Sikkerhetsekspert hacket 10 av 15 skip: – Kunne kantret oljetanker

Cybersikkerhet på skip har blitt et hett tema, og som TU tidligere har skrevet innfører den internasjonale maritime organisasjonen (IMO) krav om at alle skip skal ha et system for å beskytte seg mot dataangrep innen 2021.

Selv om de kjente tilfellene av dataangrep mot skip er få, er de potensielle konsekvensene store om hackere med onde hensikter klarer å ta kontroll over en oljetanker eller et cruiseskip.

Bransjen er ikke dårligere sikret enn en del annen industri, men ligger fortsatt et stykke bak for eksempel finansbransjen. Det er John-André Bjørkhaugs inntrykk. Han er sikkerhetstester, eller etisk hacker, i selskapet NTT.

På oppdrag fra rederiene har han hacket seg inn på totalt 15 skip. På 10 av dem klarte han å komme seg inn på et av driftssystemene. Flere av skipene var norskeide, og de fleste var cruiseskip.

– I ett tilfelle, på en oljetanker, var vi på kontornettet og tok over en host. Den hadde alle serverne om bord, også servere som var koblet til ballastsystemet. Da kunne vi i teorien manipulert verdier i ballasttankene, og det kunne i teorien ha kantret skipet, sier han.

Under cover

Bjørkhaug har over 10 års erfaring med å bryte seg inn i datasystemer, og har testet sikkerheten i flere bransjer.

For å teste sikkerheten på skip bruker han likevel en litt annen metode enn på land.

– På cruiseskip går vi «undercover» som gjester. Vi ser på trådløse nettverk og nettverkskontakter rundt omkring – det er overraskende mange eksponerte nettverkskontakter på et skip – vi plugger oss inn, og plutselig er vi inne på et kontornett. Etter det leter vi etter sårbarheter i nettet, manglende patcher og feilkonfigureringer. Ofte er også segmenteringen feil, det vil si at man kan gå fra et skip til et annet eller fra skip til land eller omvendt, sier han.

Ved å gå fra skip til skip mener han at han kan gå fra nettet på et skip til et annet. Måten hackere med onde hensikter kan gjøre mest skade på, er ved å komme seg inn på driftssystemene (OT) som styrer for eksempel ballast, navigasjon og framdrift. Skipene har ikke ett driftssystem, men flere, og noen er mer kritiske enn andre. Derfor er det viktig med vanntette skott mellom nettet og driftssystemene.

Ståltråd og lommeverktøy

De fleste rederiene er flinke til å skille systemene, men i mange tilfeller finnes det likevel muligheter.

– På et skip var det en maskin som skulle telle antall timer skipet hadde seilt. Produsenten skulle ha dataene, og det var totalt adskilt fra kontornettet. Men så hadde de en patchekabel for å hente ut informasjonen, og den hendte det at de glemte å ta ut etter at de hadde hentet informasjonen. Da ble det en kobling rett fra kontornettet til maskinsystemet, sier Bjørkhaug.

Ved å jobbe i det skjulte har han også muligheten til fysisk å bryte seg inn driftssystemet på skip.

– Vi fikk også fysisk tilgang til maskinrommet på et skip ved hjelp av ståltråd og lommeverktøy. Det var på et av cruiseskipene. Det var mulig å manipulere låsemekanismen med ståltråden. Når man først har fysisk tilgang til maskinrommet, kan man komme seg inn på OT-systemene. På et annet skip kom vi rett inn i kontrollrommet ved å gå etter noen som hadde adgang som gikk inn.

Kan påvirke maskinlæring

En rekke tiltak kan settes inn for å begrense mulighetene for datahackere til å angripe skip og for å begrense skadene hvis det likevel skulle skje. Mye kan gjøres ved å skille driftssystemer og kontornettet og drille ansatte.

Det er ulike måter å bryte seg inn på skip, og det vanskeligste er å beskytte seg mot er det man ikke ser, sier Bjørkhaus kollega Arnt Nedrebø.

– I stedet for store, bråkete angrep som man hadde for ti år siden, ser vi nå i større grad at man går målrettet etter ett og ett nettverk, og man drar det ut over tid for å få tak i det man er ute etter, sier Nedrebø.

For å oppdage hackere som ikke gir mye lyd fra seg, har de utviklet en programvare som bruker maskinlæring for å gjenkjenne unormal oppførsel, for eksempel kontakt mellom maskiner som vanligvis ikke har kontakt. Programmet rapporterer til erfarne folk som vurderer risikoen. Men også det systemet kan manipuleres.

– Problemet er om nettet allerede er kompromittert i læringsfasen. Ingenting er helt sikkert, men det er mye bedre å ha sikkerhetsovervåkning enn ikke å ha det, sier Bjørkhaug.