Private APN som attackväg – nya hot mot energianläggningar

Private APN används allt oftare för att skapa säkra och avskilda kommunikationsvägar mellan energianläggningar, styrsystem och externa tjänster. Samtidigt kan tekniken skapa nya angreppspunkter om nätverken konfigureras fel eller saknar tillräcklig övervakning. När energisektorn digitaliseras ökar beroendet av uppkopplade system för drift, övervakning och fjärrstyrning, vilket gör nätverkssäkerheten central för både verksamhet och samhällskritisk infrastruktur. Ett komprometterat Private APN kan i värsta fall ge angripare en väg förbi traditionella säkerhetsbarriärer och vidare mot känsliga system. Därför behöver energibolag förstå hur dessa nätverk fungerar, vilka sårbarheter som kan uppstå och vilka säkerhetsåtgärder som krävs för att minska risken för intrång.

Så kan Private APN bli en attackväg mot energisystem

Private APN, eller Access Point Name, används för att skapa separata kommunikationsvägar mellan mobilnätet och en organisations egna system. Inom energisektorn kan tekniken exempelvis koppla samman transformatorstationer, mätutrustning, kontrollsystem och driftcentraler. Syftet är ofta att isolera trafiken från det publika internet och skapa bättre kontroll över kommunikationen. Det innebär dock inte att nätverket automatiskt är säkert. Ett Private APN kan fortfarande påverkas av felaktiga konfigurationer, bristande åtkomstkontroll eller komprometterade enheter. Om en angripare lyckas ta sig in via en ansluten komponent kan den privata nätverksmiljön i stället bli en möjlig väg vidare mot energisystemets mest kritiska funktioner.

När den privata anslutningen blir en säkerhetsrisk

En central säkerhetsutmaning är att Private APN ofta uppfattas som en säkerhetsbarriär i sig. Att trafiken går genom ett avskilt nät innebär däremot inte att identiteter, enheter eller kommunikation automatiskt är tillförlitliga. Om behörigheter är för generösa kan en användare eller en komprometterad enhet få tillgång till resurser som egentligen borde vara separerade. Samma problem kan uppstå om gamla SIM-kort, modem eller fjärranslutningar finns kvar efter att utrustning bytts ut. Därför behöver varje anslutning betraktas som en potentiell angreppspunkt och kontrolleras utifrån faktisk funktion och aktuell behörighet.

Angrepp kan börja utanför själva energianläggningen

En angripare behöver inte nödvändigtvis rikta sig direkt mot en transformatorstation eller ett kontrollsystem. Vägen kan i stället gå genom en leverantör, ett kommunikationsmodem eller en annan uppkopplad komponent med svagare skydd. Energianläggningar är ofta beroende av många externa system, vilket gör leveranskedjan till en viktig del av säkerhetsarbetet. Några vanliga riskområden är:

• Obehöriga eller bortglömda nätverksanslutningar.

• Bristande segmentering mellan administrativa och operativa system.

• Föråldrad firmware i uppkopplad utrustning.

• Otillräcklig autentisering för fjärråtkomst.

• Bristande övervakning av trafik mellan anslutna system.

Segmentering begränsar konsekvenserna

Ett intrång i en nätverkskomponent behöver inte innebära att angriparen får fri tillgång till hela energimiljön. Genom att segmentera nätverket kan organisationen begränsa vilka system som får kommunicera med varandra. Ett Private APN bör därför inte betraktas som ett enda betrott nätverk där alla anslutna enheter har samma tillgång. Kritiska styrsystem, driftmiljöer och administrativa resurser behöver separeras med tydliga regler för kommunikation. På så sätt kan ett intrång isoleras innan det utvecklas till en bredare incident. Segmentering behöver dessutom kombineras med kontinuerlig kontroll av trafik och behörigheter för att vara effektiv.

Sårbarheter och säkerhetsrisker i uppkopplade energianläggningar

Uppkopplade energianläggningar består sällan av en enda typ av teknisk utrustning. I samma miljö kan industriella styrsystem, sensorer, routrar, fjärrterminaler, servrar och kommunikationsmodem samverka. Varje komponent kan ha egna säkerhetsfunktioner, uppdateringsrutiner och autentiseringsmetoder. Denna komplexitet gör det svårt att få en fullständig bild av den faktiska attackytan. Ett Private APN kan minska exponeringen mot det publika internet, men det eliminerar inte sårbarheter i de system som använder anslutningen. Säkerhetsarbetet måste därför omfatta hela kommunikationskedjan och inte enbart själva nätverkslösningen.

Föråldrad utrustning kan skapa svaga länkar

Många energisystem har lång teknisk livslängd. Utrustning kan därför finnas kvar i drift under många år, även när tillverkaren slutat erbjuda regelbundna säkerhetsuppdateringar. En äldre nätverksenhet kan exempelvis använda föråldrade protokoll eller sakna moderna funktioner för autentisering och loggning. Om samma enhet samtidigt har tillgång till ett Private APN kan den bli särskilt intressant för en angripare. Det är därför viktigt att kartlägga vilka enheter som är anslutna, vilken programvara de använder och vilka kommunikationsvägar de faktiskt behöver. Okända eller onödiga anslutningar bör inte tillåtas finnas kvar utan tydlig motivering.

Identiteter och behörigheter måste kontrolleras

En annan risk handlar om vem eller vad som får ansluta till nätverket. SIM-kort, certifikat, användarkonton och maskinidentiteter behöver hanteras under hela sin livscykel. När personal byter roll, leverantörer avslutar uppdrag eller utrustning tas ur drift måste behörigheter kunna återkallas snabbt. Om gamla identiteter ligger kvar kan de ge angripare en dold väg in. Säkerhetsansvariga behöver därför regelbundet granska:

• Vilka enheter som har aktiv nätverksåtkomst.

• Vilka användare och leverantörer som har fjärråtkomst.

• Vilka system varje identitet får kommunicera med.

• När autentiseringsuppgifter senast kontrollerades.

• Vilka anslutningar som kan avvecklas eller begränsas.

Övervakning behövs även i ett isolerat nätverk

Ett nätverk som inte är direkt tillgängligt från internet kan fortfarande utsättas för intrång. Därför behöver energibolag kunna upptäcka ovanlig trafik, oväntade anslutningar och förändringar i kommunikationsmönster. Loggar från nätverksutrustning, brandväggar och andra säkerhetskomponenter kan ge viktig information när en incident ska utredas. Det är också relevant att identifiera normal trafik så att avvikelser blir lättare att upptäcka. Om en enhet plötsligt börjar kommunicera med system den normalt inte använder kan det vara en indikation på att någon försöker röra sig vidare genom miljön.

Så skyddas Private APN mot intrång och cyberattacker

Skyddet av ett Private APN behöver bygga på flera säkerhetslager. Det räcker inte att förlita sig på att mobiloperatören tillhandahåller ett separat nät eller att trafiken inte passerar det öppna internet på samma sätt som vanlig internettrafik. Organisationen behöver själv definiera vilka enheter, användare och system som får kommunicera och under vilka förutsättningar. Säkerhetskraven bör dessutom anpassas efter hur kritisk verksamheten är. En anslutning till ett övervakningssystem kan exempelvis kräva andra kontroller än en anslutning till ett system som direkt påverkar fysisk drift.

Starka identiteter minskar risken för obehörig åtkomst

En grundläggande åtgärd är att använda stark autentisering för både användare och tekniska enheter. Varje ansluten komponent bör kunna identifieras individuellt, så att organisationen vet vem eller vad som kommunicerar i nätverket. Gemensamma konton och delade autentiseringsuppgifter bör undvikas eftersom de försvårar spårbarheten. Certifikatbaserad autentisering kan vara relevant för vissa tekniska miljöer, medan multifaktorautentisering bör användas för administrativ och fjärrbaserad åtkomst där tekniken tillåter det. Behörigheter behöver samtidigt begränsas efter principen om minsta privilegium, så att en komprometterad identitet inte automatiskt får omfattande åtkomst.

Segmentering och åtkomstregler skapar ytterligare barriärer

Även ett korrekt autentiserat system bör inte få kommunicera fritt inom energianläggningens nätverk. Brandväggar och åtkomstregler kan användas för att styra vilka protokoll, portar och system som får kommunicera. På så sätt kan organisationen minska möjligheten för en angripare att röra sig från en komprometterad komponent till känsligare delar av infrastrukturen. Särskilt viktigt är att skilja administrativa miljöer från operativa teknikmiljöer. Säkerhetsarbetet bör även omfatta:

• Regelbunden granskning av brandväggsregler och behörigheter.

• Tydlig separation mellan kritiska och mindre kritiska system.

• Kontrollerade vägar för leverantörers fjärråtkomst.

• Dokumenterade rutiner för att stänga av komprometterade enheter.

• Testade rutiner för incidenthantering och återställning.

Kontinuerlig övervakning gör angrepp lättare att upptäcka

Säkerheten behöver också vara aktiv efter att nätverket har konfigurerats. Genom övervakning kan organisationen upptäcka förändringar som kan tyda på intrång eller missbruk av legitima behörigheter. Det kan exempelvis handla om nya kommunikationsmönster, ovanliga tidpunkter för anslutningar eller trafik mellan system som normalt inte har kontakt. Händelser från olika säkerhetskomponenter kan dessutom analyseras tillsammans för att ge en tydligare bild av ett pågående angrepp. Regelbundna säkerhetstester och granskningar av konfigurationer kan samtidigt identifiera svagheter innan de utnyttjas. Private APN bör därmed ses som en del av den samlade säkerhetsarkitekturen, inte som ett separat skyddslager som ersätter övriga kontroller.