Baru-baru ini saya membaca tentang sebuah kerentanan (yang ditemukan setiap tahun ganjil) di mana webcam pada laptop dapat menyala tanpa disertai dengan lampu LED yang biasanya menyala sebagai indikator. Jadi, pengguna tidak menyadari bahwa mereka sedang diawasi.
Bagaimana ini bisa terjadi? Secara sederhana, LED dikendalikan melalui perangkat lunak dan terpisah dari kamera itu sendiri. Jadi, sebuah malware dapat diam-diam menyalakan kamera tanpa menyalakan LED.
Sekarang, di ranah Teknologi Operasional (OT), pemilik Programmable Logic Controller (PLC) selalu diminta untuk mengatur sakelar ‘mode’ PLC mereka ke posisi ‘RUN’. Sakelar ini (baik fisik maupun dalam bentuk tombol toggle) umumnya memiliki pengaturan seperti ‘RUN’ dan ‘PROGRAM’ (dengan beberapa variasi tergantung pada vendornya).
PLC adalah bagian dari sistem kontrol. Seperti yang dijelaskan dalam halaman glosarium kami tentang keamanan OT: “Sistem ini menerima data dari sensor, mengambil keputusan, dan mengatur proses fisik. Kategori ini mencakup PLC, Distributed Control Systems (DCS), dan Supervisory Control and Data Acquisition (SCADA).”
Sekarang saya mulai berpikir, jika malware bisa mematikan lampu LED webcam, apakah malware juga bisa menyebabkan sakelar mode PLC atau fungsi operasional lainnya diabaikan?
Bagi yang memiliki pengetahuan terbatas tentang OT, program dalam PLC hanya dapat diubah ketika dalam mode ‘PROGRAM’, namun tidak bisa diubah dalam mode ‘RUN’… Ini merupakan langkah pengamanan sederhana untuk melindungi program PLC yang sedang berjalan. Fitur ini awalnya ditemukan pada tahun 1970-an untuk mencegah perubahan yang tidak diinginkan oleh staf lokal. Saat itu, serangan terhadap sistem OT belum ada. Hanya orang yang memiliki akses fisik ke sakelar mode yang dapat mengunduh program baru ke dalam PLC dengan mengubahnya ke mode ‘PROGRAM’.
Sebagai praktik yang baik dalam pengelolaan sistem, setelah selesai melakukan pemrograman, mode PLC harus dikembalikan ke posisi ‘RUN’ (dan sakelar fisiknya dilepas).
Ketika kemudian PLC mulai terhubung ke jaringan dan menjadi sasaran peretas, fungsi sakelar mode ini memperoleh arti baru: perlindungan terhadap serangan jarak jauh.
Serangan pada Mode Program PLC: Bukan Sekadar Hipotetis
Apakah ini hanya bersifat dugaan? Sama sekali tidak! Pada tahun 2017 di Arab Saudi, sebuah PLC keselamatan merek Schneider Triconex diserang oleh malware Triton. Diduga saat itu sakelar mode PLC tidak berada dalam posisi ‘RUN’. Serangan ini menargetkan sebuah kilang petrokimia – dan bisa saja berakibat fatal jika tidak ada sistem pemadaman darurat.
“Dalam skenario terburuk, Anda menghadapi potensi pelepasan gas hidrogen sulfida beracun, dan potensi ledakan akibat tekanan serta suhu tinggi,” ujar Julian Gutmanis, seorang kontraktor keamanan siber, dikutip oleh E&E News/Politico.
Berikut adalah beberapa malware penting yang secara khusus menargetkan sistem OT, yang terus dipantau oleh tim peneliti keamanan kami. Antara 2010 hingga 2017, terdapat lima malware yang menargetkan OT (Stuxnet, Havex, BlackEnergy3, Industroyer, dan Triton). Namun sejak 2022, muncul lima lagi malware signifikan untuk OT, termasuk Industroyer2 dan INCONTROLLER (2022), COSMICENERGY (2023), Fuxnet dan FrostyGoop/BUSTLEBERM (2024).
Lebih lanjut: Baca analisis lengkap dari Vedere Labs: “ICS Threats: Malware Targeting OT? It’s More Common Than You Think”
Salah satu serangan industri paling terkenal dan terselubung adalah Stuxnet (pada 2010), yang tahun ini genap berusia 15 tahun. Target utamanya adalah PLC Siemens yang mengontrol sentrifugal pengayaan uranium di fasilitas Natanz, Iran. Akses awalnya didapat melalui USB yang telah terinfeksi, karena jaringan target terisolasi (air-gapped). Malware ini dirancang untuk membuat sentrifugal berputar secara tidak stabil sambil tetap menunjukkan kepada teknisi bahwa semuanya berjalan normal.
Apakah Saya 100% Aman Jika PLC Saya dalam Mode ‘RUN’?
Semua tergantung pada apa yang berada di balik sakelar fisik tersebut. Jika sakelar tersebut langsung mengirimkan sinyal elektronik ke rangkaian sirkuit PLC yang hanya mengizinkan akses baca (read-only) ke memori program, maka PLC itu benar-benar terlindungi dari perubahan yang tidak sah.
Namun, bayangkan jika pengaturan sakelar itu hanyalah input bagi prosesor, dan hanya perangkat lunak yang memutuskan untuk menerapkan akses read-only? Perangkat lunak dapat diretas. Jadi, apakah PLC benar-benar terlindungi dari penyerang? Sama seperti lampu LED pada kamera yang dapat dimatikan secara paksa, mode sakelar pun dapat diabaikan jika malware menghendakinya.
Tapi bagaimana kita tahu apa yang ada di dalam PLC? Kita tidak tahu. Hanya vendornya yang tahu. Sebagai alternatif, kita bisa membongkar PLC dan menelusuri semua sinyal pada papan sirkuit cetak (printed-circuit board), tapi ini memakan waktu. Reverse engineering terhadap runtime binary PLC juga merupakan opsi, namun tidak mudah. Kemungkinan besar, Anda harus melakukan keduanya untuk mendapatkan kesimpulan.
Sayangnya, vendor tidak mengungkapkan detail internal dari perangkat mereka. Pemantauan jaringan pun tidak dapat mendeteksi status sakelar mode (karena tidak ada lalu lintas jaringan yang mengindikasikannya). Namun, beberapa alat pemantauan jaringan dapat mendeteksi perintah download ke PLC — termasuk eyeInspect dari Forescout.
Catatan: Regulasi Mesin Eropa yang baru (European Machinery Regulation 2023/1230) mewajibkan PLC (terutama untuk keselamatan) agar terlindungi dari kerusakan (corruption). Regulasi ini mulai berlaku pada tahun 2027. Ini akan membantu mengembalikan perhatian terhadap pentingnya sakelar mode. Tapi kita masih harus menunggu dua tahun lagi.
Apa yang Bisa Dilakukan Sampai Regulasi Baru Berlaku?
Sementara menunggu regulasi baru berlaku, tim riset Vedere Labs menyarankan mitigasi berikut untuk keamanan OT/ICS:
- Jangan mengekspos perangkat IoT/OT/ICS langsung ke internet. Ikuti panduan CISA tentang cara menyediakan akses jarak jauh ke sistem kontrol industri.
- Segmentasikan jaringan untuk mengisolasi perangkat IT, IoT, dan OT, serta batasi koneksi jaringan hanya ke workstation manajemen dan rekayasa yang diizinkan, atau antar perangkat yang tidak dikelola namun perlu berkomunikasi.
- Pastikan antarmuka administratif (seperti antarmuka web dan port rekayasa) berada di balik daftar kontrol akses berbasis IP atau hanya dapat diakses dari VLAN manajemen terpisah yang dilindungi VPN.
- Tambahkan autentikasi ke antarmuka administratif perangkat IoT dan OT, termasuk antarmuka web dan port teknik milik vendor.
- Gunakan solusi pemantauan yang memahami protokol IoT/OT dan mampu melakukan DPI (Deep Packet Inspection) untuk mendeteksi indikator dan perilaku jahat. Awasi sistem internal dan komunikasi terhadap aksi berbahaya yang diketahui, seperti eksploitasi kerentanan, percobaan tebak sandi, dan penggunaan protokol OT tanpa otorisasi.
- Pantau lalu lintas perangkat IoT/OT untuk mengidentifikasi perangkat yang digunakan sebagai bagian dari serangan terdistribusi.
Dan tentu saja: Atur PLC ke mode ‘RUN’!
Infrastruktur IT yang kuat adalah kunci pertumbuhan bisnis. Forescout menyediakan solusi terbaik, mulai dari jaringan, storage, cloud, hingga keamanan siber, yang diintegrasikan oleh iLogo Indonesia agar sesuai dengan kebutuhan bisnis Anda.
Pelajari lebih lanjut di forescout.ilogoindonesia.com dan konsultasikan kebutuhan IT Anda dengan kami!