben hackers veel minder kans van slagen. << 36 VV+ juli/augustus 2015