Geavanceerde detectie en dreigingsbeheer voor IT en OT

In het NEWS-project ontwikkelde TNO samen met het Ministerie van Defensie en partners een gedecentraliseerd monitoringsysteem voor cyberdreigingen op marineschepen. Minder bemensing aan boord vereist een systeem dat zelfstandig dreigingen detecteert, filtert en prioriteert.

TNO ontwierp een demonstrator en een architectuur voor het verzamelen, filteren, analyseren, opslaan en distribueren van logdata uit militaire netwerken. De oplossing omvat:

• Specifieke responsmaatregelen per type incident.
• Drie gedefinieerde cybersecurity-rollen aan boord, gericht op mens en proces.
• Onderzoek naar overdraagbaarheid naar andere krijgsmachtonderdelen.

De Belastingdienst beheert grote hoeveelheden gevoelige data en is daarmee een doelwit voor cybercriminelen, spionage en financieel gemotiveerde cyberaanvallen. TNO voert onderzoek uit op grote, operationele datasets in samenwerking met het Security Operations Centre (SOC). Ontwikkelde innovaties:

• Anomaliedetectie: detecteren van werkplekken met afwijkend communicatiegedrag.
• Apparaatidentificatie: uniek identificeren van apparaten op basis van hardware kenmerken in het apparaat.
• Detectie van multi-stage cyber attacks: herkennen en aan elkaar koppelen van meerdere stappen in een cyber kill chain.
• Detectie van DNS-tunnels: detecteren van data-exfiltratie en command en control verkeer via DNS-verkeer.
• LLM-ondersteunde advisering: gebruik van grote taalmodellen voor geautomatiseerde analyse en aanbevelingen voor SOC-analisten.

In een apart programma wordt een proof-of-concept ontwikkeld voor ransomware-detectie. Specifiek doet TNO onderzoek naar anomaliedetectie op fileshares. De detectie is gebaseerd op veranderingen in Shannon-entropie - een maat voor de voorspelbaarheid van data die stijgt wanneer bestanden worden versleuteld. Dit maakt het mogelijk om een extra line of defense in te stellen.

Dit TNO-rapport verkent hoe digitale technologieën zoals Digital Twins en Cyber Ranges (pdf) kunnen worden ingezet om de Nederlandse watersector te ondersteunen bij complexe beheer- en infrastructuurvraagstukken. Het helpt waterschappen en drinkwaterbedrijven om cyberrisico’s op kritieke infrastructuur vroegtijdig te identificeren en te begrijpen. Zo wordt de weerbaarheid tegen cyberaanvallen op waterbeheer-systemen versterkt.

Regelgebaseerde systemen detecteren bekende aanvalspatronen (signatures). Ze detecteren echter alleen bekende aanvallen. Anomaliedetectie stelt een baseline op van normaal gedrag en signaleert afwijkingen daarvan, ook bij zero-day-aanvallen en gerichte aanvallen zonder bekende signatures.

OT-systemen zijn ontworpen voor continuïteit van fysieke processen, niet voor informatiebeveiliging. Ze draaien vaak nog op verouderde protocollen, worden zelden gepatcht vanwege vereiste uptime, en zijn niet compatibel met standaard IT-beveiligingstools. Een cyberaanval die een operationeel systeem stillegt heeft directe fysieke gevolgen.

Shannon-entropie meet de voorspelbaarheid van data. Een normaal bestand heeft een bepaalde entropiewaarde. Wanneer ransomware bestanden versleutelt, stijgt de entropie sterk. Versleutelde data is statistisch willekeurig. Door entropieveranderingen op fileshares te monitoren, zijn vroege tekenen van versleuteling detecteerbaar voordat alle bestanden zijn aangetast.

DNS-tunneling is een techniek waarbij aanvallers data verbergen in DNS-verkeer, bijvoorbeeld om informatie ongemerkt uit een netwerk te exfiltreren. DNS-verkeer wordt door veel firewalls niet geblokkeerd, waardoor het een populair kanaal is voor verborgen communicatie tussen malware en een command-and-control-server. Detectie vereist statistische analyse van DNS-verkeer.

De methoden zijn primair ontwikkeld voor organisaties met Security Operation Centers (SOCs) en kritische IT en/of OT-infrastructuur: energiebedrijven, drinkwaterbedrijven, overheidsinstanties, bedrijven uit de financiële sector, defensie en organisaties binnen de nationale vitale infrastructuur. De aanpak is toepasbaar op alle organisaties die cyberveiligheid hoog in het vaandel hebben staan.

Commerciële SIEM- en EDR-oplossingen bieden standaard regels die breed inzetbaar zijn. TNO ontwikkelt detectie-algoritmen specifiek op basis van de data en context van de betreffende organisatie ter versterking en aanvulling op commerciële, regel-gebaseerde producten.

Na afloop van een innovatietraject beschikt de organisatie over gedocumenteerde detectie-algoritmen afgestemd op de eigen omgeving, inzicht in configuratiefouten en verbeterde netwerk hygiëne. Daarnaast helpt het om het bewustzijn van medewerkers over actuele dreigingen te verhogen. De kortcyclische methodiek is zodanig ontworpen dat de organisatie zelfstandig verder kan zonder doorlopende afhankelijkheid van TNO.