Test je hackbaarheid met Mitsubishi

Mitsubishi Electric Corporation heeft de hulpsoftware CATSploit ontwikkeld, voor het uitvoeren van penetratietests. Dit zijn tests om te bevestigen dat een systeem of apparatuur kan worden gecompromitteerd door een daadwerkelijke cyberaanval. Het Japanse concern is volgens eigen zeggen de eerste ter wereld met een dergelijke ‘tool’ ter ondersteuning van deze tests.

CATSploit van Mitsubishi genereert automatisch aanvalsscenario’s op basis van de testdoelen van een penetratietester, zoals diefstal van vertrouwelijke informatie, om de effectiviteit van zo’n aanval te evalueren. Met behulp van de aanvalsscenario’s en de resulterende testresultaten (scores) kunnen zelfs onervaren beveiligingsengineers eenvoudig penetratietests uitvoeren.

ISA/IEC 624433

In de afgelopen jaren zijn besturingssystemen, zoals infrastructuur en fabrieksapparatuur, steeds meer verbonden geraakt met netwerken, waardoor het risico op verstoringen door cyberaanvallen, zoals stroomuitval of het stilleggen van het openbaar vervoer, is toegenomen. De noodzaak om beveiligingsmaatregelen in dergelijke systemen te implementeren is dringend geworden. Bovendien vereisen ISA/IEC 624433-veligheidsnormen voor industriële besturingssystemen dat fuzzing- en penetratiebeveiligingstests worden uitgevoerd op systemen en apparatuur om hun weerstand tegen cyberaanvallen te evalueren, inclusief kwetsbaarheden als gevolg van implementatie- of configuratiefouten. Fuzzing-tests worden gebruikt voor het detecteren van softwarefouten of kwetsbaarheden door het invoeren van ongeldige of onjuiste gegevens.

Schaars en moeilijk te vinden

Penetratietests zijn zeer geavanceerd en vereisen de betrokkenheid van white-hat hackers (ethische hackers) om het geteste systeem of product daadwerkelijk aan te vallen, maar dergelijke personen, die over een zeer hoog expertiseniveau moeten beschikken, zijn schaars en moeilijk te vinden. Mitsubishi Electric heeft, door zich te richten op de factoren die white-hat hackers overwegen bij het selecteren van hun aanvalsvectoren, nu een hulpmiddel voor penetratietesten ontwikkeld dat lijsten genereert van mogelijke aanvalsscenario’s en hun effectiviteit (uitgedrukt in numerieke scores).