AI har fjernet den sidste undskyldning for svag OT-sikkerhed

I årtier har den operationelle teknologi (OT), der driver kraftværker, vandbehandlingsanlæg, hospitaler og telenetværk, været afhængig af et usagt forsvar: ingen uden for en lille kreds af ingeniører forstod, hvordan disse systemer fungerede. Uigennemskuelige protokoller, proprietært hardware og leverandørspecifik software skabte en vidensbarriere, der holdt de fleste angribere ude, ikke fordi systemerne var sikre, men fordi de var forvirrende.

Den barriere er væk. Ifølge recente rapporter om tilstanden af OT-sikkerhed har AI-værktøjer gjort det muligt for kriminelle at forstå og udnytte disse engang uigennemtrængelige black boxes uden at have brug for årelang specialiseret træning. Konceptet sikkerhed gennem uigennemskuelighed, idéen om at et system forbliver sikkert, blot fordi dets indre funktioner er svære at gennemskue, holder ikke længere, når en AI-model kan gennemskue det for dig.

Hvorfor uigennemskuelighed aldrig var en reel sikkerhedsstrategi

Sikkerhed gennem uigennemskuelighed fungerede som et biprodukt af kompleksitet, ikke som et bevidst designvalg. OT-miljøer blev aldrig bygget med samme sikkerhedsmæssige stringens som moderne IT-netværk. De blev bygget til at køre pålideligt i årevis, nogle gange årtier, ofte uden megen tanke om, hvad der ville ske, hvis nogen med ondsindede hensigter fik adgang.

Det, der holdt disse systemer sikre, var ikke stærk autentificering eller kryptering. Det var det simple faktum, at meget få mennesker, herunder mange IT-specialister, vidste, hvordan man skulle fortolke de involverede proprietære protokoller og legacy-hardware. Hackere, der ønskede at målrette OT-systemer, havde brug for dyb, specialiseret viden, som tog år at erhverve. Dette krav fungerede som et naturligt filter, der holdt puljen af kapable angribere lille.

AI har effektivt slettet dette filter. Angribere behøver ikke længere selv at være OT-eksperter. De kan bruge AI-værktøjer til at analysere, fortolke og reverse-engineere systemer, som en menneskelig specialist ville have brugt måneder på at forstå. Det betyder, at populationen af personer, der er i stand til at gennemføre et destruktivt angreb på kritisk infrastruktur, er ekspanderet dramatisk, selvom de underliggende sårbarheder i disse systemer slet ikke har ændret sig.

Hvorfor dette betyder noget ud over serverrummet

Det er nemt at tænke på OT-sikkerhed som et problem for forsyningsselskaber og producenter, ikke noget der berører hverdagen. Men angreb på kritisk infrastruktur har en måde at nå forbrugerne direkte. Elnet, vandsystemer, hospitaler og teleudbydere er alle bygget på OT-fundamenter, og forstyrrelser i enhver af dem breder sig udad til dagliglivet: aflyste medicinske procedurer, forlængede strømafbrydelser, forsinkede nødtjenester og afbrudt kommunikation.

Det samme mønster, der gør AI farlig for OT-systemer, gælder også for den daglige software, som mange organisationer er afhængige af. Når et udbredt værktøj har en sikkerhedsfejl, handler angribere hurtigt, og i stigende grad har de ikke brug for dyb ekspertise for at gøre det. Den hurtige udnyttelse, der ses, efter sårbarheder offentliggøres, såsom den nødberedskabsrespons, der var nødvendig, da en PaperCut zero-day-sårbarhed blev udnyttet, viser, hvor hurtigt angribere udnytter svagheder, når de først er identificeret, hvad enten det er gennem menneskelig research eller AI-assisteret opdagelse.

Efterhånden som AI sænker den tekniske tærskel for at angribe uigennemskuelige systemer, bliver organisationerne, der driver kritisk infrastruktur, presset mod den samme lektie, som enterprise-IT lærte for år tilbage: sikkerhed skal bygges ind i arkitekturen selv, ikke antages, fordi et system er svært at forstå.

Hvad dette betyder for dig

De fleste læsere er ikke ansvarlige for at sikre et elnet eller et hospitals OT-netværk, men skiftet væk fra sikkerhed gennem uigennemskuelighed påvirker dig stadig. Når udbydere af kritisk infrastruktur rammes, viser effekterne sig som serviceafbrydelser, faktureringsforstyrrelser, forsinket behandling eller eksponerede personoplysninger indsamlet af disse organisationer. Du er en nedstrøms interessent i hvert eneste af disse systemer, selvom du aldrig interagerer direkte med OT-laget.

På et personligt plan betyder den bredere tendens også noget. AI sænker færdighedsbarrieren for angribere på alle områder, ikke kun i industrielle sammenhænge. Phishing-forsøg er mere overbevisende, malware er lettere at tilpasse, og rekognoscering af individuelle mål er hurtigere end nogensinde. Den uigennemskuelighed, der plejede at beskytte almindelige brugere, at have et lille digitalt fodaftryk, bruge mindre almindelig software eller blot ikke være et oplagt mål, eroderer på samme måde, som den gjorde for OT-systemer.

Praktiske skridt i et AI-drevet trusselslandskab

Du kan ikke patche et kraftværk, men du kan reducere din egen eksponering og presse på for ansvarlighed fra de tjenester, du er afhængig af.

  • Brug en VPN og krypterede forbindelser, når du tilgår følsomme konti, især på delte eller offentlige netværk, for at begrænse, hvad angribere kan observere eller opsnappe.
  • Hold software og firmware opdateret hurtigt, da AI-assisterede angribere bevæger sig hurtigt, når en sårbarhed bliver offentligt kendt.
  • Aktivér multifaktorautentificering overalt, hvor det tilbydes, da det fortsat er et af de få forsvar, som AI-drevet gætteri ikke nemt kan omgå.
  • Vær opmærksom på underretninger om brud og afbrydelser fra forsyningsselskaber, sundhedsudbydere og teleselskaber, du bruger, og følg deres anbefalede skridt, hvis du er berørt.
  • Støt og spørg ind til netværkssegmentering og adgangskontroller, når du vurderer ethvert smart home- eller tilsluttet enhed, da isolerede systemer begrænser, hvor langt en angriber kan bevæge sig, selv hvis de kommer ind.

Sikkerhed gennem uigennemskuelighed er ikke længere en levedygtig fallback for nogen, fra forsyningsoperatører til individuelle brugere. AI har gjort det for nemt at kortlægge, fortolke og udnytte systemer, der engang var afhængige af at blive misforstået. De organisationer, der tilpasser sig ved at bygge reelle sikkerhedskontroller i stedet for at håbe på, at deres systemer forbliver skjulte, vil være langt bedre positioneret til at modstå, hvad der kommer næste.